[發(fā)明專利]一種分類對抗的網(wǎng)絡攻擊檢測方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201910874095.2
• 申請日: 2019-09-17
• 公開（公告）號: CN110598794A
• 公開（公告）日: 2019-12-20
• 發(fā)明（設計）人: 段彬
• 申請（專利權）人: 武漢思普崚技術有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N20/00;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種分類對抗的網(wǎng)絡攻擊檢測方法，其特征在于，所述方法包括：

獲取歷史訪問數(shù)據(jù)，根據(jù)已知的網(wǎng)絡攻擊類型的特征，分析提取歷史訪問數(shù)據(jù)中攻擊數(shù)據(jù)的特征向量；

將所述歷史訪問數(shù)據(jù)中攻擊數(shù)據(jù)的特征向量輸入分類器，由所述分類器為其中頻率高于第一閾值的、或者頻率低于第二閾值的攻擊數(shù)據(jù)打標；

基于打標的攻擊數(shù)據(jù)、未打標的攻擊數(shù)據(jù)的特征向量，分別構建第一噪聲模擬網(wǎng)絡攻擊模型、第二噪聲模擬網(wǎng)絡攻擊模型，應用兩個模型可隨機生成已知的各種類型的網(wǎng)絡攻擊以及多種網(wǎng)絡攻擊復合；

所述多種網(wǎng)絡攻擊復合包括同時具備若干種網(wǎng)絡攻擊的特征，或者連續(xù)進行若干種網(wǎng)絡攻擊，或變異網(wǎng)絡攻擊特征；

所述第一噪聲模擬網(wǎng)絡攻擊模型、第二噪聲模擬網(wǎng)絡攻擊模型，按照一定策略交替作為對抗性網(wǎng)絡的生成器，所述生成器的輸出流量不間斷地與真實網(wǎng)絡攻擊流量一并送入判別器；

所述判別器根據(jù)兩端輸入的生成器輸出流量和真實網(wǎng)絡攻擊流量，得出判別結果；如果判別結果為真時，表明生成器輸出流量與真實網(wǎng)絡攻擊流量在特征向量上非常接近，判別器將相似度信息反饋給生成器；如果判別結果為假時，表明生成器輸出流量與真實網(wǎng)絡攻擊流量在特征向量上差別很大，判別器將差別度信息、真實網(wǎng)絡攻擊流量的特征向量一并反饋給生成器；

所述生成器根據(jù)判別器的反饋結果調整第一噪聲模擬網(wǎng)絡攻擊模型、第二噪聲模擬網(wǎng)絡攻擊模型的參數(shù)，再次生成新的輸出流量；

當判別器得到的判別結果為真的比率在預先設置的閾值范圍內時，表明第一噪聲模擬網(wǎng)絡攻擊模型、第二噪聲模擬網(wǎng)絡攻擊模型訓練完畢；

所述第一噪聲模擬網(wǎng)絡攻擊模型、第二噪聲模擬網(wǎng)絡攻擊模型，按照一定策略交替接入機器學習模塊，不間斷隨機生成網(wǎng)絡攻擊流量，供機器學習模塊自我學習；

所述機器學習模塊借助所述第一噪聲模擬網(wǎng)絡攻擊模型、第二噪聲模擬網(wǎng)絡攻擊模型，不間斷豐富各種網(wǎng)絡攻擊特征向量樣本，對真實網(wǎng)絡流量進行網(wǎng)絡攻擊檢測，并將檢測結果反饋給管理員，管理員可以定時根據(jù)檢測結果調整所述第一噪聲模擬網(wǎng)絡攻擊模型、第二噪聲模擬網(wǎng)絡攻擊模型的參數(shù)，啟動更新機制。

2.根據(jù)權利要求1所述的方法，其特征在于，所述變異網(wǎng)絡攻擊特征包括對已知的網(wǎng)絡攻擊特征向量做擴展，以及修改若干攻擊的字段。

3.根據(jù)權利要求1-2任一項所述的方法，其特征在于，所述分類器可以是隨機森林分類器。

4.根據(jù)權利要求1-3任一項所述的方法，其特征在于，所述更新機制，是指再次將一個噪聲模擬網(wǎng)絡攻擊模型作為生成器，將生成器的輸出流量送入所述判別器。