[發明專利]一種基于AE-SVM模型的分布式拒絕服務攻擊網絡異常檢測方法

在審

• 申請號: 202111038148.0
• 申請日: 2021-09-06
• 公開（公告）號: CN113902052A
• 公開（公告）日: 2022-01-07
• 發明（設計）人: 葉鶴林;韓堅;劉松;劉愷;李劍
• 申請（專利權）人: 國網江西省電力有限公司萍鄉供電分公司;國家電網有限公司
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;G06N3/08
• 代理公司: 萍鄉益源專利事務所 36119
• 代理人: 胡宜斌

1.一種基于AE-SVM模型的分布式拒絕服務攻擊網絡異常檢測方法，其特征在于：所述異常檢測方法包含：分布式拒絕服務攻擊網絡異常數據；以及AE-SVM模型檢測分布式拒絕服務攻擊的過程；

進入步驟201，將數據集輸入，在使用的CICIDS數據集中有5個非數字特征和82個數字特征；

進入步驟202，對測量的非數值數據采用標簽編碼進行排列，以便AE-SVM正常工作，在編輯過程中，檢查了降/升比、標志計數、協議和標志信息，標志和向下/向上信息分別傳輸到數據集，這些數據被標記為0和1，協議用協議號標記，協議標有協議編號，流ID，源IP，目標IP，時間戳和SimillarHTTP字段被直接丟棄，因為它們被放置在數據集中；

訓練特征向量的16902行包含87種不同的網絡流量測量數據，針對每個測量值標記訓練向量中的每一行，數據集中的測量值和標簽如式1所示：

在式(1)中，x表示包含87個特征數據的向量，而y包含標記數據，此外，通過執行DDOS攻擊獲得的未標記數據如等式2所示：

在式(2)中，x_u是指當流量實際上生成時的數據行，y_u被標識為DDOS攻擊線，因為已知它們是DDOS攻擊；

進入步驟203，對數據進行標準化，CICIDS數據集中數據的最小值和最大值在每列中都是不同的，由于這些差異，分類器不能產生良好的分類效果，分類器的每個輸入都在一定范圍內，這一事實提高了分類器的精度，執行最小-最大標準化，使數據集每列中的值介于0和1之間，公式(3)用于此計算：

在式(3)中x_c，i表示數據集中標準化的每個值，數據集的最小值用min表示，最大值用max表示，因此，x_c，i值在0和1之間歸一化，索引c表示訓練數據集中的列，而i表示第c列的行，為每列計算的最小值和最大值用于標準化測試階段的數據；

進入步驟204，使用AE模型進行編碼，使特征降維，在AE中，輸入層和輸出層具有相同數量的單位，并且它們包含的單位與特征向量元素的數量相同，隱藏層包含與訓練前定義的瓶頸數一樣多的單元，AE可以從輸入數據向量中學習有效定義的瓶頸維度屬性，該過程自動提取出適合低維特征的高效特征，AE的特征提取和降維包括兩個步驟，它們是編碼和解碼，在編碼步驟中，X輸入數據與隱藏單元的表示相匹配，如等式4所示：

h＝g(WX+b) (4)

在式(4)中，X代表高維輸入向量，W為權重矩陣，b為偏差值，g為AE函數，輸入向量用這個函數編碼，在編碼過程的最后，得到了低維h向量，W表示大小為MxN的權重矩陣，偏差值以Mx1和Nx1維表示，Bias(偏差)嘗試學習并重新配置輸出值，使其等于每個X輸入向量，當得到的同一函數相等時，AE模型學習使輸出函數與輸入函數相似；

應用反向傳播算法來獲得AE、權重矩陣和偏差值的最佳值，以最小化公式5中表示的成本函數；

式(5)的第一項是指所有m個輸入數據的均方誤差之和，第二項用于調整隱藏單元和輸出單元的權重，以提高性能和預測，第二項也是一個權重降低參數，有助于防止等式中的過度學習，方程中的最后一項是少數懲罰項，它對隱藏層施加限制，以保持較低的平均激活值。KL表示Kullback-Leibler發散。KL由式6計算：

在等式中(6)，p是約束參數，范圍是0到1，當p＝p'時，KL(p\p')達到最小值，在等式p'中，表示出了所有訓練輸入x上的隱藏單元j的平均激活值，在通過將AE應用于未標記數據x_u來學習W權重矩陣和b偏差向量的最合適值之后，將評估標記數據(x，y)的a＝h屬性表示，表達式h是編碼特征的簡化向量表示，選擇激活函數g(t)作為Sigmoid函數，此函數的輸出范圍在0到1之間。它由等式7計算得出：

在式(7)中，隱藏層和輸出層中節點的激活用于h(W，b)，

然后進入步驟205，使用SVM進行分類，將編碼后的特征向量轉移到向量y，即SVM分類器的輸入向量，這些在分類中沒有任何貢獻的特征通過編碼過程被消除，支持向量機分類器的分類性能隨著特征集的減少而提高；

支持向量機分類器是由VapnikChervonenkis開發的，它基于統計學習理論和受控機器學習算法，該算法利用第一個非線性選擇映射將輸入域轉換為高維屬性域，該算法利用選定的非線性映射將輸入向量轉化為高維屬性向量，在這個向量中，得到了一個微分超平面，計算了不同類的最近向量到超平面的距離最大的向量，包含所獲得的N元特征向量的訓練數據由式8表示：

X＝{x₁，x₂，...，x_N} (8)

式(8)中的每個x代表編碼特征，式(7)用于從X特征向量中獲得一個超平面，該向量是通過組合特征來創建的；

ω.x_i+b≥1，ω.x_i+b＜1 (9)

式(9)中b的值表示超平面的閾值參數和超平面的正常計算值，得到的兩個平面之間的距離為1/||ω||；

為了執行分類過程，必須提供兩個平面之間的最大距離，||ω||值必須為最小值，才能達到最大距離，拉格朗日函數用于求[1/2||ω||]的最小值，利用拉格朗日函數優化的最小值，由式(10)得到最合適的超平面：

在等式中(10)，α_i是拉格朗日乘數，此參數用于優化，交易產生的決策函數用公式11表示；

式(11)中表示的f(x)是支持向量機分類器的徑向基函數RBF，用RBF神經網絡對輸入向量進行分類。

2.根據權利要求1所述的一種基于AE-SVM模型的分布式拒絕服務攻擊網絡異常檢測方法，其特征在于：所述分布式拒絕服務攻擊網絡異常數據包括CICIDS數據集。