[發明專利]基于關系網絡的主機入侵檢測方法

有效

• 申請號: 202010127938.5
• 申請日: 2020-02-28
• 公開（公告）號: CN111431863B
• 公開（公告）日: 2021-04-27
• 發明（設計）人: 周世杰;楊曉慶;劉啟和;程紅蓉
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/55;G06N3/04;G06N3/08
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 夏琴

1.一種基于關系網絡的主機入侵檢測方法，其特征在于，包括：

步驟1，對主機系統調用序列樣本集進行特征化處理，得到樣本集的屬性矩陣和標簽矩陣；步驟1包括如下子步驟：

步驟1.1，對樣本集進行數值化；

步驟1.2，對數值化后的樣本集進行特征化，得到一維特征矩陣；

步驟1.3，對一維特征矩陣進行擴維；

步驟1.4，對擴維后的一維特征矩陣中的特征值進行標準化；

步驟1.5，將標準化后的一維特征矩陣轉換為二維矩陣，得到樣本集的屬性矩陣X；

步驟1.6，對樣本集的樣本標簽采用One-Hot編碼，得到標簽矩陣Y；

步驟2，將經步驟1處理后的數據集劃分為訓練集、支持集和測試集；再將訓練集劃分為樣例集和查詢集，所述樣例集和查詢集分別對應測試時的支持集和測試集；

步驟3，構建關系網絡模型；所述關系網絡模型包括嵌入模塊、連接模塊和關系模塊；所述嵌入模塊的輸出經過連接模塊進行特征處理后再輸入關系模塊；

步驟4，定義關系網絡模型的目標函數；

步驟5，將樣本集經過步驟1處理和步驟2劃分后輸入構建的關系網絡模型，并利用步驟4確定的目標函數訓練構建的關系網絡模型，得到主機入侵檢測模型；步驟5包括如下子步驟：

步驟5.1，根據步驟1得到樣本的屬性矩陣X和標簽矩陣Y；

步驟5.2，根據步驟2將步驟5.1得到的數據集劃分為訓練集、支持集和測試集；再將訓練集劃分為樣例集和查詢集；

步驟5.3，設置訓練迭代次數episode；

步驟5.4，在每次迭代過程中從訓練集抽取C個類別，每個類別K個樣本作為樣例集，再從這C個類別中剩余的樣本中抽取batch個樣本作為查詢集；

步驟5.5，將樣例集的C*K個樣本和查詢集的batch個樣本輸入嵌入模塊，得到C*K個和batch個其中，x_i為來自樣例集的第i個樣本，表示經過嵌入模塊得到的樣本特征，x_j為來自查詢集的第j個樣本，表示經過嵌入模塊得到的樣本特征；為嵌入模塊要學習的參數；

步驟5.6，將樣例集的CK個樣本和查詢集的batch個樣本進行特征連接，得到batch*C*K個特征連接對，其中，con表示兩個樣本特征進行連接運算，表示樣例集的第i個樣本特征和查詢集的第j個樣本特征進行連接；

步驟5.7，將batch*C*K個的特征連接對輸入關系模塊，得到batch*C個特征連接對的相關分數，即batch*C個c為C的其中一個取值，并將其進行One-Hot編碼；是連接模塊的輸出，經關系模塊進行特征關聯后，得到為連接模塊學習的參數；

步驟5.8，根據步驟4定義的目標函數，進行參數更新；

步驟5.9，重復執行步驟5.4～5.8，episode次，最終得到主機入侵檢測模型；

步驟6，將需要檢測的主機系統調用序列經過步驟1后輸入訓練好的主機入侵檢測模型進行主機入侵檢測。

2.根據權利要求1所述的基于關系網絡的主機入侵檢測方法，其特征在于，步驟1.2中采用詞袋模型對數值化后的樣本集進行特征化。

3.根據權利要求1所述的基于關系網絡的主機入侵檢測方法，其特征在于，步驟1.4中采用z-score標準化方法對擴維后的一維特征矩陣中的特征值進行標準化。

4.根據權利要求1所述的基于關系網絡的主機入侵檢測方法，其特征在于，所述嵌入模塊包括四個卷積塊(Convolutional block)和兩個2*2最大池化層，其結構依次為：卷積塊、2*2最大池化層、卷積塊、2*2最大池化層、卷積塊、卷積塊；其中，每個卷積塊是由64個3*3的卷積核、1個批正則化層和1個線性整流層組成；

所述嵌入模塊對輸入的樣本進行的操作如下：

其中，x_i表示嵌入模塊的輸入，即第i個樣本；為嵌入模塊對樣本x_i進行特征映射操作后得到的特征，為嵌入模塊要學習的參數。