[發明專利]入侵檢測方法、裝置及存儲介質

有效

• 申請號: 202010008230.8
• 申請日: 2020-01-06
• 公開（公告）號: CN111242188B
• 公開（公告）日: 2023-07-25
• 發明（設計）人: 趙靜;龍春;魏金俠;杜冠瑤;楊帆
• 申請（專利權）人: 中國科學院計算機網絡信息中心
• 主分類號: G06F18/214
• 分類號: G06F18/214;G06F18/23213;H04L9/40
• 代理公司: 北京知舟專利事務所(普通合伙) 11550
• 代理人: 郭韞

1.一種入侵檢測方法，其特征在于，包括：

獲取M類異常樣本，并對各類樣本數量進行均衡處理；

對所述M類異常樣本中的各樣本進行特征約簡；

將特征約簡后的M類異常樣本及正常樣本，作為樣本集合，對初始機器學習模型進行訓練，得到入侵檢測模型；其中，所述機器學習模型由M+1個分類器構成；

基于所述入侵檢測模型，進行網絡攻擊檢測；

所述獲取M類異常樣本，并對各類樣本數量進行均衡處理，包括：

統計所述M類異常樣本中每類異常樣本的數量；

針對樣本數量低于第一預設值的類，對所述類內樣本進行樣本變換得到至少一個新樣本；或者，針對樣本數量高于第二預設值的類，對所述類內的部分樣本進行過濾處理；

得到異常樣本數量符合預設條件的M類異常樣本；

所述對所述M類異常樣本中的各樣本進行特征約簡，包括：

提取所述M類異常樣本中的各樣本的特征向量；

針對每個所述樣本的特征向量中各特征與相應異常類標簽之間的相關度，對各特征進行排序；并基于SVM算法對特征向量中的特征進行選取操作，得到特征約簡后的樣本特征向量。

2.根據權利要求1所述的入侵檢測方法，其特征在于，所述將特征約簡后的M類異常樣本及正常樣本，作為樣本集合，對初始機器學習模型進行訓練，得到入侵檢測模型，包括：

所述樣本集合包括M+1個子集；其中，M個異常類子集中的每個樣本均攜帶有相應異常類標簽信息，1個正常類子集中的每個樣本均攜帶有正常類標簽信息；

將所述樣本集合輸入至所述初始機器學習模型，分別基于每個異常類子集與正常類子集合并的數據集，對初始機器學習模型中所述異常類相應的分類器進行訓練，得到所述入侵檢測模型；其中，所述入侵檢測模型由M+1個分類器構成。

3.根據權利要求1所述的入侵檢測方法，其特征在于，所述基于所述入侵檢測模型，進行網絡攻擊檢測，包括：

將當前網絡信息輸入至所述入侵檢測模型；

響應于與所述入侵檢測模型中的任意一個異常類分類器的類中心之間的距離小于或等于預設值，將所述異常類分類器的類標簽作為網絡攻擊檢測結果；

響應于與所述入侵檢測模型中的正常類分類器的類中心之間的距離小于或等于預設值，將所述正常分類器的類標簽作為網絡攻擊檢測結果；

響應于與所述M+1個分類器的類中心之間的距離均大于預設值，將未知攻擊類型作為網絡攻擊檢測結果。

4.一種入侵檢測裝置，其特征在于，包括：

均衡模塊，用于獲取M類異常樣本，并對各類樣本數量進行均衡處理；

約簡模塊，用于對所述M類異常樣本中的各樣本進行特征約簡；

訓練模塊，用于將特征約簡后的M類異常樣本及正常樣本，作為樣本集合，對初始機器學習模型進行訓練，得到入侵檢測模型；其中，所述機器學習模型由M+1個分類器構成；

檢測模塊，用于基于所述入侵檢測模型，進行網絡攻擊檢測；

所述均衡模塊包括：

統計子模塊，用于統計所述M類異常樣本中每類異常樣本的數量；

均衡子模塊，用于針對樣本數量低于第一預設值的類，對所述類內樣本進行樣本變換得到至少一個新樣本；或者，針對樣本數量高于第二預設值的類，對所述類內的部分樣本進行過濾處理；

所述均衡子模塊，還用于得到異常樣本數量符合預設條件的M類異常樣本；

所述約簡模塊包括：

提取子模塊，用于提取所述M類異常樣本中的各樣本的特征向量；

約簡子模塊，用于針對每個所述樣本的特征向量中各特征與相應異常類標簽之間的相關度，對各特征進行排序；并基于SVM算法對特征向量中的特征進行選取操作，得到特征約簡后的樣本特征向量。

5.根據權利要求4所述的入侵檢測裝置，其特征在于，所述樣本集合包括M+1個子集；其中，M個異常類子集中的每個樣本均攜帶有相應異常類標簽信息，1個正常類子集中的每個樣本均攜帶有正常類標簽信息；

所述訓練模塊，還用于將所述樣本集合輸入至所述初始機器學習模型，分別基于每個異常類子集與正常類子集合并的數據集，對初始機器學習模型中所述異常類相應的分類器進行訓練，得到所述入侵檢測模型；其中，所述入侵檢測模型由M+1個分類器構成。