[發明專利]一種基于行為特征編碼的半監督網絡異常行為檢測方法

有效

• 申請號: 202110228338.2
• 申請日: 2021-03-02
• 公開（公告）號: CN113032778B
• 公開（公告）日: 2021-09-21
• 發明（設計）人: 周穎杰;宋緒成;劉凡興;張彥如;朱策;劉凌嶠
• 申請（專利權）人: 四川大學
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06K9/62
• 代理公司: 成都正華專利代理事務所(普通合伙) 51229
• 代理人: 李蕊

1.一種基于行為特征編碼的半監督網絡異常行為檢測方法，其特征在于，包括以下步驟：

S1、構建基于自動編碼器的無監督特征編碼網絡，并對其進行預訓練，將原始網絡行為數據樣本向量映射至低維流型空間并進行重建，得到隱空間向量、重建殘差向量和重建殘差向量的二范數值三種特征編碼；

S2、構建由所述無監督特征編碼網絡和基于全連接網絡的異常打分網絡構成的網絡異常行為檢測系統，將數據樣本作為網絡異常行為檢測系統的輸入，其中，所述三種特征編碼作為異常打分網絡的輸入；

S3、獲取待檢測網絡行為數據，利用所述網絡異常行為檢測系統進行異常檢測，并輸出異常檢測結果，完成基于行為特征編碼的半監督網絡異常行為檢測方法；

所述步驟S1中的無監督特征編碼網絡包括編碼器和解碼器；

所述編碼器，用于將輸入的原始網絡行為數據樣本從原始空間編碼至低維的隱空間；

所述解碼器，用于將原始網絡行為數據樣本的隱空間向量解碼至原始樣本空間，得到隱空間向量、重建殘差向量和重建殘差向量的二范數值三種特征編碼；

所述步驟S1包括以下步驟：

S101、構建基于自動編碼器的無監督特征編碼網絡，并對特征編碼網絡的參數進行隨機初始化處理；

S102、輸入原始網絡行為數據樣本至無監督特征編碼網絡，計算得到重建向量；

S103、根據所述重建向量，計算得到重建誤差的二范數值作為特征編碼網絡的重建誤差損失，優化特征編碼網絡的參數；

S104、判斷重建誤差損失是否低于預設的閾值，若是，則完成對特征編碼網絡的預訓練，并進入步驟S105，否則，返回步驟S102；

S105、根據原始網絡行為數據樣本向量，利用無監督特征編碼網絡得到隱空間向量、重建殘差向量和重建殘差向量的二范數值三種特征編碼；

所述計算得到重建誤差的二范數值作為特征編碼網絡的重建誤差損失的表達式如下：

L_u＝||f_d(f_e(X_i；W_e)；W_d)-X_i||₂

其中，L_u表示重建誤差的二范數值作為特征編碼網絡的重建誤差損失，X_i表示原始網絡行為數據樣本，W_e表示編碼器的權重矩陣，f_e(·；W_e)表示編碼器，W_d表示解碼器的權重矩陣，f_d(·；W_d)表示解碼器；

所述無監督特征編碼網絡的表達式如下：

ψ(X_i；Θ)＝f_d(f_e(X_i；W_e)；W_d)

W_e＝{W₁,W₂,...,W_s}

W_d＝{W′₁,W′₂,...,W′_s}

其中，ψ(X_i；Θ)表示特征編碼網絡，Θ表示特征編碼網絡參數，W_s表示編碼器第s層的網絡權重，W′_s表示解碼器第s層的網絡權重；

所述隱空間向量q₁的表達式如下：

q₁＝f_e(X_i；W_e)

所述重建殘差向量q₂的表達式如下：

q₂＝f_d(f_e(X_i；W_e)；W_d)-X_i

所述重建殘差向量的二范數值q₃的表達式如下：

q₃＝||f_d(f_e(X_i；W_e)；W_d)-X_i||₂。