[發明專利]一種入侵行為的檢測方法、裝置、設備和存儲介質

有效

• 申請號: 202010622161.X
• 申請日: 2020-06-30
• 公開（公告）號: CN111786999B
• 公開（公告）日: 2023-03-24
• 發明（設計）人: 司瑞彬;顧杜娟;楊傳安;田宇;徐澄;王靜平
• 申請（專利權）人: 中國電子科技集團公司電子科學研究院;綠盟科技集團股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/142;G06N3/042;G06N3/08;G06F16/33;G06F16/35
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 路曉丹

本發明實施例提供了一種入侵行為的檢測方法、裝置、設備和存儲介質，用以使網絡設備對未知類別的入侵行為做出正確響應，提高網絡設備的安全性。所述方法包括：獲取入侵行為數據；將入侵行為數據與預先配置的包含多個入侵行為類別標簽的入侵行為類別集合，分別輸入至預先訓練的度量神經網絡模型中，根據度量神經網絡模型的輸出結果，確定入侵行為數據與每一入侵行為類別標簽的相似度，其中，度量神經網絡模型是基于訓練樣本數據、與訓練樣本數據對應的行為類別、以及非對應行為類別訓練生成的；通過對相似度進行排序，確定與入侵行為數據相似度最高的目標入侵行為類別標簽，并將目標入侵行為類別標簽確定為入侵行為數據所屬的入侵行為類別。

技術領域

本發明涉及深度學習領域，尤其涉及一種入侵行為的檢測方法、裝置、設備和存儲介質。

背景技術

隨著網絡技術的飛速發展，網絡安全問題日益凸顯。入侵檢測技術通過分析網絡流量信息，檢測識別出入侵行為，從而及時攔截該攻擊行為，避免對網絡造成損害對用戶造成損失。

傳統機器學習方法，如支持向量機分類器、K近鄰分類器以及隨機森林分類器等方法在早期入侵檢測系統中取得了一定的效果。但是隨著網絡數據的急劇膨脹，上述模型對大數據的擬合能力不斷下降，導致識別精度也在逐漸下降，已不能滿足大數據下的網絡入侵識別要求。

深度學習技術通過自動學習數據的層次表達可以有效學習網絡入侵數據的內在規律，加之其強大的模型擬合能力，在入侵檢測上已逐漸超越傳統的分類方法。目前廣泛應用在入侵檢測的深度學習技術包括深度置信網絡、多層感知器網絡、卷積神經網絡以及循環神經網絡等。相關技術可以提高入侵檢測率。但是所有方法僅能識別出已知入侵類型，不能識別出未知類別的入侵行為。其根本原因在于網絡模型的訓練無法將未知入侵類型納入考慮，也就決定了其僅能識別出訓練集中出現的入侵類型。

綜上所述，現有技術中的入侵行為檢測模型只能識別出已知的入侵行為，不能在零樣本訓練條件下對未知類別的入侵行為進行識別，進而使得網絡設備無法對該入侵行為做出正確響應。

發明內容

本發明實施例提供了一種入侵行為的檢測方法、裝置、設備和存儲介質，用以使網絡設備對未知類別的入侵行為做出正確響應，提高網絡設備的安全性。

第一方面，本發明實施例提供一種入侵行為的檢測方法，包括：

獲取入侵行為數據；

將入侵行為數據與預先配置的包含多個入侵行為類別標簽的入侵行為類別集合，分別輸入至預先訓練的度量神經網絡模型中，根據度量神經網絡模型的輸出結果，確定入侵行為數據與每一入侵行為類別標簽的相似度，其中，度量神經網絡模型是基于訓練樣本數據、與訓練樣本數據對應的行為類別、以及與訓練樣本數據非對應行為類別訓練生成的；

通過對相似度進行排序，確定與入侵行為數據相似度最高的目標入侵行為類別標簽，并將目標入侵行為類別標簽確定為入侵行為數據所屬的入侵行為類別。

本發明實施例提供的入侵行為的檢測方法，首先獲取入侵行為數據，然后將入侵行為數據與預先配置的包含多個入侵行為類別標簽的入侵行為類別集合，分別輸入至預先訓練的度量神經網絡模型中，根據度量神經網絡模型的輸出結果，確定入侵行為數據與每一入侵行為類別標簽的相似度，最后通過對相似度進行排序，確定與入侵行為數據相似度最高的目標入侵行為類別標簽，并將目標入侵行為類別標簽確定為入侵行為數據所屬的入侵行為類別。其所獲取的入侵行為數據為待檢測數據，并基于預先訓練的度量神經網絡模型進行檢測與分類，與現有技術相比，可以在零樣本訓練條件下對未知類別的入侵行為進行識別，進而使得網絡設備對未知類別的入侵行為做出正確響應，提高網絡設備的安全性。

在一種可能的實施方式中，預先訓練的度量神經網絡模型，采用如下步驟訓練生成：

獲取訓練樣本數據、入侵行為樣本數據對應的入侵行為類別和入侵行為樣本數據非對應的入侵行為類別，其中，訓練樣本數據中包括入侵行為樣本數據和正常行為樣本數據；