[發明專利]基于LSTM和攻擊者信息的攻擊階段預測方法

在審

• 申請號: 202110754116.4
• 申請日: 2021-07-04
• 公開（公告）號: CN113592150A
• 公開（公告）日: 2021-11-02
• 發明（設計）人: 李童;李戰士;楊震
• 申請（專利權）人: 北京工業大學
• 主分類號: G06Q10/04
• 分類號: G06Q10/04;G06N3/04;G06N3/08;G06K9/62;G06F21/57
• 代理公司: 北京思海天達知識產權代理有限公司 11203
• 代理人: 劉萍

1.基于LSTM和攻擊者信息的攻擊階段預測方法，其特征在于包括以下步驟：

步驟一：首先收集所需預測的資產的歷史警告數據；并對歷史警告數據中出現的攻擊者的歷史攻擊信息進行收集；

步驟二：然后通過對收集到的歷史數據進行歸一化的預處理，構造待訓練的LSTM模型的訓練樣本數據和測試樣本數據；

步驟三：通過訓練樣本數據得到預先訓練的LSTM模型，然后通過構造的驗證樣本數據和測試樣本數據微調訓練得到的LSTM模型參數，F1指標達到0.75時，停止參數的微調，將微調后的LSTM模型作為攻擊預測模型；

步驟四：將預處理后的目標資產的一段時間的歷史數據作為LSTM模型的輸入數據，通過LSTM模型對輸入數據進行學習，最終LSTM模型輸出得到未來可能收到的攻擊的階段。

2.根據權利要求1所述的基于LSTM和攻擊者信息的攻擊階段預測方法，其特征在于：步驟1中，收集目標資產1年的所受攻擊的警告數據；并對該警告數據中攻擊者的歷史攻擊信息進行收集，對于部分攻擊者缺失的歷史信息均補0處理。

3.根據權利要求1所述的基于LSTM和攻擊者信息的攻擊階段預測方法，其特征在于：步驟2中，構造待訓練的LSTM模型的輸入特征向量，并按照80％，10％，10％的比例劃分為訓練樣本數據、驗證樣本數據、測試樣本數據。

4.根據權利要求1所述的基于LSTM和攻擊者信息的攻擊階段預測方法，其特征在于：LSTM模型的輸入特征向量為n×32的矩陣，矩陣的n行分別為目標資產近n次所受網絡攻擊的相關數據，每一行分別由32個維度組成；全部維度分為3部分；第一部分由目標資產警告數據組成；第二部分為攻擊時網絡流量數據；第三部分為攻擊者歷史信息的數據。

5.根據權利要求1所述的基于LSTM和攻擊者信息的攻擊階段預測方法，其特征在于：由目標資產警告數據得到維度：攻擊開始時間start_time、攻擊結束時間end_time、警告在所處多階段攻擊鏈條中所處的步驟序號、警告的方法序號、攻擊者IP地址的四部分；警告中的攻擊開始時間和攻擊結束時間通常為時間戳的數據格式，即10位或13位的整數，其中10位為秒為單位，13位為毫秒為單位；后續以10位的時間戳作為標準。

6.根據權利要求1所述的基于LSTM和攻擊者信息的攻擊階段預測方法，其特征在于：攻擊者的歷史信息數據分為以下多個維度：根據網絡攻擊開始時間start_time的前5天的歷史數據，每天的數據統計為以下維度，該警告信息中的攻擊者從時間start_time-24×60×60～start_time統計全部的攻擊次數，即從網絡攻擊開始時間的1天前，到網絡攻擊開始時間的攻擊次數累計數量，該警告信息中的攻擊者從時間start_time-24×60×60～start_time-16×60×60統計全部的攻擊次數，即從網絡攻擊開始時間的1天前，到網絡攻擊開始時間的8小時前攻擊次數累計數量，該警告信息中的攻擊者從時間start_time-24×60×60～start_time-16×60×60統計全部的攻擊次數，即從網絡攻擊開始時間的1天前，到網絡攻擊開始時間的16小時前攻擊次數累計數量，該警告信息中的攻擊者從時間start_time-16×60×60到start_time-8×60×60統計全部的攻擊次數，即從網絡攻擊開始時間的16小時前，到網絡攻擊開始時間的8小時前攻擊次數累計數量，該警告信息中的攻擊者從時間start_time-8×60×60到start_time統計全部的攻擊次數，即從網絡攻擊開始時間的8小時前，到網絡攻擊開始時間的攻擊次數累計數量。