[發明專利]一種自適應更新的網絡入侵檢測方法

有效

• 申請號: 202110791305.9
• 申請日: 2021-07-13
• 公開（公告）號: CN113379000B
• 公開（公告）日: 2022-03-15
• 發明（設計）人: 陳文;顧守珂;康明
• 申請（專利權）人: 四川大學
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;G06N3/08;G06F21/57
• 代理公司: 四川省成都市天策商標專利事務所(有限合伙) 51213
• 代理人: 張秀敏

1.一種自適應更新的網絡入侵檢測方法，其特征在于，包括：

步驟S100：通過特征空間映射，在不同的特征空間下訓練多個分類模型；

步驟S200：多個分類模型協同進行入侵檢測；

步驟S300：多個分類模型根據當前樣本分布與歷史樣本分布的差異自動更新觸發；

步驟S400：多個分類模型協同進行自適應更新；所述步驟S100具體包括：

步驟S110：收集初始已標記樣本集Data_original，Data_original＝{x_i,y_i|x_i∈R^d,1≤i≤L}，其中R^d代表d維實數向量集，x_i在每一維的值代表一種網絡數據流特征值，取值包括網絡入侵檢測數據流特征中的源IP、目的IP、源端口、目的端口、TTL時長、session會話錯誤、包負載大小、數據包負載特征值及其線性組合，L為已標記樣本數量，y_i代表樣本x_i的標簽類別，y_i∈{‘正?！?‘異?！瘆；

步驟S120：將初始已標記樣本集Data_original中的樣本映射到特征空間V_j，V_j為低維特征空間或深度神經網絡DNN的隱含層特征空間：

其中，是d_j維實數向量集，代表映射后的特征空間，為映射函數，映射函數為PCA降維函數或DNN深度神經網絡，將d維向量映射到d_j維特征空間V_j，θ_j代表映射函數的參數，j＝1,2,…,n；Data_original中的樣本映射到V_j后產生的樣本集合為

步驟S130：在差異化的特征空間V₁,V₂,…,V_j,…,V_n中，分別基于數據集Data’₁，Data’₂,…,Data’_j,…,Data’_n訓練n個不同的分類模型D_j，j＝1,2,…,n；

所述步驟S200具體為：

步驟S210：提取網絡數據流的原始特征，構成待測試樣本集Data_test＝{x_p|x_p∈R^d,1≤p≤m_t}，m_t為待測試樣本集中樣本的數量；

步驟S220：將待測試樣本集Data_test中的樣本{x_p,x_p∈R^d,1≤p≤m_t}分別映射到n個特征空間V_j，獲得映射后的樣本集Data’_testj：

其中，j＝1,2,…,n；x_p為待測試樣本集Data_test中第p個樣本；

步驟S230：利用分類模型D_j對Data’_testj中的每個樣本劃分類別，j＝1,2,…,n，具體包括：

步驟S231：令p＝1；

步驟S232：令j＝1，對于樣本x_p∈Data_test，初始化樣本x_p被分類為‘正常’的數量Tn_p＝0，初始化樣本x_p被分類為‘異?！臄盗縏a_p＝0；

步驟S233：在特征空間V_j中，分類模型D_j對樣本的分類結果為‘正?！?，則Tn_p＝Tn_p+1；否則Ta_p＝Ta_p+1；

步驟S234：j＝j+1，若j＜n，返回步驟S233執行；否則進入下一步；

步驟S235：若Tn_pTa_p，則x_p對應的標記類別y_p為‘正常’，否則y_p為‘異?！M入下一步；

步驟S236：p＝p+1，若p≤m_t，返回步驟S232執行；否則結束；

所述步驟S300包括：n個分類模型周期性的執行模型自動更新自動觸發檢查，檢查過程如下：

在更新周期內進行自動采樣，根據采樣得到的樣本值，通過Parzen窗法計算歷史網絡數據流特征樣本在每個特征維度取值的概率分布P_r(x)、以及當前時間周期窗口下新收集的網絡樣本在每個特征維度取值數據分布Q_r(x)，1≤r≤d，d為數據維數；隨后計算P_r(x)與Q_r(x)間的KL距離，KL距離用于量化數據的概率分布的變化：

