[發明專利]一種對抗惡意流量變化的特征轉換方法

在審

• 申請號: 202011093943.5
• 申請日: 2020-10-14
• 公開（公告）號: CN112243004A
• 公開（公告）日: 2021-01-19
• 發明（設計）人: 郭陽明;劉明明;姚紅靜;劉尊;王曉東;李庚;高建軍
• 申請（專利權）人: 西北工業大學;西安蒙頓信息科技有限公司;西北工業大學深圳研究院
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 西北工業大學專利中心 61204
• 代理人: 金鳳

1.一種對抗惡意流量變化的特征轉換方法，其特征在于包括下述步驟：

假設一段時間網絡實體間的通信內有m條數據流，每條數據流中提取n個特征，則每個集合表示為一個m*n的矩陣X，其中，x_ij表示第i條數據流的第j個特征值：

通過以下三步轉換，將樣本特征映射到新的特征空間中，即使攻擊行為的流量特征發生變化，通過轉換后仍然具有相似性，轉換后的特征向量對流量特征具有異變容忍能力，使用新特征向量作為分類模型的輸入；轉換過程如下：

(1)矩陣歸一化

為了減少數值差距帶來的影響，將矩陣X縮放到[0,1]區間表示為令

得到矩陣：

式中，min_i(x_ij)為第i條數據流中特征的最小值，max_i(x_ij)則是第i條數據流中特征的最大值；

式(3)可以保證即使流量特征值的數值差異很大，經過第一步變換后會都能夠縮放到[0,1]區間，對抗由數值差異引起的變異；

(2)計算自相似度

針對所有樣本的每一維特征，計算樣本兩兩之間的距離，相似度記為sim(a,b)；

取矩陣的每一列，針對第k列即第k維特征，兩個樣本和的相似度計算為：

和的歐式距離越小，表示此維特征下兩個樣本的相似度越大；距離越大，相似度越小；每維特征得到1個m*m維的自相似性矩陣，令第k維特征的自相似矩陣為S^k，S^k中每個元素是第k維特征兩兩之間的距離，即：

綜上，n維特征得到n個自相似性矩陣，記為{S¹，...，Sⁿ}，將這組矩陣通過第一步所描述的局部特征縮放進一步歸一化，產生一組矩陣

(3)特征轉換；

通過前兩步得到特征值矩陣和一組特征自相似性矩陣使用特征值矩陣和一組特征自相似性矩陣得到一組新的特征向量，采用特征值直方圖和特征差異直方圖分別表示數據特征的分布范圍和分布差異，特征值直方圖用來區分惡意流量和合法流量，特征差異直方圖用來區分惡意流量的進化變體。

2.根據權利要求1所述的一種對抗惡意流量變化的特征轉換方法，其特征在于：

所述的特征值直方圖的實現步驟為：

一個流量集合內的每一維特征構建特征值直方圖，取的每一列作為一個分向量Z_i，則每個流量集合對應一個向量組Z＝(Z₁,Z₂,…,Z_i…,Z_n)；

對于分向量Z_i，統計并計算Z_i中每項數值出現的頻度，得到基于分布特征的流量特征值直方圖；

由于訓練樣本集都具有標簽，因此，用戶利用各種學習模型，從大量數據中自動學習用于區分合法流量和惡意流量的正樣本特征值分布和負樣本特征值分布，即以特征值出現頻度表征的正樣本特征值直方圖和負樣本特征值直方圖。

3.根據權利要求1所述的一種對抗惡意流量變化的特征轉換方法，其特征在于：

所述的特征差異直方圖的實現步驟為：

從自相似度矩陣S^k中獲得特征差異直方圖，展示特征內部的深層次差異；取S^k矩陣主對角線及其上方的所有元素的上三角元素，得到第k維特征的特征差異直方圖，則對S＝{s¹，s²，...，sⁿ}，有n個特征差異直方圖與每一維特征相對應；

第k個特征值直方圖與第k個特征差異直方圖相對應，代表了樣本集合第k維特征的數據分布及差異信息，將兩類特征向量兩兩進行一一對應并組合，得到每維特征的向量表示；

依次類推，將所有特征的兩類特征向量對應組合，則得到：

由此建立的流量特征的統一轉換方法，將式(1)表示的原始數據矩陣轉換為一個n*m維的矩陣，原始樣本集合被映射到在新特征空間下，使得基于機器學習的分類模型能夠容忍流量規模、次序、特征的變換。