[發明專利]一種基于機器學習集成模型的網絡入侵檢測方法

有效

• 申請號: 202011473456.1
• 申請日: 2020-12-15
• 公開（公告）號: CN112769752B
• 公開（公告）日: 2021-11-23
• 發明（設計）人: 張帆;趙子鳴;林峰;張斌;任奎;趙俊;單夏燁;任新新;段吉瑞
• 申請（專利權）人: 浙江大學;光通天下網絡科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;G06N20/00;G06K9/62
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 邱啟旺

1.一種基于機器學習集成模型的網絡入侵檢測方法，其特征在于，包括以下步驟：

步驟(1)：將網絡節點入口的流量數據進行捕獲，保存至本地文件，所述本地文件中包含不同類別的DDoS攻擊；

步驟(2)：數據預處理和特征提?。簩τ诓东@的流量數據中重復的流量數據進行刪除，按照五元組進行劃分，隨后進行特征提取，所述特征構成特征向量；所述特征包括：TCP標志類別相關特征、TCP標志個數相關特征、數據包大小相關特征、包間隔時間相關特征、速率相關特征；所述五元組包括：源IP、目標IP、源端口、目標端口、協議類型；

步驟(3)：特征向量降維：將步驟(2)中的特征向量轉換為包特征向量序列，根據不同類別的DDoS攻擊分別訓練LSTM_i模型，當損失函數值小于0.01時完成對LSTM_i模型的訓練；對于每一種LSTM_i模型，求得前一個包特征向量序列輸入訓練好的LSTM_i模型中的輸出結果與當前包特征向量序列的均方誤差MSE，對所有求得的MSE按照特征維度對應求平均后，得到特征在每個維度的權重，將包特征向量按照每個維度的權重由高到低排序，保留前10維包特征向量；將所有類別的DDoS攻擊的前10維包特征向量求并集，再將并集轉化成對應的五元組特征向量；所述LSTM_i模型為長短期記憶網絡，以神經元為結構單元，i表示DDoS攻擊的類別數；

步驟(4)：模型訓練與融合：將步驟(3)中得到的五元組特征向量分別輸入隨機森林-基尼機器學習模型、隨機森林-熵機器學習模型、KNN-均勻權重機器學習模型、KNN-距離倒數機器學習模型、LGB機器學習模型、CatBoost機器學習模型、NN機器學習模型中，分別進行訓練，當每個機器學習模型的迭代次數大于1萬次或者準確率達到99.9％，完成對機器學習模型的訓練；

步驟(5)：針對待預測流量數據經步驟(1)-(3)處理，最終獲得不同類別的DDoS攻擊對應的五元組特征向量，將其輸入步驟(4)訓練好的機器學習模型中，每個機器學習模型均獲得待預測流量數據正常或異常的概率，并進行統計，根據統計結果，獲得待測流量的判斷結果。

2.根據權利要求1所述基于機器學習集成模型的網絡入侵檢測方法，其特征在于，所述特征提取包括：

(a)對于五元組中的源IP、源端口、目標IP信息統一將字節置0，統計開始時間戳和結束時間戳、前向包和后向包的個數、長度、間隔時間、TCP標志計數；

(b)分別計算前向包和后向包的長度、間隔時間的最大值、最小值、平均值與方差；

(c)對于TCP標志，統計FIN、SYN、RST、PSH、ACK、URG、CWE、ECE標志出現的次數。

3.根據權利要求1所述的基于機器學習集成模型的網絡入侵檢測方法，其特征在于，所述損失函數為：

其中，y_i為第i個神經元的輸出，x_i+1為第i+1個神經元輸入的包特征向量序列，L(y_i,x_i+1)為第i個神經元的均方誤差MSE，n為神經元個數，X為n個神經元輸入的包特征向量序列的集合，Y為n個神經元輸出的集合。