[發明專利]一種基于圖神經網絡的網絡攻擊檢測方法、系統及裝置

有效

• 申請號: 202010574294.4
• 申請日: 2020-06-22
• 公開（公告）號: CN111885000B
• 公開（公告）日: 2022-06-21
• 發明（設計）人: 洪鎮宇;黃梅芬
• 申請（專利權）人: 網宿科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F40/211;G06F16/35;G06N3/04;G06N3/08
• 代理公司: 北京華智則銘知識產權代理有限公司 11573
• 代理人: 陳剛

1.一種基于圖神經網絡的網絡攻擊檢測方法，其特征在于，所述方法包括：

獲取訓練樣本語句，所述訓練樣本語句中至少包括具備網絡攻擊行為的攻擊樣本語句；

為所述訓練樣本語句中的字符設置字符標簽，并基于設置的所述字符標簽構建所述訓練樣本語句的標簽圖；其中，為所述訓練樣本語句中的字符設置字符標簽包括：讀取預設的字符字典，所述字符字典用于為各個字符設置字符分類；將所述訓練樣本語句按照字符進行分割，并根據所述字符字典，對所述訓練樣本語句中的各個字符進行分類；將分類標簽作為字符標簽，分配給所述訓練樣本語句中對應的字符；

根據構建的所述標簽圖訓練分類模型，具體包括：將所述標簽圖中的字符標簽分別轉換為字向量，以生成包含字向量的向量圖；利用預設圖算法對所述向量圖進行學習，以訓練得到分類模型；

通過訓練得到的所述分類模型檢測具備網絡攻擊行為的流量。

2.根據權利要求1所述的方法，其特征在于，在獲取訓練樣本語句之后，所述方法還包括：

根據待訓練的分類模型的類型，對所述訓練樣本語句進行標注。

3.根據權利要求1或2所述的方法，其特征在于，按照以下方式對所述訓練樣本語句進行標注：

若所述分類模型用于檢測指定類型的網絡攻擊行為，將具備所述指定類型的網絡攻擊行為的訓練樣本語句標注為正樣本，并將其它的訓練樣本語句標注為負樣本；

若所述分類模型用于檢測任意的網絡攻擊行為，將具備網絡攻擊行為的訓練樣本語句標注為正樣本，并將不具備網絡攻擊行為的訓練樣本語句標注為負樣本。

4.根據權利要求1所述的方法，其特征在于，在獲取訓練樣本語句之后，所述方法還包括：

對所述訓練樣本語句進行解碼，并刪除解碼失敗的訓練樣本語句。

5.根據權利要求1所述的方法，其特征在于，基于設置的所述字符標簽構建所述訓練樣本語句的標簽圖包括：

生成各個所述字符標簽對應的節點，并將所述節點按照字符在訓練樣本語句中出現的順序依次排列，并在相鄰的節點之間添加指向連線或無向連線，以構建所述訓練樣本語句的有向標簽圖或者無向標簽圖。

6.根據權利要求5所述的方法，其特征在于，若所述訓練樣本語句中包括相鄰的重復字符，生成各個所述字符標簽對應的節點包括：

針對所述重復字符僅生成一個節點，并在所述節點上添加閉環連線，以通過所述閉環連線表征重復字符。

7.根據權利要求1所述的方法，其特征在于，在利用預設圖算法對所述向量圖進行學習之后，所述方法還包括：

利用預設神經網絡算法，對所述預設圖算法提取的圖特征再次進行特征提取，并利用再次提取的特征訓練得到分類模型。

8.根據權利要求1所述的方法，其特征在于，所述方法還包括：

獲取待檢測語句，并為所述待檢測語句中的字符設置字符標簽，以基于設置的字符標簽構建所述待檢測語句的標簽圖；

利用訓練后的分類模型，將所述待檢測語句的標簽圖轉換為包含字向量的向量圖，并對轉換得到的向量圖進行特征提取，以根據提取的特征輸出所述待檢測語句的預測結果。