[發明專利]一種基于深度學習的網絡攻擊檢測裝置及方法

有效

• 申請號: 202010080797.6
• 申請日: 2020-02-05
• 公開（公告）號: CN111343147B
• 公開（公告）日: 2020-12-11
• 發明（設計）人: 陳雙武;金東;楊堅;張勇東;劉新民;王瑋
• 申請（專利權）人: 北京中科研究院;中國科學技術大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 北京凱特來知識產權代理有限公司 11260
• 代理人: 鄭立明;鄭哲

1.一種基于深度學習的網絡攻擊檢測裝置，其特征在于，包括：深度學習網絡攻擊檢測模塊，所述深度學習網絡攻擊檢測模塊包括：特征提取模塊、已知類型分類模塊、重構模塊、極值分析模塊與決策模塊；其中：

特征提取模塊，用于從待測流量中提取表達特征；

已知類型分類模塊，用于根據表達特征評估待測流量為某種已知類型的概率；

所述重構模塊，用于重構表達特征，獲得重構特征；

極值分析模塊，用于根據重構特征與表達特征之間的重構誤差評估待測流量為未知攻擊的概率；

決策模塊，用于根據待測流量為某種已知類型的概率及為未知攻擊的概率，預測待測流量的類型；

重構模塊由自動編碼器構成，重構模塊利用表達特征z_i生成重構特征利用隨機梯度下降法訓練重構模塊的參數，損失函數采用下式所示的平方誤差損失函數：

上式中，M表示批訓練個數；

極值擬合模塊基于韋布爾分布評估待測流量為未知攻擊的概率，韋布爾分布是服從極值理論的概率分布模型，其概率分布函數如下所示：

極值擬合模塊的參數訓練時，首先按照下式計算出所有已知流量的重構誤差e＝(e₁，e₂，…，e_N)：

其中，i＝1，2，...，N，N為訓練樣本個數；將所有的重構誤差按照從小到大的順序排序，并選取排序靠前的η個重構誤差；

對于η個重構誤差，通過極大似然法獲得(m，τ，σ)參數，m、τ、σ分別為形狀參數、位置參數、規模參數；

對于待測流量，將重構誤差e′帶入P_EVT(x)式子計算出結果P_EVT(e′)即為待測流量為未知攻擊的概率，重構誤差e′越大，P_EVT(e′)越大。

2.根據權利要求1所述的一種基于深度學習的網絡攻擊檢測裝置，其特征在于，裝置還包括：流量提取模塊與流量預處理模塊；

流量提取模塊，用于從網絡中獲取原始流量；

流量預處理模塊，用于從原始流量按照五元組劃分成不同的待測試流量；五元組包括：源IP、目的IP、源端口、目的端口及協議號；

流量預處理模塊劃分的每條待測試流量的前d個字節作為深度學習網絡攻擊檢測模塊的輸入。

3.根據權利要求1所述的一種基于深度學習的網絡攻擊檢測裝置，其特征在于，特征提取模塊與已知類型分類模塊分別通過卷積神經網絡的卷積層與全連接層實現；

訓練時的訓練樣本為(x，y)＝{(x₁，y₁)，(x₂，y₂)…(x_N，y_N)}，特征提取模塊的輸入為x_i∈R^d，表示第i條流量的前d個字節，y_i∈{1，2，…，K}是x_i對應的標簽，其中，N為訓練樣本個數，K為類型個數；

特征提取模塊的輸出表達特征z_i，通過已知類型分類模塊得到歸一化輸出向量其中反應了x_i屬于已知類型j的概率；j＝1，2，...K，為已知類型的序號值；已知類型包括：正常流量類型以及各種已知攻擊類型；

利用隨機梯度下降法同時訓練特征提取模塊的參數和已知類型分類模塊的參數，損失函數采用下式所示的交叉熵損失函數：

上式中，M表示批訓練個數，即，將N個訓練樣本劃分為多個批次，每個批次包含M個訓練樣本；是標簽y_i的獨熱編碼形式，(j)為中的第j個元素。