[發明專利]一種基于雙域VAE的零日多步威脅識別方法

有效

• 申請號: 202110666729.2
• 申請日: 2021-06-16
• 公開（公告）號: CN113542222B
• 公開（公告）日: 2023-07-25
• 發明（設計）人: 洪榛;李濤濤;周潔茹;陳志成;嚴明松;倪文可
• 申請（專利權）人: 浙江工業大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 杭州斯可睿專利事務所有限公司 33241
• 代理人: 王利強

1.一種基于雙域VAE的零日多步威脅識別方法，其特征在于，所述方法包括以下步驟：

(1)搭建智能家居平臺，并進行多步攻擊實驗來收集網絡攻擊流量數據；

(2)對收集的實驗數據和公開可用的多步攻擊數據集分別進行特征提取和數據預處理工作；

(3)搭建基于VAE的網絡模型，通過雙域損失對公開的多步攻擊數據集進行訓練；

(4)設計一種雙域防御策略并且將收集的實驗數據作為零日多步威脅進行驗證測試，實現零日威脅的識別；令log?p(x|z)為重構域，KL(q(z|x)||p(z|x))為潛域；利用一種相似度(Sim.)方法來區分未知樣本，其方法定義如下：

其中λ表示權重，表示重構域異常概率，表示潛域異常概率，J₁,J₂表示相應的特征維度和潛碼維度；

通過計算分數的平均相似度，并將其和閾值γ比較，可判斷當前攻擊是否為零日攻擊；通過相似度比對，加入該攻擊為零日異常，則調查人員展開調查；

(5)搭建一個深度神經網絡DNN分類器，利用多分類交叉熵損失對已知的多步威脅進行監督訓練，實現已知多步威脅檢測；

所述步驟(3)中，利用VAE的重構域和潛域損失對經過步驟(2)之后的多步攻擊數據集訓練，VAE訓練過程如下：

步驟301，定義生成模型VAE為：

p(x,z)＝p(x|z)p(z),

其中z為潛在向量，p(·)是概率密度；

步驟302，基于VAE模型定義的基礎上，VAE的損失函數被定義為

其中，p_data表示真實的數據分布，θ表示網絡參數；

步驟303，令q(z|x)表示輔助分布來近似真實潛碼分布p(z|x)，損失函數的變分推導過程為：

其中p(z)表示表示潛在向量z的先驗分布，KL(·)代表KL散度，q(z|x)通過Q編碼器計算，p(x|z)可以通過P解碼器計算，根據KL(q(z|x)||p(z|x))的非負性，得到log(p(x))的下界損失為

所述步驟(5)中，根據步驟(4)，假如一個多步攻擊被識別為已知威脅，則通過DNN分類器實現已知威脅檢測包括以下過程：

步驟501，將VAE的潛域向量Z與原始向量X進行合并，輸入到分類模型DNN中；

步驟502，使用多分類交叉熵損失進行優化，其原理如下：

其中y_i表示真實標簽，p_i表示類別預測概率；

步驟503，對已知威脅進行識別，推斷出具體的威脅類型，并發出系統警報。

2.如權利要求1所述的一種基于雙域VAE的零日多步威脅識別方法，其特征在于，所述步驟(1)中，多步攻擊實驗數據收集的步驟如下：

步驟101，將樹莓派作為智能家居網關，配置Wi-Fi熱點并開啟，并將天貓精靈，智能插座，智能燈泡等智能設備進行網絡接入；

步驟102，利用一臺裝有Kali系統的筆記本作為攻擊設備，并通過多步攻擊腳本進行攻擊，攻擊腳本主要包括DoS和MITM多步攻擊；

步驟103，在網關處利用TCPdump工具記錄網絡流量和日志，并將流量保存為PCAP格式文件。

3.如權利要求1或2所述的一種基于雙域VAE的零日多步威脅識別方法，其特征在于，所述步驟(2)中，對公開可用的DARPA-2000(DDoS)多步攻擊數據和在步驟(1)中實驗收集的DoS，MITM多步攻擊數據集進行特征提取和預處理工作，過程如下：

步驟201，利用t-shark工具將網絡協議包頭特征進行提取，并保存為csv文件；

步驟202，對特征數據進行預處理，包括缺失值補“0”，字符編碼，歸一化處理。