[發(fā)明專利]一種基于CNN_LSTM的網(wǎng)絡流量異常檢測方法

在審

• 申請?zhí)枺?/td>: 202010951195.3
• 申請日: 2020-09-11
• 公開（公告）號: CN112100614A
• 公開（公告）日: 2020-12-18
• 發(fā)明（設計）人: 馬明艷;陳偉
• 申請（專利權）人: 南京郵電大學
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 南京瑞弘專利商標事務所(普通合伙) 32249
• 代理人: 彭雄

1.一種基于CNN_LSTM的網(wǎng)絡流量異常檢測方法，其特征在于，包括以下步驟：

步驟1：采集網(wǎng)絡流量相關數(shù)據(jù)形成數(shù)據(jù)集，并對數(shù)據(jù)集進行預處理：

步驟1-1：將數(shù)據(jù)集中非數(shù)值的字段通過機器學習模塊sklearn中LabelEncoder()函數(shù)將非數(shù)值型的數(shù)據(jù)處理成數(shù)值型的形式；

步驟1-2：對數(shù)據(jù)集中有缺失值數(shù)據(jù)進行填充補上；

步驟1-3：將數(shù)據(jù)集中的攻擊流量和正常流量分別標記為1和0；將標簽和其他特征屬性分開存放；

步驟1-4：通過機器學習模塊sklearn中的Normalizer()函數(shù)對數(shù)據(jù)集中的數(shù)據(jù)進行正則化處理；

步驟1-5：將數(shù)據(jù)集中的數(shù)據(jù)采用reshape()函數(shù)轉變輸入維度；

步驟2：Smote過采樣

步驟2-1：首先從步驟1得到的數(shù)據(jù)集中少數(shù)類的全部樣本中找到樣本的k個近鄰；

步驟2-2：從這k個近鄰中隨機選擇一個樣本，生成一個0到1之間的隨機數(shù)，從而生成一個新的樣本；

步驟2-3：重復步驟2-2，合成多個樣本；

步驟3：通過合成的多個樣本對CNN_LSTM模型進行訓練：

步驟3-1：循環(huán)神經(jīng)網(wǎng)絡CNN包括依次連接的輸入層、卷積層、池化層、全連接層，卷積層采用一維卷積，用relu函數(shù)作為激活函數(shù)；

步驟3-2：選用LSTM模型，LSTM模型是緊跟在卷積神經(jīng)網(wǎng)絡CNN后面，LSTM模型相比RNN，其隱藏層加入了門機制和一個細胞狀態(tài)的更新，門機制包括遺忘門、輸入門、輸出門，遺忘門、輸入門、輸出門結合當前輸入信息和上一狀態(tài)的輸出到一個sigmoid函數(shù)中，sigmoid函數(shù)會輸出0到1之間的值，0表示不許通過，1表示允許任意值通過；輸入門決定當前時刻的輸入信息哪些需要保留到記憶單元中；遺忘門決定從記憶單元中丟棄哪些信息；輸出門決定需要輸出的信息；

步驟4：通過sigmoid函數(shù)進行分類；

步驟5：訓練階段用binary_crossentropy作為損失函數(shù)，優(yōu)化算法選用adam；

步驟6：測試集測試，評估模型性能。

2.根據(jù)權利要求1所述基于CNN_LSTM的網(wǎng)絡流量異常檢測方法，其特征在于：步驟1-2對于缺失值采用取眾數(shù)的方法進行填充。

3.根據(jù)權利要求2所述基于CNN_LSTM的網(wǎng)絡流量異常檢測方法，其特征在于：步驟3-1中循環(huán)神經(jīng)網(wǎng)絡CNN采用一維卷積，濾鏡個數(shù)設置為48個，濾鏡的大小為3。

4.根據(jù)權利要求3所述基于CNN_LSTM的網(wǎng)絡流量異常檢測方法，其特征在于：步驟3-1循環(huán)神經(jīng)網(wǎng)絡CNN的池化層大小設置為2。

5.根據(jù)權利要求4所述基于CNN_LSTM的網(wǎng)絡流量異常檢測方法，其特征在于：LSTM模型輸出大小為70。