[發明專利]流量檢測模型的訓練方法、流量檢測方法、裝置及設備

有效

• 申請號: 202110658464.1
• 申請日: 2021-06-11
• 公開（公告）號: CN113364792B
• 公開（公告）日: 2022-07-12
• 發明（設計）人: 王騫;鄭恩南;劉明烜;楊鑫;付卓群;鄭曉峰;應凌云;劉璐;聶眉寧;段海新
• 申請（專利權）人: 奇安信科技集團股份有限公司;網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06N3/04;G06N3/08
• 代理公司: 成都維飛知識產權代理有限公司 51311
• 代理人: 張巧燕

1.一種流量檢測模型的訓練方法，其特征在于，所述方法包括：

提取訓練流量樣本中的流量特征，所述流量特征攜帶有加密信息標簽以及表征是否為異常流量的流量標簽；

將所述流量特征輸入初始流量檢測模型的第一分支網絡和第二分支網絡中，得到所述第一分支網絡針對所述訓練流量樣本中攜帶的加密信息的第一預測結果，以及得到所述第二分支網絡針對所述訓練流量樣本是否為異常流量的第二預測結果；其中，所述第一分支網絡和所述第二分支網絡為所述初始流量檢測模型中包含用于進行特征提取的公共部分的分支網絡；

根據所述第一預測結果和所述加密信息標簽計算獲得第一損失函數，以及根據所述第二預測結果和所述流量標簽計算獲得第二損失函數；

根據所述第一損失函數和所述第二損失函數計算獲得總損失函數；

根據所述總損失函數更新所述初始流量檢測模型的網絡參數，并采用更新后的網絡參數訓練得到流量檢測模型。

2.根據權利要求1所述的訓練方法，其特征在于，通過以下方式獲取所述訓練流量樣本中的流量特征的加密信息標簽：

獲取異常流量樣本和正常流量樣本，并分別將所述異常流量樣本和所述正常流量樣本輸入沙箱中運行；

通過所述沙箱分別對所述異常流量樣本和所述正常流量樣本進行解密，得到所述異常流量樣本的解密信息以及所述正常流量樣本的解密信息；

根據所述異常流量樣本的解密信息，得到所述異常流量樣本的流量特征的加密信息標簽，并根據所述正常流量樣本的解密信息，得到所述正常流量樣本的流量特征的加密信息標簽；

其中，所述訓練流量樣本包括所述正常流量樣本和所述異常流量樣本。

3.根據權利要求2所述的訓練方法，其特征在于，通過所述沙箱分別對所述異常流量樣本和所述正常流量樣本進行解密，得到所述異常流量樣本的解密信息以及所述正常流量樣本的解密信息，包括：

從所述沙箱的內存快照中獲取針對所述異常流量樣本的第一會話密鑰，并利用所述第一會話密鑰對所述異常流量樣本進行解密，得到所述異常流量樣本的解密信息；

從所述沙箱中的內存快照中獲取針對所述正常流量樣本的第二會話密鑰，并利用所述第二會話密鑰對所述正常流量樣本進行解密，得到所述正常流量樣本的解密信息。

4.根據權利要求2所述的訓練方法，其特征在于，所述解密信息為所述訓練流量樣本中的HTTP頭部字段；

和/或，所述訓練流量樣本包括：加密流量樣本。

5.根據權利要求1所述的訓練方法，其特征在于，所述第一分支網絡包括第一特征提取模塊和第一預測模塊，所述第二分支網絡包括第二特征提取模塊和第二預測模塊，所述第一特征提取模塊和所述第二特征提取模塊包含公共部分，所述提取訓練流量樣本中的流量特征，包括：

利用所述第一特征提取模塊提取所述訓練流量樣本中的第一流量特征，以及，利用所述第二特征提取模塊提取所述訓練流量樣本中的第二流量特征；

所述將所述流量特征輸入流量檢測模型的第一分支網絡和第二分支網絡中，得到所述第一分支網絡針對所述訓練流量樣本中攜帶的加密信息的第一預測結果，以及得到所述第二分支網絡針對所述訓練流量樣本是否為異常流量的第二預測結果，包括：

將所述第一流量特征輸入所述第一預測模塊中，得到所述第一預測模塊針對所述訓練流量樣本中攜帶的加密信息的第一預測結果；以及，將所述第二流量特征輸入所述第二預測模塊中，得到所述第二預測模塊針對所述訓練流量樣本是否為異常流量的第二預測結果。

6.根據權利要求5所述的訓練方法，其特征在于，所述第一特征提取模塊和所述第二特征提取模塊的公共部分包括序列特征提取單元，所述第二特征提取模塊包括卷積單元和融合單元，所述利用所述第一特征提取模塊提取所述訓練流量樣本中的第一流量特征，以及，利用所述第二特征提取模塊提取所述訓練流量樣本中的第二流量特征，包括：

利用所述序列特征提取單元提取所述訓練流量樣本中的統計特征，所述統計特征為第一流量特征；以及，利用所述卷積單元提取所述訓練流量樣本中的明文特征，并利用所述融合單元融合所述明文特征和所述統計特征，得到第二流量特征。