[發(fā)明專利]一種網(wǎng)絡(luò)流量異常檢測(cè)方法及裝置、介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 201911302352.1
• 申請(qǐng)日: 2019-12-17
• 公開(kāi)（公告）號(hào): CN111031051B
• 公開(kāi)（公告）日: 2021-03-16
• 發(fā)明（設(shè)計(jì)）人: 王之梁;鐘瑩;陳聞起;楊家海;尹霞;施新剛
• 申請(qǐng)（專利權(quán)）人: 清華大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;G06N3/04;G06N3/08
• 代理公司: 北京安信方達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11262
• 代理人: 王康;栗若木

1.一種網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，包括：

接收網(wǎng)絡(luò)報(bào)文，根據(jù)所述網(wǎng)絡(luò)報(bào)文生成第一特征信息，將所述第一特征信息輸入預(yù)先訓(xùn)練得到的自編碼器網(wǎng)絡(luò)模型，得到第一輸出值，以及，根據(jù)所述自編碼器網(wǎng)絡(luò)模型的輸出和輸入的誤差信息與所述網(wǎng)絡(luò)報(bào)文生成第二特征信息，將所述第二特征信息輸入預(yù)先訓(xùn)練得到的長(zhǎng)短期記憶網(wǎng)絡(luò)模型，得到至少一個(gè)第二輸出值，將所述第一輸出值和第二輸出值輸入到預(yù)先訓(xùn)練得到的異常檢測(cè)器，輸出所述網(wǎng)絡(luò)報(bào)文是否異常的判斷結(jié)果。

2.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，所述根據(jù)所述網(wǎng)絡(luò)報(bào)文生成第一特征信息包括：

根據(jù)當(dāng)前接收到的網(wǎng)絡(luò)報(bào)文及之前已接收到的網(wǎng)絡(luò)報(bào)文的統(tǒng)計(jì)信息生成初始特征信息，將所述初始特征信息進(jìn)行降維得到所述第一特征信息。

3.根據(jù)權(quán)利要求2所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，所述對(duì)所述初始特征信息進(jìn)行降維包括：使用深度信念網(wǎng)絡(luò)對(duì)所述初始特征信息進(jìn)行降維。

4.根據(jù)權(quán)利要求2所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，根據(jù)所述自編碼器網(wǎng)絡(luò)模型的輸出和輸入的誤差信息與所述網(wǎng)絡(luò)報(bào)文生成第二特征信息包括：

將所述自編碼器網(wǎng)絡(luò)模型的輸出和輸入的誤差信息加入所述初始特征信息，得到所述第二特征信息。

5.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，所述自編碼器網(wǎng)絡(luò)模型的輸出和輸入的誤差信息為所述輸出和輸入的均方根誤差或者均方誤差。

6.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，將所述第一輸出值和第二輸出值輸入到預(yù)先訓(xùn)練得到的異常檢測(cè)器，輸出所述網(wǎng)絡(luò)報(bào)文是否異常的判斷結(jié)果包括：

將所述第一輸出值和所述第二輸出值輸入到預(yù)先訓(xùn)練得到的判別公式，將所述判別公式的輸出與訓(xùn)練得到的閾值進(jìn)行比較，根據(jù)比較結(jié)果確定所述網(wǎng)絡(luò)報(bào)文是否異常。

7.根據(jù)權(quán)利要求6所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，所述判別公式為：其中，y₀為所述自編碼器網(wǎng)絡(luò)模型的輸出，y_i為所述長(zhǎng)短期記憶網(wǎng)絡(luò)模型輸出的不同時(shí)刻的輸出值，0p1，n為自然數(shù)。

8.根據(jù)權(quán)利要求1至7任一所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，所述方法還包括：

判斷所述網(wǎng)絡(luò)報(bào)文是否異常后，根據(jù)判斷結(jié)果標(biāo)記所述網(wǎng)絡(luò)報(bào)文并保存；

在滿足預(yù)設(shè)條件時(shí)，使用包含保存的已標(biāo)記的網(wǎng)絡(luò)報(bào)文的數(shù)據(jù)集重新訓(xùn)練所述自編碼器網(wǎng)絡(luò)模型、所述長(zhǎng)短期記憶網(wǎng)絡(luò)模型和所述異常檢測(cè)器。

9.根據(jù)權(quán)利要求8所述的網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，所述方法還包括，在重新訓(xùn)練所述自編碼器網(wǎng)絡(luò)模型、長(zhǎng)短期記憶網(wǎng)絡(luò)模型和所述異常檢測(cè)器時(shí)，并行使用重新訓(xùn)練之前的自編碼器網(wǎng)絡(luò)模型、長(zhǎng)短期記憶網(wǎng)絡(luò)模型和異常檢測(cè)器對(duì)網(wǎng)絡(luò)報(bào)文進(jìn)行檢測(cè)。

10.一種網(wǎng)絡(luò)流量異常檢測(cè)裝置，其特征在于，包括：

訓(xùn)練模塊，配置為訓(xùn)練得到自編碼器網(wǎng)絡(luò)模型、長(zhǎng)短期記憶網(wǎng)絡(luò)模型和異常檢測(cè)器；

接收模塊，配置為接收網(wǎng)絡(luò)報(bào)文；

第一檢測(cè)模塊，配置為根據(jù)所述網(wǎng)絡(luò)報(bào)文生成第一特征信息，將所述第一特征信息輸入預(yù)先訓(xùn)練得到的自編碼器網(wǎng)絡(luò)模型，得到第一輸出值；

第二檢測(cè)模塊，配置為根據(jù)所述自編碼器網(wǎng)絡(luò)模型的輸出和輸入的誤差信息與所述網(wǎng)絡(luò)報(bào)文生成第二特征信息，將所述第二特征信息輸入預(yù)先訓(xùn)練得到的長(zhǎng)短期記憶網(wǎng)絡(luò)模型，得到至少一個(gè)第二輸出值；

異常檢測(cè)模塊，配置為將所述第一輸出值和第二輸出值輸入到預(yù)先訓(xùn)練得到的異常檢測(cè)器，輸出所述網(wǎng)絡(luò)報(bào)文是否異常的判斷結(jié)果。

11.一種網(wǎng)絡(luò)流量異常檢測(cè)設(shè)備，其特征在于，包括存儲(chǔ)器和處理器，所述存儲(chǔ)器存儲(chǔ)有程序，所述程序在被所述處理器讀取執(zhí)行時(shí)，實(shí)現(xiàn)如權(quán)利要求1至9任一所述的網(wǎng)絡(luò)流量異常檢測(cè)方法。

12.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有一個(gè)或者多個(gè)程序，所述一個(gè)或者多個(gè)程序可被一個(gè)或者多個(gè)處理器執(zhí)行，以實(shí)現(xiàn)如權(quán)利要求1至9任一所述的網(wǎng)絡(luò)流量異常檢測(cè)方法。