[發(fā)明專利]一種基于條件變分自編碼器的網(wǎng)絡(luò)入侵檢測方法

有效

• 申請?zhí)枺?/td>: 202010718260.8
• 申請日: 2020-07-23
• 公開（公告）號: CN111967502B
• 公開（公告）日: 2021-09-24
• 發(fā)明（設(shè)計(jì)）人: 徐行;李杰;楊陽;邵杰
• 申請（專利權(quán)）人: 電子科技大學(xué)
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;G06N3/08
• 代理公司: 電子科技大學(xué)專利中心 51203
• 代理人: 周劉英

本發(fā)明公開了一種基于條件變分自編碼器的網(wǎng)絡(luò)入侵檢測方法，屬于網(wǎng)絡(luò)空間入侵檢測技術(shù)領(lǐng)域，該方法先訓(xùn)練一個以對數(shù)雙曲余弦函數(shù)作為損失函數(shù)的條件變分自編碼器用于對數(shù)據(jù)集擴(kuò)充，然后使用數(shù)據(jù)擴(kuò)充后的數(shù)據(jù)集訓(xùn)練一個基于卷積神經(jīng)網(wǎng)絡(luò)的分類器作為整個模型的入侵檢測器。本發(fā)明利用條件變分自編碼的生成能力和卷積網(wǎng)絡(luò)對數(shù)據(jù)特征優(yōu)異的特征提取能力，提升了在網(wǎng)絡(luò)空間入侵?jǐn)?shù)據(jù)集上的分類檢測性能，同時也解決了由于數(shù)據(jù)集樣本不均衡造成的性能下降的問題。

技術(shù)領(lǐng)域

本發(fā)明屬于網(wǎng)絡(luò)空間入侵檢測技術(shù)領(lǐng)域，具體涉及一種基于條件變分自編碼器的網(wǎng)絡(luò)入侵檢測方法。

背景技術(shù)

網(wǎng)絡(luò)空間入侵檢測技術(shù)是指通過獲取某網(wǎng)絡(luò)設(shè)備的連接信息、日志文件等信息來檢測對該設(shè)備的入侵，即任何試圖破壞網(wǎng)絡(luò)設(shè)備數(shù)據(jù)完整性、機(jī)密性和可訪問性的動作。隨著物聯(lián)網(wǎng)的不斷發(fā)展和物聯(lián)網(wǎng)設(shè)備的增多，如何確保網(wǎng)絡(luò)空間中設(shè)備的安全逐漸成為一個研究熱點(diǎn)。網(wǎng)絡(luò)空間入侵檢測技術(shù)旨在物聯(lián)網(wǎng)網(wǎng)絡(luò)的網(wǎng)絡(luò)層識別設(shè)備的異常連接信息，以達(dá)到對用戶數(shù)據(jù)、隱私等信息進(jìn)行保護(hù)的目的。

隨著機(jī)器學(xué)習(xí)特別是深度學(xué)習(xí)技術(shù)的發(fā)展，基于機(jī)器學(xué)習(xí)的網(wǎng)絡(luò)空間入侵檢測技術(shù)不斷涌現(xiàn)。相較于手工設(shè)計(jì)數(shù)據(jù)的特征，機(jī)器學(xué)習(xí)方法可以自動學(xué)習(xí)數(shù)據(jù)的特征并由此對數(shù)據(jù)進(jìn)行分類，因此具有更高的魯棒性。在機(jī)器學(xué)習(xí)領(lǐng)域，入侵檢測技術(shù)主要有兩類方法：傳統(tǒng)機(jī)器學(xué)習(xí)算法和深度學(xué)習(xí)方法。

1)傳統(tǒng)機(jī)器學(xué)習(xí)算法：傳統(tǒng)機(jī)器學(xué)習(xí)算法往往是通過各類算法決定不同類數(shù)據(jù)在樣本空間的決策邊界來進(jìn)行分類工作。聚類算法(K-均值和高斯混合模型)往往計(jì)算正常數(shù)據(jù)的分布，并將任何偏離該分布的數(shù)據(jù)判斷為異常。分類算法(支持向量機(jī)、K-近鄰和隨機(jī)森林)利用選擇的特征建立分類器來檢測入侵。

