[發明專利]一種基于條件變分自編碼器的網絡入侵檢測方法

有效

• 申請號: 202010718260.8
• 申請日: 2020-07-23
• 公開（公告）號: CN111967502B
• 公開（公告）日: 2021-09-24
• 發明（設計）人: 徐行;李杰;楊陽;邵杰
• 申請（專利權）人: 電子科技大學
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;G06N3/08
• 代理公司: 電子科技大學專利中心 51203
• 代理人: 周劉英

1.一種基于條件變分自編碼器的網絡入侵檢測方法，該方法由基于條件變分自編碼器的網絡入侵檢測模型實現，其特征在于，該方法包括以下步驟：

步驟S1：選擇訓練數據集；

步驟S2：構建基于對數雙曲余弦損失的條件變分自編碼器模型，對訓練數據集進行擴充，得到擴充后的訓練數據集；

步驟S3：構建基于卷積神經網絡的分類器模型；

步驟S4：對擴充后的訓練數據集進行預處理操作，得到預處理操作后的訓練數據集；

步驟S5：采用步驟S4中預處理操作后的訓練數據集訓練分類器模型，得到訓練好的分類器模型；

步驟S6：使用訓練好的分類器模型對網絡中的攻擊或者入侵行為進行檢測；

其中，所述基于對數雙曲余弦損失的條件變分自編碼器模型為了解決訓練數據集中的樣本不均衡問題，使用條件變分自編碼器來生成某種特定類別的數據，以此對訓練數據集進行擴充，所述基于對數雙曲余弦損失的條件變分自編碼器模型的結構具體為：每一個條件變分自編碼器包含兩部分：編碼器和解碼器；編碼器是一個神經網絡，將提取的數據特征映射成低維的潛在變量，編碼器使用四層全連接網絡，輸入維度為118，輸出維度為1024，中間兩層隱含層維度分別為256和512；解碼器也是一個神經網絡，將低維的潛在變量解碼重構回與原始數據特征盡可能接近的表示，解碼器的維度與編碼器的維度相反，輸入輸出維度分別為1024和118，中間隱含層的維度為512和256；基于對數雙曲余弦損失的條件變分編碼器的總損失函數為：

其中，x_i，分別表示條件變分自編碼器的輸入和輸出，下標i表示數據的維度編號，a是超參數，預先設定為10，μ，σ分別表示變分自編碼器輸出的均值和方差，下標j表示潛在特征向量的維度；

所述基于卷積神經網絡的分類器模型結構由兩層卷積神經網絡層和三層稠密連接網絡層組成，卷積神經網絡層用于提取數據的特征，再使用稠密連接網絡層預測數據的類別信息，具體地，使用RELU函數作為卷積神經網絡層的激活函數，并且為了加速模型收斂，在每層卷積神經網絡層之后添加歸一化層，最后，在最后一層卷積神經網絡層之后加上池化層，三層稠密連接網絡層連接在池化層之后；第一層卷積神經網絡層的輸入維度數為1維，輸出維度為5維，卷積核大小為3，填充和步數都設置為1，第二層卷積神經網絡層的輸入和輸出維度分別為6和16維，卷積核大小、填充和步數與第一層卷積神經網絡層相同，三層稠密連接網絡層輸出維度分別為512、256和數據集中數據的類別數目；

所述步驟S1中選取NSL-KDD數據集進行實驗，NSL-KDD數據集是從KDDCUP99數據集中分離出來的一個子數據集，該數據集刪除了KDDCUP99數據集中重復和冗余的數據，因此更適合于模型網絡入侵性能評估，NSL-KDD數據集總共包含5大類，1個正常類和4個異常類，包括端口攻擊、拒絕服務攻擊、遠程用戶攻擊、提權攻擊，NSL-KDD數據集是不均衡的，遠程用戶攻擊和提權攻擊兩類具有較少的數據量，因此該數據集存在樣本不均衡問題，這與網絡設備在實際生活中一致，正常數據總是大量存在，而異常數據是少量的，使用該數據集中文件名為：KDDTrain+_20Percent.txt的文件作為訓練數據集，文件名為：KDDTest+.txt中的數據作為測試數據集來評估基于條件變分自編碼器的網絡入侵檢測模型的性能。