[發(fā)明專利]一種基于自動(dòng)編碼器的網(wǎng)絡(luò)流量異常行為識別方法

有效

• 申請?zhí)枺?/td>: 202010217930.8
• 申請日: 2020-03-25
• 公開（公告）號: CN111556016B
• 公開（公告）日: 2021-02-26
• 發(fā)明（設(shè)計(jì)）人: 蹇詩婕;姜波;盧志剛;劉玉嶺;杜丹;劉寶旭
• 申請（專利權(quán)）人: 中國科學(xué)院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62;G06N7/00;G06N20/00
• 代理公司: 北京君尚知識產(chǎn)權(quán)代理有限公司 11200
• 代理人: 陳艷

1.一種基于自動(dòng)編碼器的網(wǎng)絡(luò)流量異常行為識別方法，包括以下步驟：

1)使用自動(dòng)編碼器來構(gòu)建稀疏異常入侵檢測模型SAIDS；

2)對SAIDS模型進(jìn)行訓(xùn)練，步驟包括：

SAIDS模型對原始訓(xùn)練數(shù)據(jù)進(jìn)行預(yù)處理，該原始訓(xùn)練數(shù)據(jù)包括NSL-KDD數(shù)據(jù)集和UNSW-NB15數(shù)據(jù)集，通過預(yù)處理得到標(biāo)準(zhǔn)化數(shù)據(jù)，預(yù)處理包括將符號數(shù)據(jù)使用one-hot編碼轉(zhuǎn)換為數(shù)值型數(shù)據(jù)，并對數(shù)值型數(shù)據(jù)進(jìn)行歸一化處理；

對預(yù)處理后的訓(xùn)練數(shù)據(jù)采用綜合少數(shù)過采樣方法來平衡流量數(shù)據(jù)中正常流量和異常流量的類別分布，得到平衡數(shù)據(jù)；

根據(jù)平衡數(shù)據(jù)來進(jìn)行正常流量和異常流量的分類，計(jì)算損失值，找出最小損失值對應(yīng)的模型參數(shù)，得到訓(xùn)練好的SAIDS模型；

3)利用訓(xùn)練好的SAIDS模型檢測待識別的網(wǎng)絡(luò)流量，步驟包括：

SAIDS模型對待識別的網(wǎng)絡(luò)流量進(jìn)行預(yù)處理，對預(yù)處理后的網(wǎng)絡(luò)流量進(jìn)行正常流量和異常流量的分類，識別出異常行為；

所述SAIDS模型包括丟棄層和自動(dòng)編碼器；丟棄層對平衡數(shù)據(jù)進(jìn)行預(yù)處理，防止過擬合；自動(dòng)編碼器包括輸入層、編碼層和解碼層，輸入層接收預(yù)處理后的平衡數(shù)據(jù)，編碼層將平衡數(shù)據(jù)映射為低維特征，解碼層將低維特征重新構(gòu)建成輸入數(shù)據(jù)，并進(jìn)行正常流量和異常流量的分類；所述SAIDS模型訓(xùn)練時(shí)選擇Relu激活函數(shù)和Adam優(yōu)化器，并使用均方誤差來計(jì)算損失值。

2.如權(quán)利要求1所述的方法，其特征在于，原始訓(xùn)練數(shù)據(jù)帶有正常流量和異常流量的類別標(biāo)簽。

3.如權(quán)利要求1所述的方法，其特征在于，歸一化處理是將數(shù)值型數(shù)據(jù)縮小到[0,1]范圍內(nèi)。

4.如權(quán)利要求3所述的方法，其特征在于，采用Min-Max歸一化方法進(jìn)行歸一化處理。

5.如權(quán)利要求1所述的方法，其特征在于，綜合少數(shù)過采樣方法采用線性插值，通過少數(shù)類別中的數(shù)據(jù)樣本與隨機(jī)選取的一最近鄰居樣本之差乘以一0到1之間的隨機(jī)數(shù)，再與該少數(shù)類別中的數(shù)據(jù)樣本之和，生成新的數(shù)據(jù)。

6.如權(quán)利要求1所述的方法，其特征在于，丟棄層是將輸入的平衡數(shù)據(jù)與概率服從伯努利分布的向量進(jìn)行元素乘積處理。