其中X_c為更新周期內進行自動采樣的樣本集合；

計算加權KL距離S：

其中ω_r為對應維度的權重；

當S超出閾值λ₁，則自動觸發入侵檢測模型更新；

所述步驟S400具體包括：依次對每一個分類模型執行下述更新過程：

步驟S410：采集更新周期的網絡通信數據流，提取其中的網絡數據流原始特征，構成更新樣本集合Data_update＝{x_s|x_s∈R^d,1≤s≤U}，U為更新樣本數量；將Data_update中的樣本映射到的特征空間V_j，獲得映射后的樣本集

步驟S420：對于特征空間V_j訓練出來的分類模型D_j，j＝1,2,…,n，由其余特征空間訓練出的n-1個分類模型D_k，k＝1，2…n，且j≠k，通過投票機制從Data_update中為D_j產生更新用的新標記樣本，具體如下：

步驟S421：對于更新樣本x_q∈Data_update，q＝1,2,…,U，若在特征空間V_k中，k＝1,2,…,n且k≠j，分類模型D_k對的分類結果為‘正?！?，則累加x_q被分類為‘正常’的數量Tn_q，否則累計x_q被分類為‘異?！臄盗縏a_q，若Tn_qTa_q，則x_q對應的類別標記y_q為‘正?！?，否則y_q為‘異?！?/p>

步驟S422：并將x_q,y_q放入新標記樣本集L_j；

步驟S430：對第j個分類模型D_j，j＝1,2,…,n，獲得的新標記樣本集L_j進行可信度評估，具體包括：

步驟S431：定義概率傳播矩陣P，具體如下：

定義X_U為隨機采集更新周期內的少量樣本集，X_U＝{x₁,x₂,...,x_v,...,x_u}，對X_U中樣本進行人工標記，得到人工標記的標簽集合Y’_U，Y’_U＝{y₁,y₂,...,y_v,...,y_u}，其中y_v＝[p_v1,p_v2]，v＝1,2...u，p_v1、p_v2分別表示X_U中已標記樣本x_v屬于‘正常’和‘異?！母怕?；

從新標記樣本集L_j中隨機選出子集X_L＝{x₁,x₂,...,x_l}，X_L對應的標簽集合Y_L＝{y₁,y₂,…,y_l}，令X＝[X_L∪X_U]^T；定義規模為(l+u)*2的標簽類別概率矩陣Y＝[Y_L,Y_U]^T，Y中第e行，第f列的元素Y_ef表示X中第e個樣本x_e屬于類別f的概率，1≤e≤l+u，1≤f≤2，Y_U為標簽傳播結果集合，初始時Y_U設置為規模為u*2的0矩陣；

定義樣本x_e∈X、x_z∈X，x_e與x_z之間的相似度w_ez：

其中，d代表樣本維數，x_et代表樣本x_e的第t維屬性值，x_zt代表樣本x_z的第t維屬性值，σ為量化參數，則規模為(l+u)*(l+u)的概率傳播矩陣P中第e行，第z列的元素P_ez：

其中，1≤e，z≤l+u，P_ez代表將樣本x_e的標簽傳遞給樣本x_z的概率；

步驟S432：對于分類模型D_j，對新標記樣本集L_j進行基于標簽傳播的置信評估：

1)臨時變量Y_Temp＝Y_U；

2)計算概率傳播矩陣P與標簽類別概率矩陣Y的乘積PY，更新標簽類別概率矩陣Y，Y＝PY；

3)替換標簽類別概率矩陣Y的前l行為Y_L，保持Y_L中的類別標簽不變；

4)令F＝|Y_Temp-Y_U|，若矩陣F中的全部元素之和小于閾值λ，則輸出Y_U，迭代結束，進入下一步，否則跳轉2)；

5)計算人工標記的標簽集合Y’_U與標簽傳播結果集合Y_U的差異V_D＝|Y_U-Y’_U|，若V_D中元素的累積和值超過閾值λ₂，則表明本次多個分類模型通過投票機制為分類模型D_j協同產生的新標記樣本T_j中存在較高的標記錯誤率，舍棄L_j，返回步驟S400；否則利用樣本集合L_j∪X_U組成新的樣本集，通過特征空間映射，在特征空間V_j下對分類模型D_j，j＝1,2,…,n進行更新訓練，實現多個分類模型的自適應更新。