[發(fā)明專利]基于聚類圖神經(jīng)網(wǎng)絡的網(wǎng)絡安全異常檢測算法和檢測系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202011090335.9
• 申請日: 2020-10-13
• 公開（公告）號: CN112165496B
• 公開（公告）日: 2021-11-02
• 發(fā)明（設計）人: 趙曦濱;梁若舟;高躍
• 申請（專利權(quán)）人: 清華大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;G06K9/62;G06N3/04
• 代理公司: 北京律譜知識產(chǎn)權(quán)代理事務所(普通合伙) 11457
• 代理人: 孫紅穎

1.一種基于聚類圖神經(jīng)網(wǎng)絡的網(wǎng)絡安全異常檢測實現(xiàn)方法，其特征在于：

步驟1、從多源數(shù)據(jù)中提取多源特征；

步驟2、將步驟1中提取的多源特征進行融合，形成設備節(jié)點特征；

步驟3、是將步驟2生成的設備節(jié)點特征進行優(yōu)化，并使用圖模型來描述網(wǎng)絡拓撲，網(wǎng)絡中的設備被建模為圖中的節(jié)點，設備之間的連接關(guān)系被建模為圖中的邊；

步驟4、在步驟3的基礎(chǔ)上，根據(jù)步驟3定義的圖結(jié)構(gòu)，運用譜聚類算法，將圖上相似的點聚合，生成K個簇；其中：譜聚類算法包括：

步驟4.1、計算圖的拉普拉斯矩陣；

步驟4.2、計算廣義特征值分解，得到所有特征值和對應特征向量；

步驟4.3、將所有特征值從小到大排序，取前k個特征值對應的特征向量組成特征矩陣

步驟4.4、將V中的行向量看成節(jié)點，對n個節(jié)點應用K-means聚類算法，將n個節(jié)點聚成k類；

通過譜聚類算法，定義了一個從圖中節(jié)點集合到簇的一個映射；同時，根據(jù)譜聚類結(jié)果，將每個簇看成一個節(jié)點，就生成了一張新圖，新圖中兩個節(jié)點的邊定義為如果原圖中對應兩個簇中存在兩個點，它們之間有邊，那么新圖中兩個節(jié)點之間有邊；生成的新圖的鄰接矩陣的形式化定義如下：

其中V_i表示原圖中第i個簇；步驟5、將步驟4中生成的每一個簇視為一個點，這樣就將圖映射成一個規(guī)模更小的子圖，子圖中的節(jié)點對應原來的簇，子圖中的邊表示原來的兩個簇是相鄰的；同時將一個簇中所有節(jié)點的特征向量映射成為一個特征向量，作為子圖中對應節(jié)點的特征；

步驟6、利用步驟5生成的子圖和子圖的節(jié)點特征，再次利用圖卷積模塊來優(yōu)化子圖中的節(jié)點特征；

步驟7、根據(jù)步驟6優(yōu)化后的節(jié)點特征，融合生成對于整個圖的語義特征；即對步驟6輸出的所有的節(jié)點的特征向量，求取平均值，生成對于整個圖的語義特征；

步驟8、是將步驟7得到的特征向量做進一步優(yōu)化，生成低維特征空間中更優(yōu)的特征向量；

其中：采用兩層全連接層進行特征優(yōu)化，全連接層的公式為：

X^l+1＝F(WX^l)

X^l表示第l層的特征向量，W是一個變換矩陣，是一個線性映射，F(xiàn)是激活函數(shù)，能夠增加非線性性；

步驟9、根據(jù)步驟8得到的優(yōu)化后的特征向量預測網(wǎng)絡中是否存在異常。

2.根據(jù)權(quán)利要求1所述的基于聚類圖神經(jīng)網(wǎng)絡的網(wǎng)絡安全異常檢測實現(xiàn)方法，其特征在于：步驟1中：

對于網(wǎng)絡流量數(shù)據(jù)包，能夠使用包括源IP地址，目的IP地址的數(shù)據(jù)包中的字段作為流量數(shù)據(jù)的特征；

對于日志信息，能夠使用自然語言處理中常用模型長短期記憶網(wǎng)絡(LSTM)將每條日志信息轉(zhuǎn)化為特征向量。

3.根據(jù)權(quán)利要求1所述的基于聚類圖神經(jīng)網(wǎng)絡的網(wǎng)絡安全異常檢測實現(xiàn)方法，其特征在于：步驟9中使用softmax分類器來生成數(shù)據(jù)的標簽，判斷系統(tǒng)是否存在異常。

4.一種基于聚類圖神經(jīng)網(wǎng)絡的網(wǎng)絡安全異常檢測系統(tǒng)，包括：特征提取模塊和基于聚類圖神經(jīng)網(wǎng)絡的異常檢測模塊；

特征提取模塊用于從系統(tǒng)中提取特征，并且將多源異構(gòu)特征融合成為一個設備特征；

基于聚類圖神經(jīng)網(wǎng)絡的異常檢測模塊根據(jù)特征提取模塊提取出的設備特征，利用圖神經(jīng)網(wǎng)絡，對網(wǎng)絡是否受到攻擊做出判斷；

基于聚類圖神經(jīng)網(wǎng)絡的異常檢測模塊包括圖卷積模塊，池化層模塊，圖融合層模塊，全連接層模塊和分類器模塊，其中：

圖卷積模塊的作用是將節(jié)點的特征向量進行優(yōu)化；

圖池化層模塊的作用是將部分節(jié)點的特征融合，形成更高階的語義特征；

圖融合層的作用是將所有的特征向量融合形成一個針對整個網(wǎng)絡的特征向量；

全連接層的作用是優(yōu)化整個網(wǎng)絡的特征向量；

分類器模塊是根據(jù)優(yōu)化后的整個網(wǎng)絡的特征向量，輸出網(wǎng)絡是否存在異常。