[發明專利]基于改進的LSTM對APT攻擊惡意軟件流量進行分類的方法

有效

• 申請號: 202010313692.0
• 申請日: 2020-04-20
• 公開（公告）號: CN111523588B
• 公開（公告）日: 2022-04-29
• 發明（設計）人: 張小松;牛偉納;趙藝賓;趙成洋;謝嬌;曹榮
• 申請（專利權）人: 電子科技大學
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;G06N3/08;H04L9/40
• 代理公司: 成都正煜知識產權代理事務所(普通合伙) 51312
• 代理人: 李龍

1.一種基于改進的LSTM對APT攻擊惡意軟件流量進行分類的方法，其特征在于，包括以下步驟：

步驟1：基于計算機硬件，收集APT攻擊常用惡意軟件流量數據與正常流量數據，其中，APT攻擊常用惡意軟件流量數據包括通過網絡收集的異常流量或/和通過惡意軟件收集的惡意流量信息，正常流量數據是指正常訪問網絡的網絡流量數量；

步驟2：提取APT攻擊常用惡意軟件流量數據或/和正常流量數據中各協議的當前靜態特征信息；

步驟3：對當前靜態特征信息進行標準化處理，得到統一量綱后的各協議的靜態特征信息；

步驟4：通過改進的LSTM網絡結構，對統一量綱后的各協議的靜態特征信息進行時序特征的提取；

步驟5：采用深度學習的方式對提取的大量的各協議的時序性信息進行分類處理，基于各協議分類處理后訓練各分類器得到相應的模型M，其中，時序性信息即指時序特征；

步驟6：基于各模型M，對待檢測的流量數據進行檢測分類;

步驟4中改進的LSTM網絡結構為RESNET_LSTM網絡結構和PARALLEL_LSTM網絡結構，其結構如下：

所述RESNET_LSTM網絡結構如下：

在傳統LSTM基礎上將前面第n個細胞的狀態信息轉移到后續細胞結構中，即使用可訓練的矩陣將前n個細胞的狀態信息與前一個細胞的狀態信息、進行矩陣相乘后相加得到新的狀態信息，作為當前細胞新的輸入狀態信息，其中，RESNET_LSTM網絡結構的隱藏單元為128的n_resnet_lstm網絡；

其中，LSTM網絡結構包括三個細胞結構，首尾為相同的細胞結構，其內部運行相同，每個細胞結構輸出兩個信息，分別是狀態信息和輸出信息，其中，n_resnet_lstm網絡則是當前細胞前n個細胞的狀態信息直接傳遞到當前細胞、并與前一個細胞的狀態信息進行矩陣相乘，獲得的當前細胞新的輸入狀態信息，公式如下:

其中，和分別表示和的權重，其大小與狀態矩陣相同，和分別代表前一個細胞的狀態信息與前n個細胞的狀態信息；

所述PARALLEL_LSTM網絡結構如下：

包括多個并行的網絡結構，獲取到相同數據、不同時序維度下的靜態特征信息，其中，各網絡結構依次包括輸入層、全連接層、LSTM層以及分類層。

2.根據權利要求1所述的基于改進的LSTM對APT攻擊惡意軟件流量進行分類的方法，其特征在于，所述步驟2中各協議靜態特征信息包括IP協議的靜態特征信息、ICMP協議的靜態特征信息、UDP協議的靜態特征信息、TCP協議的靜態特征信息、DNS協議的靜態特征信息；

所述IP協議的靜態特征信息包括IP段長度、IP層下層協議、服務類型、Fragmentationflags，即分段標志、生存時間，其中，服務類型默認為0，生存時間默認為64、最大為255；

所述ICMP協議的靜態特征信息包括類型字段type和代碼字段code；

所述UDP協議的靜態特征信息包括 源端口號、目的端口號和數據長度；

所述TCP協議的靜態特征信息包括源端口號、目的端口號、數據傳輸序列號、數據傳輸確認號、標志位信息、傳輸窗口大小、數據校驗和緊急方式數據傳輸位；

所述DNS協議的靜態特征信息包括請求類型、標志位信息、生存時間和請求長度；

提取各協議的靜態特征信息的同時，針對每個數據流中的每一條報文提取出報文傳輸的時間戳，其中，數據流是指流量數據；

基于時間戳提取了統計特征信息，即數據報文時間差，數據流中的第一個報文時間作為基礎時間戳，后續收集到該數據流中該報文的時間為當前時間戳，則的計算方式如下：

將當前報文的靜態特征信息中的時間戳替換為時間差，結合各個協議提取的靜態特征，得到各協議的當前靜態特征信息。

3.根據權利要求1所述的基于改進的LSTM對APT攻擊惡意軟件流量進行分類的方法，其特征在于，所述步驟3標準化處理的方式如下：

其中，為第個維度的數據集合，即第個維度的當前靜態特征信息的集合，std表示對應第個維度的標準差，表示當前靜態特征信息的第維度的值，μ表示第維度均值，第個維度即指第列。