[發(fā)明專利]基于自編碼器能量檢測的網(wǎng)絡(luò)入侵檢測方法

有效

• 申請?zhí)枺?/td>: 202110650246.3
• 申請日: 2021-06-10
• 公開（公告）號: CN113395276B
• 公開（公告）日: 2022-07-26
• 發(fā)明（設(shè)計）人: 李瑞坤;李允;陳麗蓉;趙煥宇
• 申請（專利權(quán)）人: 廣東為辰信息科技有限公司;成都為辰信息科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06N3/04;G06N3/08;G06K9/62
• 代理公司: 四川鼎韜律師事務(wù)所 51332
• 代理人: 溫利平

本發(fā)明公開了一種基于自編碼器能量檢測的網(wǎng)絡(luò)入侵檢測方法，從網(wǎng)絡(luò)中抓取正常數(shù)據(jù)流，提取時間相關(guān)特征構(gòu)成數(shù)據(jù)流特征向量，構(gòu)建包括自編碼網(wǎng)絡(luò)、相關(guān)系數(shù)計算模塊、重構(gòu)誤差計算模塊、特征融合模塊、密度檢測網(wǎng)絡(luò)、高斯混合模型和能量計算模塊的網(wǎng)絡(luò)入侵檢測模型，融合自編碼網(wǎng)絡(luò)的隱藏層輸出特征、重構(gòu)前后數(shù)據(jù)流特征向量的相關(guān)系數(shù)以及重構(gòu)誤差得到融合特征向量并計算其能量，根據(jù)正常數(shù)據(jù)流的數(shù)據(jù)流特征向量對網(wǎng)絡(luò)入侵檢測模型進(jìn)行訓(xùn)練并得到異常檢測閾值，當(dāng)需要進(jìn)行網(wǎng)絡(luò)入侵檢測時，獲取數(shù)據(jù)流的數(shù)據(jù)流特征向量，輸入網(wǎng)絡(luò)入侵檢測模型得到對應(yīng)的能量并判定是否出現(xiàn)網(wǎng)絡(luò)入侵。采用本發(fā)明可以提高網(wǎng)絡(luò)入侵的效率和準(zhǔn)確性。

技術(shù)領(lǐng)域

本發(fā)明屬于網(wǎng)絡(luò)入侵檢測技術(shù)領(lǐng)域，更為具體地講，涉及一種基于自編碼器能量檢測的網(wǎng)絡(luò)入侵檢測方法。

背景技術(shù)

近年來隨著互聯(lián)網(wǎng)的普及，人們對于網(wǎng)絡(luò)的應(yīng)用更加頻繁，這也暴露了許多的安全問題。針對網(wǎng)絡(luò)的攻擊方式層出不窮，攻擊手段呈現(xiàn)多樣化，因此需要針對網(wǎng)絡(luò)攻擊設(shè)計識別更多未知的攻擊類型為管理員做決策。作為網(wǎng)絡(luò)安全的第二道屏障，異常檢測系統(tǒng)則在識別這些威脅上顯得至關(guān)重要。

目前主流的異常檢測方法都是基于無監(jiān)督模型的，因為它無需標(biāo)簽就可以建立正常行為的規(guī)則，通過選取合適的閾值作為判斷異常的標(biāo)準(zhǔn)。因為監(jiān)督學(xué)習(xí)有很多缺點(diǎn)：首先，監(jiān)督學(xué)習(xí)需要人工標(biāo)注，因此非常耗費(fèi)精力，代價過高；其次，人工標(biāo)注的數(shù)據(jù)有可能存在誤分類，會影響訓(xùn)練的效果；另外，監(jiān)督模型分類所需訓(xùn)練數(shù)據(jù)無法涵蓋巨大的攻擊種類，有新類型的攻擊方法難以識別。

無監(jiān)督模型雖然能檢測未知的攻擊行為，但是作為判斷異常的閾值選取較為困難，并且準(zhǔn)確率偏低，誤報率較高，無法獲得很好的測試效果。

發(fā)明內(nèi)容

本發(fā)明的目的在于克服現(xiàn)有技術(shù)的不足，提供一種基于自編碼器能量檢測的網(wǎng)絡(luò)入侵檢測方法，構(gòu)建基于自編碼網(wǎng)絡(luò)的網(wǎng)絡(luò)入侵檢測模型，融合自編碼網(wǎng)絡(luò)的隱藏層輸出特征、相關(guān)系數(shù)以及重構(gòu)誤差作為融合特征向量，通過計算融合特征向量的能量來實現(xiàn)網(wǎng)絡(luò)入侵檢測，提高網(wǎng)絡(luò)入侵的效率和準(zhǔn)確性。

為實現(xiàn)上述發(fā)明目的，本發(fā)明基于自編碼器能量檢測的網(wǎng)絡(luò)入侵檢測方法包括以下步驟：

S1：從網(wǎng)絡(luò)中抓取M個正常數(shù)據(jù)流，然后對于每個數(shù)據(jù)流分別統(tǒng)計時間相關(guān)特征，將時間相關(guān)特征構(gòu)成數(shù)據(jù)流特征向量；

S2：構(gòu)建網(wǎng)絡(luò)入侵檢測模型，包括自編碼網(wǎng)絡(luò)、相關(guān)系數(shù)計算模塊、重構(gòu)誤差計算模塊、特征融合模塊、密度檢測網(wǎng)絡(luò)、高斯混合模型和能量計算模塊，其中：

自編碼網(wǎng)絡(luò)包括輸入層、L-2層隱藏層和輸出層，構(gòu)成編碼器和解碼器，L 表示自編碼網(wǎng)絡(luò)的層數(shù)，編碼器用于對輸入的數(shù)據(jù)流特征向量x進(jìn)行編碼得到壓縮特征，解碼器用于對壓縮特征進(jìn)行映射得到重構(gòu)的數(shù)據(jù)流特征向量x′；

相關(guān)系數(shù)計算模塊用于計算數(shù)據(jù)流特征向量x和自編碼網(wǎng)絡(luò)重構(gòu)的數(shù)據(jù)流特征向量x′之間的相關(guān)系數(shù)ρ；

重構(gòu)誤差計算模塊用于計算自編碼網(wǎng)絡(luò)中解碼層與對應(yīng)編碼層之間的重構(gòu)誤差，得到長度為(L-1)/2的重構(gòu)誤差向量MRE，具體計算方法如下：

對于自編碼網(wǎng)絡(luò)中的第i層，則對應(yīng)的重構(gòu)誤差e_i的計算公式如下：

其中，i′＝L-i+1，D_i表示第i層輸出特征的維數(shù)，y_i,d表示第i層輸出特征中第d維特征值，x_i′,d表示第i′層輸入特征中第d維特征值，d＝1,2,…,D_i；

根據(jù)(L-1)/2個重構(gòu)誤差e_i構(gòu)建得到重構(gòu)誤差向量