[發明專利]一種基于深度遷移學習的大數據平臺未知威脅檢測方法

有效

• 申請號: 201911065689.5
• 申請日: 2019-11-04
• 公開（公告）號: CN110995652B
• 公開（公告）日: 2021-11-12
• 發明（設計）人: 孫治;周玉金;劉正軍;李春林;陳劍鋒;徐銳;饒志宏
• 申請（專利權）人: 中國電子科技網絡信息安全有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;G06N3/08
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 鄧世燕

1.一種基于深度遷移學習的大數據平臺未知威脅檢測方法，其特征在于：包括如下步驟：

步驟一、構建源領域樣本集：

在大數據平臺的各個節點上部署信息采集探針裝置，將不同的惡意軟件單獨放在沙箱中執行一段時間后，采集不同維度的特征數據，并將特征數據進行歸一化處理；

步驟二、采用與步驟一相同的方法采集目標領域的樣本數據，然后采用數據增強的方法對樣本數據進行擴充，構建目標領域樣本集；

步驟三、構建基于深度遷移學習的威脅檢測模型：

先使用源領域樣本集訓練深度學習，然后用目標領域樣本集對模型進行再訓練，得到基于融合特征的深度神經網絡威脅檢測模型：特征融合網絡和威脅檢測網絡，其中：特征融合網絡向前傳遞公式為：

式中，t∈{1,2,3,4}表示4種特征融合網絡，l^t＝{1,2,3}是特征融合網絡的每一層，x^t是特征融合網絡的輸入向量，代表輸入到l^t層的向量，是l^t層的輸出，表示l^t層的權重，是l^t層的偏移量，f是神經網絡的激活函數，采用線性整流函數。

2.根據權利要求1所述的一種基于深度遷移學習的大數據平臺未知威脅檢測方法，其特征在于：對樣本數據進行擴充的方法為：將樣本向量的每一個維度添加一個取值范圍為[-0.001,0.001]之間的隨機擾動項，然后再按照需求擴充小樣本數據集。

3.根據權利要求1所述的一種基于深度遷移學習的大數據平臺未知威脅檢測方法，其特征在于：所述不同維度的特征數據包括：

1)網絡流量數據：最大流量包長度、最小流量包長度、后向方差數據字節、FIN包的個數、最大空閑時間、初始窗口階段發送的字節數；

2)處理器性能數據：用戶空間的cpu最大使用率、內核空間的cpu最大使用率、cpu最大空閑率、cpu在等待I/O的最大時間、cpu處理軟中斷的數量、cpu處理硬中斷的數量；

3)內存性能數據：可使用的內存平均數、交換分區的平均大小、交換分區的平均大小、系統換入的交換頁面數量、系統換出的交換頁面數量、系統產生的缺頁數量；

4)磁盤性能數據：可使用的磁盤平均數、數磁盤讀出的塊的總數、寫入磁盤的塊的總數、I/O請求的平均大小、I/O請求的平均等待時間、處理I/O請求所占用的時間。

4.根據權利要求1所述的一種基于深度遷移學習的大數據平臺未知威脅檢測方法，其特征在于：所述特征融合網絡的輸入向量為：流量特征向量、內存特征向量、處理器特征向量、磁盤特征向量。

5.根據權利要求1所述的一種基于深度遷移學習的大數據平臺未知威脅檢測方法，其特征在于：所述威脅檢測網絡向前傳遞公式為：

z'^(l′+1)＝W'^(l′+1)y'^(l′)+b'^(l′+1)

y'^(l′+1)＝f(z'^(l′+1))＝max(0,z'^(l′+1)),l'≠4

式中，l'＝{1,2,3,4}是威脅檢測網絡的每一層，z'^(l')代表輸入到l'層的向量，y'^(l′)是l'層的輸出，W^(l')表示l'層的權重，b^(l')是l'層的偏移量，神經網絡的激活函數f同樣采用的是線性整流函數，o是威脅檢測網絡的輸出函數，采用Sigmoid函數。

6.根據權利要求5所述的一種基于深度遷移學習的大數據平臺未知威脅檢測方法，其特征在于：當y'⁽⁴⁾≥0.5時，L'＝1；當y'⁽⁴⁾0.5時，L'＝0，其中L'表示威脅檢測模型的預測標簽。

7.根據權利要求6所述的一種基于深度遷移學習的大數據平臺未知威脅檢測方法，其特征在于：在所述基于融合特征的深度神經網絡的訓練過程中，采用如下交叉熵損失函數：

式中，L表示訓練數據的標簽。