2)深度學(xué)習(xí)方法：深度學(xué)習(xí)方法旨在利用深度神經(jīng)網(wǎng)絡(luò)對非線性關(guān)系的抽象能力學(xué)習(xí)異常連接的特征而進(jìn)行檢測。自編碼器、深度神經(jīng)網(wǎng)絡(luò)和遞歸神經(jīng)網(wǎng)絡(luò)等模型可以自動提取數(shù)據(jù)特征并進(jìn)行分類工作。

當(dāng)然也有許多算法使用各種集成和混合技術(shù)來提高模型的檢測性能，包括裝袋算法、提升算法和混合分類器等方法。

現(xiàn)有檢測方法存在因數(shù)據(jù)集樣本不足、各類樣本數(shù)量不均衡和模型特征表征能力不足而導(dǎo)致檢測率低的問題。

發(fā)明內(nèi)容

本發(fā)明的目的在于克服現(xiàn)有技術(shù)的不足，提供一種基于條件變分自編碼器的網(wǎng)絡(luò)入侵檢測方法；以對數(shù)雙曲余弦作為損失函數(shù)的條件變分自編碼器作為模型的數(shù)據(jù)生成器，該數(shù)據(jù)生成器通過訓(xùn)練集訓(xùn)練后可以生成不同種類的數(shù)據(jù)樣本，可以達(dá)到數(shù)據(jù)集擴(kuò)充的作用。同時，以卷積神經(jīng)網(wǎng)絡(luò)為主要網(wǎng)絡(luò)結(jié)構(gòu)的分類器通過提高特征提取的準(zhǔn)確率和加強(qiáng)特征之間的相關(guān)性來提升模型的特征學(xué)習(xí)能力，并由此達(dá)到提升分類器準(zhǔn)確率的目的。

其中所述的對數(shù)雙曲余弦條件變分自編碼器的損失函數(shù)設(shè)置為：x_i，分別表示條件變分自編碼器的輸入和輸出，μ，σ分別表示變分自編碼器輸出的均值和方差，下標(biāo)i表示數(shù)據(jù)的維度編號，下標(biāo)j表示潛在特征向量的維度，a是超參數(shù)，一般設(shè)定為10。為解決網(wǎng)絡(luò)入侵?jǐn)?shù)據(jù)集中因樣本不均衡而導(dǎo)致的準(zhǔn)確率下降等問題，該條件變分自編碼器作為整個基于條件變分自編碼器的網(wǎng)絡(luò)入侵檢測模型的生成器用于數(shù)據(jù)擴(kuò)充。同時，使用以卷積神經(jīng)網(wǎng)絡(luò)為主要網(wǎng)絡(luò)結(jié)構(gòu)的分類器作為網(wǎng)絡(luò)入侵的分類器；所述的分類器由兩層卷積神經(jīng)網(wǎng)絡(luò)和三層稠密連接網(wǎng)絡(luò)組成，卷積神經(jīng)網(wǎng)絡(luò)用于提取數(shù)據(jù)的特征，再使用稠密連接網(wǎng)絡(luò)預(yù)測數(shù)據(jù)的類別信息。卷積神經(jīng)網(wǎng)絡(luò)可以很好地對數(shù)據(jù)的特征進(jìn)行提取而且相較于稠密連接網(wǎng)絡(luò)，卷積神經(jīng)網(wǎng)絡(luò)可以獲取數(shù)據(jù)不同維度元素之間的相關(guān)性信息。

本發(fā)明通過下述技術(shù)方案實(shí)現(xiàn)：一種基于條件變分自編碼器的網(wǎng)絡(luò)入侵檢測方法，先使用以對數(shù)雙曲余弦作為損失函數(shù)的變分自編碼器對網(wǎng)絡(luò)空間入侵?jǐn)?shù)據(jù)集進(jìn)行數(shù)據(jù)集擴(kuò)充，然后再使用擴(kuò)充后的數(shù)據(jù)集訓(xùn)練一個以卷積神經(jīng)網(wǎng)絡(luò)為主要結(jié)構(gòu)的分類器，經(jīng)過訓(xùn)練之后的分類器進(jìn)行入侵檢測。

一種基于條件變分自編碼器的網(wǎng)絡(luò)入侵檢測方法，具體包括以下步驟：

步驟S1：選擇訓(xùn)練數(shù)據(jù)集；