[發明專利]結合深度分層網絡的網絡惡意流量檢測方法

在審

• 申請號: 202011251386.5
• 申請日: 2020-11-09
• 公開（公告）號: CN112261063A
• 公開（公告）日: 2021-01-22
• 發明（設計）人: 潘麗敏;王琛;羅森林
• 申請（專利權）人: 北京理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.結合深度分層網絡的網絡惡意流量檢測方法，其特征在于所述方法包括如下步驟：

步驟1，對用戶產生的原始流量包進行數據提取，從原始流量包中將具有相同協議類型、源IP、源端口、目的IP、目的端口屬性的流量包拆分為一個流，在每個流中提取10個流量包，每個流量包中提取160個字節作為流量包特征，共從每個流中提取1600維特征的原始數據；

步驟2，構建深度分層網絡，深度分層網絡由Text-CNN網絡和Bi-LSTM網絡兩層網絡組成，第一層Text-CNN網絡首先將步驟1中提取的流的1600維字節特征轉換為40*40灰度圖像作為Text-CNN網絡輸入層的輸入，提取流的空間特征，第二層Bi-LSTM網絡將Text-CNN模型提取的空間特征重塑為40*40的特征圖，提取流的時間特征；

步驟3，將步驟2中的兩個網絡同時訓練成混合網絡，添加均方誤差損失函數，對混合網絡進行訓練迭代，使用梯度下降優化算法更新權重和偏差，完成迭代后網絡能夠自動提取流的時空特征并對流進行分類。

2.根據權利要求1所述的結合深度分層網絡的網絡惡意流量檢測方法，其特征在于：步驟1中對原始流量包進行特征提取，對于每個流量包，從網絡層取前20字節,傳輸層取前20字節，應用層取前120個字節作為流量包特征，如果每層字節數少于要提取的數目，缺少的字節用0填充；若某個流中流量包數目不足10個，用第一個流的特征填充；從每個流中一共提取1600維特征的原始數據。

3.根據權利要求1所述的結合深度分層網絡的網絡惡意流量檢測方法，其特征在于：步驟2中構建的深度分層網絡由兩層網絡構成，第一層Text-CNN網絡輸出的是1*1600維的空間特征，第二層Bi-LSTM網絡將Text-CNN網絡輸出的1600維空間特征重塑為40*40的特征圖，將特征圖作為第二層Bi-LSTM網絡的輸入，提取流的時間特征，Bi-LSTM網絡的最后一層全連接層中的神經元數量為11個，與流量分類的類別數量相同，最終深度分層網絡輸出流量屬于每個類的概率。