[發明專利]一種采用混合匹配引擎的NIDS設備的優化系統及方法

有效

• 申請號: 202011229281.X
• 申請日: 2020-11-06
• 公開（公告）號: CN112464047B
• 公開（公告）日: 2021-07-02
• 發明（設計）人: 劉新聞;陳宗朗;郭云飛;張燕
• 申請（專利權）人: 廣州競遠安全技術股份有限公司
• 主分類號: G06F16/903
• 分類號: G06F16/903;G06N3/04;G06N3/08;H04L29/06
• 代理公司: 廣州圣理華知識產權代理有限公司 44302
• 代理人: 肖勤

1.一種采用混合匹配引擎的NIDS設備的優化系統，其特征在于，包括：規則庫、深度自編碼器模塊、隨機排序模塊、規則庫最優劃分訓練模塊、規則庫最優劃分模塊、匹配性能測量模塊和匹配引擎池，其中：

所述規則庫，配置為保存多個原始字符串形成的規則RDB＝{r₁，r₂...r_M}，其中L_i為第i個規則的字符串的長度，A為ASCII碼字符，即第i個規則由L_i個ASCII碼組成；多個規則的長度不一，L_i∈[1，L_MAX]，i∈[1，M]；

深度自編碼器模塊，配置為接收來自規則庫的規則，其中，對所有規則進行長度對齊操作，將規則補齊為長度L_MAX的字符串，補齊時使用的補丁字符串為所有規則中沒有出現的字符串，并使用最短補丁字符串，對每一個規則字符串，在其尾部重復使用最短補丁字符串補齊到長度L_MAX；所述深度自編碼器模塊對每一個規則進行編碼，將其表征為統一長度F的向量，并截取數據將原始的空間映射到F維實數空間R^F，獲得每一個規則在F維實數空間的嵌入表示；

隨機排序模塊，配置為對編碼到R^F的規則進行隨機排序后，輸出至規則庫最優劃分訓練模塊、規則庫最優劃分模塊；

規則庫最優劃分訓練模塊，配置為使用深度強化學習算法DDQN學習規則劃分的方法，獲得參數并輸出至規則庫最優劃分模塊；

規則庫最優劃分模塊，配置為接收來自規則庫最優劃分訓練模塊的參數，使用深度強化學習算法DDQN對規則庫進行最終的最優劃分；

匹配性能測量模塊，配置為接收來自規則庫最優劃分訓練模塊、規則庫最優劃分模塊發送的規則分配指令，在匹配引擎池內按照指令初始化各匹配引擎的規則庫后，驅動各匹配引擎用各自當前的規則庫對測試字符串進行匹配測試，獲得最優劃分訓練模塊、規則庫最優劃分模塊中深度強化學習算法DDQN的動作回報值

匹配引擎池，包括N個匹配引擎，其中，N≥2；所述匹配引擎池配置為與匹配性能測量模塊進行數據交互；

所述規則庫最優劃分訓練模塊和規則庫最優劃分模塊均包括深度強化學習子模塊；其中，規則庫最優劃分訓練模塊的深度強化學習子模塊用于學習規則劃分的方法，通過系統配置的設定數量的匹配規則訓練后獲得規則庫最優劃分模塊的深度強化學習子模塊的參數，并將參數輸出至規則庫最優劃分模塊；

所述深度強化學習子模塊采用了DDQN深度強化學習模型；其中，用于估計Q值的Q_current值網絡和Q_target值網絡采用相同的神經網絡結構；

所述Q_target值網絡配置為接收經過Q_current值網絡同步延遲后輸出的參數，該參數至少包括經Q_current值網絡同步延遲后的狀態向量和動作，并輸出其Q值；當Q_current值網絡經過每一輪訓練學習后，Q_current值網絡的參數被同步至Q_target值網絡；其中，所述Q_current值網絡配置為接收狀態向量以及動作a_t；其中，所述狀態向量S_t由隨機排序模塊輸出的向量RE_t與匹配引擎池輸出的狀態向量拼接而成；其中，RE_t∈R^F，即t時刻隨機排序模塊從規則庫中挑選的規則在R^F上的嵌入編碼；即匹配引擎池內t時刻第i個引擎的狀態向量，該狀態向量由t時刻前所有被劃分到第i個引擎的規則的編碼求和獲得；所述動作a_t由策略模塊輸出至Q_current值網絡；

所述Q_target值網絡配置為接收狀態向量S_t+1以及動作所述狀態向量S_t+1、動作由Q_current值網絡的狀態向量S_t、動作a_t同步延遲輸出所形成。

2.根據權利要求1所述的優化系統，其特征在于，還包括策略模塊；所述Q_current值網絡配置為輸出Q值供策略模塊選擇動作。