[發(fā)明專利]基于雙重注意力機制的網(wǎng)絡安全態(tài)勢感知方法

在審

• 申請?zhí)枺?/td>: 202110116477.6
• 申請日: 2021-01-28
• 公開（公告）號: CN112949821A
• 公開（公告）日: 2021-06-11
• 發(fā)明（設計）人: 趙冬梅;李志堅;宋會倩;王方偉;王長廣
• 申請（專利權(quán)）人: 河北師范大學
• 主分類號: G06N3/04
• 分類號: G06N3/04;G06N3/08;G06K9/62;H04L29/06
• 代理公司: 石家莊新世紀專利商標事務所有限公司 13100
• 代理人: 董金國

本發(fā)明公開了一種基于雙重注意力機制的網(wǎng)絡安全態(tài)勢感知方法。該方法利用入侵活動是一個時間序列事件，采用RNN或RNN的變體來堆疊模型；利用特征分離技術(shù)預處理樣本數(shù)據(jù)，減少了模型訓練的時間和成本；根據(jù)全局注意力機制技術(shù)，設計有限注意力模塊，將有限注意力和全局注意力形成雙重注意力機制來做態(tài)勢預測，提高了預測準確度。

技術(shù)領域

本發(fā)明涉及一種網(wǎng)絡安全態(tài)勢感知方法，尤其涉及一種基于雙重注意力機制的網(wǎng)絡安全態(tài)勢感知方法，屬于網(wǎng)絡安全技術(shù)領域。

背景技術(shù)

隨著Internet技術(shù)越來越普及，面臨的安全問題也日漸顯露。面對當前嚴重的網(wǎng)絡安全威脅，傳統(tǒng)的入侵檢測等技術(shù)雖然從一定程度上提高了網(wǎng)絡的安全性，但是技術(shù)不全面，對網(wǎng)絡的整體評估是不足夠的。當前，很多研究者使用深度學習相關(guān)的算法研究網(wǎng)絡安全態(tài)勢感知，特別是針對數(shù)據(jù)具有時間序列關(guān)系的特點，例如使用循環(huán)神經(jīng)網(wǎng)絡(Recurrent Neural Network,RNN)以及它的變體長短期記憶網(wǎng)絡(Long Short-TermMemory Network，LSTM)和門控循環(huán)單元網(wǎng)絡(Gated Recurrent Unit，GRU)來做網(wǎng)絡安全態(tài)勢預測。但是，單獨使用RNN以及它的變體網(wǎng)絡，預測準確度不夠高。因此，提高網(wǎng)絡安全態(tài)勢預測的準確度成了急需解決的問題。

發(fā)明內(nèi)容

本發(fā)明要解決的技術(shù)問題是提供一種基于雙重注意力機制的網(wǎng)絡安全態(tài)勢感知方法。

為解決上述技術(shù)問題，本發(fā)明采用的技術(shù)方案是：一種基于雙重注意力機制的網(wǎng)絡安全態(tài)勢感知方法，包括如下步驟：

步驟1：搭建網(wǎng)絡安全態(tài)勢感知模型：所述網(wǎng)絡安全態(tài)勢感知模型包括數(shù)據(jù)預處理模塊、神經(jīng)網(wǎng)絡、切片操作層、注意力層1、注意力層2、預測模塊和啟動層；所述神經(jīng)網(wǎng)絡為以RNN、LSTM或GRU為基本單元m級以上按時間展開的堆疊模型，m≥1；所述注意力層1和注意力層2的結(jié)構(gòu)相同，包括注意力分布形成層、注意力匯聚層和輸出層，輸出層的輸入端分別連接注意力匯聚層和啟動層的輸出端；所述啟動層的輸入端分別連接啟動控制特征future輸入端和第m級堆疊模型輸出層的控制端，其輸出端分別向所述注意力層1和注意力層2輸出第一隱藏特征h₁和第二隱藏特征h₂；所述注意力層1的注意力分布形成層的輸入端分別與所述神經(jīng)網(wǎng)絡各級堆疊模型的輸出端、啟動層的相應輸出端連接；所述注意力層1的注意力匯聚層的輸入端分別與所述神經(jīng)網(wǎng)絡各級堆疊模型的輸出端、注意力層1的注意力分布形成層的輸出端連接；所述切片操作層的輸入端分別連接第m級堆疊模型各隱含層的控制端，其輸出端的數(shù)目k小于輸入端的數(shù)目，其輸入端的數(shù)目與所述神經(jīng)網(wǎng)絡的隱藏層層數(shù)相同；所述切片操作層通過切片操作得到k個特征向量

其中，為模型第j層輸出的隱藏層特征；

所述注意力層2的注意力分布形成層的輸入端分別與切片操作層的各輸出端、啟動層的相應輸出端連接；所述注意力層2的注意力匯聚層的輸入端分別與所述切片操作層的各輸出端、注意力層2的注意力分布形成層的輸出端連接；預測模塊包括融合特征信息層和全連接層；融合特征信息層的輸入端分別連接注意力層1和注意力層2的輸出端，全連接層的輸出端輸出態(tài)勢預測結(jié)果；

步驟2：網(wǎng)絡安全態(tài)勢感知模型訓練：將訓練集中與各入侵活動對應的時間序列樣本及網(wǎng)絡安全態(tài)勢輸入網(wǎng)絡安全態(tài)勢感知模型，訓練模型參數(shù)；

步驟3：預測網(wǎng)絡安全態(tài)勢感知：將預測集中入侵活動對應的時間序列樣本輸入所述步驟1訓練完成的網(wǎng)絡安全態(tài)勢感知模型，預測網(wǎng)絡安全態(tài)勢。

進一步，所述基于雙重注意力機制的網(wǎng)絡安全態(tài)勢感知方法還包括特征分離步驟，樣本數(shù)據(jù)輸入所述網(wǎng)絡安全態(tài)勢感知模型之前進行特征分離預處理，包括以下步驟：

步驟A：特征分類：將第i個樣本x_i里面的特征分為數(shù)值型特征、非數(shù)值型特征；