[發明專利]一種基于神經網絡的工控異常流量監測方法和系統

在審

• 申請號: 202310203151.6
• 申請日: 2023-03-06
• 公開（公告）號: CN116192523A
• 公開（公告）日: 2023-05-30
• 發明（設計）人: 余思洋;肖欣;李肯立;蔡宇輝;楊志邦;楊圣洪;唐偉;段明星;呂婷
• 申請（專利權）人: 湖南匡安網絡技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F18/2415;G06N3/0499;G06N3/048;G06N3/047;G06N3/0455
• 代理公司: 長沙三七知識產權代理事務所(普通合伙) 43287
• 代理人: 劉伊旸

1.一種基于神經網絡的工控異常流量監測方法，其特征在于，包括以下步驟：

S1、數據預處理，獲取異常流量樣本數據的特征向量：提取包粒度的原始數據中網絡層、傳輸層的元信息，將原始數據向量化，形成一個多維向量；

S2、構建特征提取器進行特征提取，得到特征向量；

S3、構建多層感知機分類器進行分類，初始化模型參數；

S4、根據預測類別和實際類別，調整模型參數，繼續進行模型訓練；

S5、重復步驟S4直到工控異常流量監測模型收斂；

S6、將網絡中的實時數據包輸入工控異常流量監測模型，得到模型輸出流量類型，監測異常流量。

2.根據權利要求1所述的基于神經網絡的工控異常流量監測方法，其特征在于，所述元信息至少為時間戳、包頭長度、載荷字節數、源IP地址、目的IP地址、源端口、目的端口、傳輸協議、數據包FIN、SYN、PSH、RST、ACK、CWR、URG、ECE配置標識、初始化窗口大小之一。

3.?根據權利要求1所述的基于神經網絡的工控異常流量監測方法，其特征在于，步驟S2中構建的特征提取器為Transformer網絡，Transformer的編碼器由若干個TransformerBlock堆疊成的，單個Transformer?Block包括多頭注意力機制和前饋神經網絡。

4.根據權利要求1所述的基于神經網絡的工控異常流量監測方法，其特征在于，步驟S2特征提取的步驟如下：

S21.由輸入層將輸入的時間序列數據映射到高維的向量，然后將輸入的向量與時序編碼向量逐元素相加，對其特征進行時序編碼，得到結果embed向量；時序編碼計算公式如下：

；

；

其中，接收流量包的過程看成是一個時序序列，pos指該時序序列中某個時刻下的特征向量的位置，取值范圍為[0,?最大序列長度]；是特征維度，i表示在時序編碼向量中的索引，取值范圍為；上面的函數使得模型學習到特征向量之間的相對位置關系，輸入層還在特征向量前面添加了一個[class]向量以區分流量的業務類型；

S22.將經過時序編碼的embed向量輸入transformer網絡的編碼器中，經過多頭注意力機制層得到最終的特征向量；

在所述的多頭注意力機制層中，?首先通過計算得到注意力權重矩陣，權重是計算比較Q和K的相似度通過訓練得到的；在每個注意力頭上，流量數據包的embed向量作為輸入向量X，對每個輸入向量X，創建三個向量：Query向量、Key向量和Value向量，它們通過輸入向量分別和3個注意力權重矩陣相乘得到；通過計算向量的Query向量和其余每個向量的Key向量的點積得到注意力分數并進行歸一化操作，最后乘以Value向量，輸出特征矩陣Z，這個矩陣包含了所有注意力頭的信息。

5.根據權利要求1所述的基于神經網絡的工控異常流量監測方法，其特征在于，步驟S3中，MLP的結構由一個輸入層，若干個隱藏層和一個輸出層組成，輸入的特征向量連接到隱藏層的神經元，隱藏層的神經元再連接到輸入層的神經元，層與層間是全連接的。