[發明專利]流量檢測方法、裝置、電子設備和存儲介質

在審

• 申請號: 202110975446.6
• 申請日: 2021-08-24
• 公開（公告）號: CN115941218A
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 谷勇浩;張曉青;徐昊;黃澤祺;王翼翡;王繼剛;田甜;馬蘇安;王靜;付鵬
• 申請（專利權）人: 中興通訊股份有限公司;北京郵電大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06N3/0455;G06N3/08
• 代理公司: 上海晨皓知識產權代理事務所(普通合伙) 31260
• 代理人: 成麗杰

1.一種流量檢測方法，其特征在于，包括：

獲取網絡流量數據；

將所述網絡流量數據輸入到預設的n層自編碼器的第i層自編碼器進行重構處理獲取重構流量數據，并根據所述網絡流量數據和所述重構流量數據獲取重構誤差；其中，所述n為大于1的整數，所述i為大于0小于所述n的整數；

將所述重構誤差大于所述第i層自編碼器的預設誤差閾值的所述網絡流量數據稱為可疑流量，并將所述可疑流量輸入到第i+1層自編碼器進行重構處理獲取所述可疑流量的可疑重構誤差，并根據所述可疑流量和所述可疑重構流量獲取可疑重構誤差；

當所述第i+1層自編碼器為第n層自編碼器時，若所述可疑流量的可疑重構誤差大于所述第n層自編碼器的預設誤差閾值，則所述可疑流量為所述網絡流量數據中的異常流量。

2.根據權利要求1所述的流量檢測方法，其特征在于，所述獲取網絡流量數據之前還包括：

獲取流量訓練集，其中，所述流量訓練集包含若干個正常流量數據；

將所述流量訓練集輸入到所述第i層自編碼器進行重構處理獲取重構流量集，并利用預設的損失函數訓練所述第i層自編碼器；其中，所述重構流量集包括若干個重構流量，每個所述正常流量數據經重構處理后得到一個所述重構流量；

當所述第i層自編碼器收斂時，根據所述重構流量集獲取所述流量訓練集中各正常流量數據的重構誤差，并根據所述各正常流量數據的重構誤差和預設的數據劃分比例確定所述第i層自編碼器的誤差閾值，從所述流量訓練集中篩選出所述重構誤差大于所述第i層自編碼器的誤差閾值的所述正常流量數據作為可疑流量數據集；

將所述可疑流量數據集輸入到所述第i+1層自編碼器進行重構處理獲取可疑重構流量集，并利用所述損失函數訓練所述第i+1層自編碼器直至收斂，根據所述可疑重構流量集獲取所述可疑流量數據集中各正常流量數據的可疑重構誤差，并根據所述各正常流量數據的可疑重構誤差和所述數據劃分比例確定所述第i+1層自編碼器的誤差閾值；

當所述第i+1層自編碼器為所述第n層自編碼器時，則生成所述n層自編碼器。

3.根據權利要求2所述的流量檢測方法，其特征在于，所述損失函數為所述流量訓練集中各所述正常流量數據和所述重構流量集中各所述重構流量數據的均方誤差；

所述利用預設的損失函數訓練所述第i層自編碼器包括：

當所述損失函數的值不滿足預設的收斂條件時，使用預設的優化器計算所述損失函數的梯度，并根據所述梯度調整所述第i層自編碼器的自編碼參數。

4.根據權利要求1所述的流量檢測方法，其特征在于，所述網絡流量數據攜帶有五元組信息，所述五元組信息包含源IP、目的IP、源端口、目的端口和協議信息；

所述獲取網絡流量數據之后還包括：

根據所述源IP、所述目的IP、所述源端口和所述目的端口確定所述網絡流量數據的流量方向；

根據所述流量方向和所述協議信息對所述網絡流量數據進行特征提取，獲取所述網絡流量數據的統計特征數據。

5.根據權利要求4所述的流量檢測方法，其特征在于，所述獲取所述網絡流量數據的統計特征數據之后還包括對所述統計特征數據進行數據清洗處理和數據歸一化處理。

6.根據權利要求1所述的流量檢測方法，其特征在于，所述將所述網絡流量數據輸入到預設的n層自編碼器的第i層自編碼器進行重構處理獲取重構流量數據，并根據所述網絡流量數據和所述重構流量數據獲取重構誤差具體包括：

所述第i層自編碼器對所述網絡流量數據進行編碼處理，生成所述網絡流量數據的編碼數據；

所述第i層自編碼器對所述編碼數據進行解碼處理，生成所述重構流量數據；

將所述網絡流量數據和所述重構流量數據的差值作為所述重構誤差。

7.根據權利要求1所述的流量檢測方法，其特征在于，所述n層自編碼器的各層自編碼器均包含有用于給所述各層自編碼器施加約束的正則化項。