[發明專利]集成學習模型構建方法、識別方法及裝置、服務器和介質

在審

• 申請號: 202010725443.2
• 申請日: 2020-07-24
• 公開（公告）號: CN111901330A
• 公開（公告）日: 2020-11-06
• 發明（設計）人: 高甲;王慶龍;亓一航
• 申請（專利權）人: 中移（杭州）信息技術有限公司;中國移動通信集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;G06N3/08;G06N20/20
• 代理公司: 上海晨皓知識產權代理事務所(普通合伙) 31260
• 代理人: 成麗杰

本發明實施例涉及網絡安全技術領域，公開了一種集成學習模型構建方法、識別方法及裝置、服務器和介質。該方法包括：選取m個深度神經網絡DNN模型作為集成學習模型的弱學習器；其中，每個DNN模型分別用于對待檢測網絡數據進行訓練并輸出m個預測結果；將m個預測結果拼接后作為元模型的輸入；將元模型的預測結果作為集成學習模型的最終預測結果。本發明實施例可提高機器學習對不平衡入侵行為的檢測效果。

技術領域

本發明涉及網絡安全技術領域，特別涉及一種集成學習模型構建方法、識別方法及裝置、服務器和介質。

背景技術

入侵檢測系統是網絡安全防護常用的方式之一，它彌補了傳統安全防護設備的不足，如防火墻、漏洞掃描和訪問控制，隨著網絡應用的不斷增多，網絡環境日益復雜，安全事件頻繁發生，入侵檢測系統也成為網絡安全領域主要的防護手段之一。隨著機器學習技術的不斷發展進步，以及其在數據特征學習方面所展現出的效果，越來越多的網絡安全研究人員嘗試設計和采用各種機器學習模型解決網絡環境中面臨的各種安全問題，并取得比傳統方式更好的檢測效果。

機器學習技術主要是通過利用對已有入侵數據進行學習，利用學習得到的經驗來對未知數據特征進行預測評估，從而識別入侵行為，主要包括分類、回歸和聚類。目前用于識別網絡入侵行為的機器學習技術，具體可分為傳統機器學習技術、深度學習技術和集成學習技術。機器學習中的大部分算法可以解決分類問題，而入侵檢測主要解決的問題是對網絡行為或者系統狀態的正常和異常進行分類。

基于機器學習的入侵檢測模型主要依賴于分類算法，而入侵數據集的高維特征和不平衡性對傳統機器學習分類算法的訓練時間和檢測效果有很大影響。真實網絡環境中存在的入侵數據大多為不平衡數據，即入侵行為數據中某一類或某幾類的樣本數量遠高于其他類別的樣本數量，并且樣本數量較少的樣本類別比其他類別更加重要，對識別入侵行為的參考意義更大，例如在異常檢測數據中，正常情況的數量是遠高于異常情況，而異常數據對檢測模型更加重要，這是因為把異常情況誤認為是正常情況可能導致無法挽回的后果。

目前的機器學習方法，在處理不平衡的入侵行為數據時，由于多數類和少數類在樣本數量上的差異，并且大多數的分類算法總是以總體分類精度最大為目標，這就導致傳統分類模型向多數類傾斜而忽略了少數類別，造成整體的分類精度不高。

發明內容

有鑒于此，本發明實施方式的目的在于提供一種集成學習模型構建方法、識別方法及裝置、服務器和介質，旨在提高對不平衡入侵行為的檢測效果。

為解決上述技術問題，本發明的實施方式提供了一種集成學習模型構建方法，所述集成學習模型用于識別不平衡入侵行為，包括：

選取m個深度神經網絡DNN模型作為所述集成學習模型的弱學習器；其中，每個所述DNN模型分別用于對待檢測網絡數據進行訓練并輸出m個預測結果；

將所述m個預測結果拼接后作為元模型的輸入；

將所述元模型的預測結果作為所述集成學習模型的最終預測結果。

本發明的實施方式還提供了一種不平衡入侵行為識別方法，包括：

獲取待檢測網絡數據；

將所述待檢測網絡數據輸入如前所述的集成學習模型進行訓練后得到預測結果。

本發明的實施方式還提供了一種集成學習模型構建裝置，所述集成學習模型用于識別不平衡入侵行為，包括：

選取模塊，用于選取m個深度神經網絡DNN模型作為所述集成學習模型的弱學習器；其中，每個所述DNN模型分別用于對待檢測網絡數據進行訓練并輸出m個預測結果，m為正整數；

拼接模塊，用于將所述m個預測結果拼接后作為元模型的輸入；

元計算模塊，用于將所述元模型的預測結果作為所述集成學習模型的最終預測結果。