[發(fā)明專利]一種入侵檢測方法

在審

• 申請?zhí)枺?/td>: 202010937092.1
• 申請日: 2020-09-08
• 公開（公告）號: CN112202722A
• 公開（公告）日: 2021-01-08
• 發(fā)明（設(shè)計）人: 孫文圣;史建琦;黃滟鴻;石奇;付能
• 申請（專利權(quán)）人: 華東師范大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/55
• 代理公司: 北京辰權(quán)知識產(chǎn)權(quán)代理有限公司 11619
• 代理人: 劉廣達

本申請公開了一種入侵檢測方法，包括：對從防護系統(tǒng)中獲取的第一待檢測數(shù)據(jù)集進行字符級預(yù)處理，得到訓(xùn)練輸入數(shù)據(jù)；將所述訓(xùn)練輸入數(shù)據(jù)輸入至基于時間卷積神經(jīng)網(wǎng)絡(luò)的待訓(xùn)練檢測模型，計算損失函數(shù)，訓(xùn)練時間卷積神經(jīng)網(wǎng)絡(luò)，得到檢測模型；使用檢測模型進行入侵檢測，獲取一段時間內(nèi)的誤判數(shù)據(jù)，使用所述誤判數(shù)據(jù)更新所述檢測模型。通過對第一待檢測數(shù)據(jù)集進行字符級預(yù)處理，使不同數(shù)據(jù)源的數(shù)據(jù)格式保持一致并保留原始信息，結(jié)合時間卷積神經(jīng)網(wǎng)絡(luò)技術(shù)，能夠提取不同特征，魯棒性強；使用訓(xùn)練輸入數(shù)據(jù)訓(xùn)練時間卷積神經(jīng)網(wǎng)絡(luò)得到檢測模型，獲取一段時間內(nèi)的誤判數(shù)據(jù)，使用誤判數(shù)據(jù)更新檢測模型能夠增強時效性。

技術(shù)領(lǐng)域

本申請涉及入侵檢測技術(shù)領(lǐng)域，尤其涉及一種入侵檢測方法。

背景技術(shù)

面對如今網(wǎng)絡(luò)中的信息洪流，常見的安全措施往往成為守護互聯(lián)網(wǎng)安全的第一道防護線。比如常用防火墻進行外界網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)的防護驗證，對訪問操作進行驗證、過濾、許可，使用加密算法和加密密鑰進行信息的加密傳輸?shù)取５沁@些第一道防護線往往都是屬于靜態(tài)或者被動的防御策略，無法對檢測對象進行深入挖掘，并且對于未知攻擊的防護效果十分微弱。入侵檢測系統(tǒng)則作為網(wǎng)絡(luò)安全的第二道防護線，能夠通過構(gòu)建的檢測模型對系統(tǒng)進行主動的動態(tài)檢測行為，使得現(xiàn)有的安防體系更加完善。

然而一般的入侵檢測系統(tǒng)需要收集大量的行為數(shù)據(jù)，模式專家對這些行為數(shù)據(jù)進行統(tǒng)計分析，發(fā)現(xiàn)行為特征，加入標(biāo)簽比對庫，或者利用數(shù)據(jù)挖掘和機器學(xué)習(xí)算法，首先對特征進行抽象、提取，使用算法模型訓(xùn)練并檢測以判斷安全性。但是上述傳統(tǒng)構(gòu)建方式，依賴于特征的抽取、選擇操作，不同的算法也依賴于不同的特征，對檢測效果影響極大，無法保障檢測算法的時效性和魯棒性。

綜上所述，需要提供一種能夠?qū)Σ煌娜肭謹(jǐn)?shù)據(jù)進行檢測的魯棒性強且時效性長的檢測方法。

發(fā)明內(nèi)容

為解決以上問題，本申請?zhí)岢隽艘环N入侵檢測方法，通過對第一待檢測數(shù)據(jù)集進行字符級預(yù)處理，得到訓(xùn)練輸入數(shù)據(jù)，訓(xùn)練時間卷積神經(jīng)網(wǎng)絡(luò)，得到檢測模型，獲取一段時間內(nèi)的誤判數(shù)據(jù)，使用誤判數(shù)據(jù)更新所述檢測模型。

具體地，本發(fā)明提出了一種入侵檢測方法，包括：

對從防護系統(tǒng)中獲取的第一待檢測數(shù)據(jù)集進行字符級預(yù)處理，得到訓(xùn)練輸入數(shù)據(jù)；

將所述訓(xùn)練輸入數(shù)據(jù)輸入至基于時間卷積神經(jīng)網(wǎng)絡(luò)的待訓(xùn)練檢測模型，計算損失函數(shù)，訓(xùn)練時間卷積神經(jīng)網(wǎng)絡(luò)，得到檢測模型；

使用檢測模型進行入侵檢測，獲取一段時間內(nèi)的誤判數(shù)據(jù)，使用所述誤判數(shù)據(jù)更新所述檢測模型。

優(yōu)選地，所述對從防護系統(tǒng)中獲取的第一待檢測數(shù)據(jù)集進行字符級預(yù)處理，得到訓(xùn)練輸入數(shù)據(jù)，包括：

統(tǒng)計所述第一待檢測數(shù)據(jù)集中的各第一待檢測數(shù)據(jù)的數(shù)據(jù)信息，生成字符表；

根據(jù)字符表，將所述數(shù)據(jù)信息中的字符和數(shù)值數(shù)據(jù)統(tǒng)一轉(zhuǎn)換為獨熱編碼數(shù)據(jù)格式的向量矩陣，得到所述訓(xùn)練輸入數(shù)據(jù)。

優(yōu)選地，所述檢測模型基于時間卷積神經(jīng)網(wǎng)絡(luò)，包括：擴張因果卷積的網(wǎng)絡(luò)結(jié)構(gòu)、Dropout、殘差鏈接和批標(biāo)準(zhǔn)化，全連接層使用頂層節(jié)點的部分連接方式。

優(yōu)選地，所述計算損失函數(shù)，訓(xùn)練時間卷積神經(jīng)網(wǎng)絡(luò)，包括：

使用交叉熵作為損失函數(shù)，計算損失；

根據(jù)得到的損失，使用Adam優(yōu)化算法對待訓(xùn)練檢測模型進行優(yōu)化訓(xùn)練。

優(yōu)選地，所述使用檢測模型進行入侵檢測，包括：

對防護系統(tǒng)中的第二待檢測數(shù)據(jù)進行預(yù)處理后輸入至檢測模型進行入侵行為檢測，獲得檢測結(jié)果；

若檢測為異常行為，則啟動響應(yīng)策略。

優(yōu)選地，所述誤判數(shù)據(jù)包括檢測模型的誤報和漏報對應(yīng)的第二待檢測數(shù)據(jù)。