CN109818929A - 基于主动自步学习的未知威胁感知方法、系统、存储介质、终端 - Google Patents

Abstract

本发明提供一种基于主动自步学习的未知威胁感知方法、系统、存储介质、终端，包括以下步骤：基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本进行人工标注；基于自步学习选择策略选择置信度高于第二预设阈值的无标签样本进行预测标注；基于人工标注和预测标注的样本训练日志分类模型；基于训练好的日志分类模型感知网络数据中的未知威胁。本发明的基于主动自步学习的未知威胁感知方法、系统、存储介质、终端通过人工标注和预测标注相结合的方式，提升了网络威胁识别的准确度，且能够识别未知网络。

Description

基于主动自步学习的未知威胁感知方法、系统、存储介质、 终端

技术领域

本发明涉及网络安全的技术领域，特别是涉及一种基于主动自步学习的未知威胁感知方法、系统、存储介质、终端。

背景技术

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。现有技术中，对于未知威胁的感知，通常都是根据网络日志数据，抽取数据特征，先人工标注足够量的样本数据，采用单一的机器学习方法进行模型训练，在训练好模型之后，再对网络流数据中的已知类型网络威胁行为进行识别和分类，并给出报警。

然而，上述方法存在以下缺陷：

(1)使用单一的机器学习方法来判定和识别已知类型的网络威胁，导致网络威胁识别准确度不够高，鲁棒性差；

(2)所采用的样本数据必须足够多，否则训练好的模型容易产生过拟合并产生大量的误报；

(3)模型只能针对一种已知网络威胁，如能识别DDOS攻击，但不能识别高级持续性威胁(Advanced Persistent Threat，APT)报警；

(4)对未知的网络威胁无法识别并报警，如2017年出现的勒索病毒的攻击就逃过了很多安全系统的监控。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种基于主动自步学习的未知威胁感知方法、系统、存储介质、终端，通过人工标注和预测标注相结合的方式，提升了网络威胁识别的准确度，且能够识别未知网络。

为实现上述目的及其他相关目的，本发明提供一种基于主动自步学习的未知威胁感知方法，包括以下步骤：基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本进行人工标注；基于自步学习选择策略选择置信度高于第二预设阈值的无标签样本进行预测标注；基于人工标注和预测标注的样本训练日志分类模型；基于训练好的日志分类模型感知网络数据中的未知威胁。

于本发明一实施例中，还包括通过多次迭代获取人工标注和预测标注的样本。

于本发明一实施例中，基于SVM分类器计算无标签样本的置信度，以获取置信度高于第二预设阈值的无标签样本。

于本发明一实施例中，还包括通过多次迭代训练所述日志分类模型。

对应地，本发明提供一种基于主动自步学习的未知威胁感知系统，包括人工标注模块、预测标注模块、训练模块和感知模块；

所述人工标注模块用于基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本进行人工标注；

所述预测标注模块用于基于自步学习选择策略选择置信度高于第二预设阈值的无标签样本进行预测标注；

所述训练模块用于基于人工标注和预测标注的样本训练日志分类模型；

所述感知模块用于基于训练好的日志分类模型感知网络数据中的未知威胁。

于本发明一实施例中，还包括第一迭代模块，用于通过多次迭代获取人工标注和预测标注的样本。

于本发明一实施例中，所述预测标注模块基于SVM分类器计算无标签样本的置信度，以获取置信度高于第二预设阈值的无标签样本。

于本发明一实施例中，还包括第二迭代模块，用于通过多次迭代训练所述日志分类模型。

本发明提供一种存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的基于主动自步学习的未知威胁感知方法。

最后，本发明提供一种终端，包括：处理器及存储器；

所述存储器用于存储计算机程序；

所述处理器用于执行所述存储器存储的计算机程序，以使所述终端执行上述的基于主动自步学习的未知威胁感知方法。

如上所述，本发明的基于主动自步学习的未知威胁感知方法、系统、存储介质、终端，具有以下有益效果：

(1)通过人工标注和预测标注相结合的方式，提升了网络威胁识别的准确度，且能够识别未知网络；

(2)能够提供足够多的样本，以满足模型训练的需要；

(3)能够提升威胁攻击精确度，从现有技术中34％的威胁感知度提升至61％；

(4)解决现有的网络威胁识别方法采用单一的机器学习的方法只能识别单一的网络威胁，不能发现未知的网络威胁、误报率高，算法容易产生过拟合问题；同时解决了模型的训练需要足够大的样本，在样本不足的情况下监督学习方法效果较差的问题。

附图说明

图1显示为本发明的基于主动自步学习的未知威胁感知方法于一实施例中的流程图；

图2显示为本发明的基于主动自步学习的未知威胁感知方法于一实施例中的框架图；

图3显示为于一实施例中主动自步学习分类在数据集A上的最终准确率；

图4显示为于一实施例中主动自步学习分类在数据集B上的最终准确率；

图5显示为于一实施例中主动自步学习分类在数据集A上的准确率随标注比例的变化；

图6显示为于一实施例中主动自步学习分类在数据集B上的准确率随标注比例的变化；

图7显示为本发明的基于主动自步学习的未知威胁感知系统于一实施例中的结构示意图；

图8显示为本发明的终端于一实施例中的结构示意图。

元件标号说明

71 人工标注模块

72 预测标注模块

73 训练模块

74 感知模块

81 处理器

82 存储器

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。

需要说明的是，本实施例中所提供的图示仅以示意方式说明本发明的基本构想，遂图式中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

由于人工标注成本较高，在实际中往往只能对大量无标签日志数据中的一部分进行人工标注，如果没有标注出足够多的样本，使得监督学习方法效果往往较差。本发明使用主动学方法，在迭代过程中选择信息量较大的数据进行人工标注得到训练集，以提高日志数据分类的准确率。同时本发明引入自步学习方法，选取置信度较高的样本用预测标签进行伪标注并加入到学习过程中，与主动学习方法结合起来，形成基于主动自步学习的方法，进一步提高未知威胁识别算法的准确率。

如图1所示，于一实施例中，本发明的基于主动自步学习的未知威胁感知方法包括以下步骤：

步骤S1、基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本进行人工标注。

主动学习(Active Learning)通过一定的算法查询最有用的未标记样本，并交由专家进行标记，然后用查询到的样本训练分类模型来提高模型的精确度。在人类的学习过程中，通常利用已有的经验来学习新的知识，又依靠获得的知识来总结和积累经验，经验与知识不断交互。同样，机器学习模拟人类学习的过程，利用已有的知识训练出模型去获取新的知识，并通过不断积累的信息去修正模型，以得到更加准确有用的新模型。不同于被动学习被动的接受知识，主动学习能够选择性地获取知识。主动学习的模型如下：A＝(C,Q,S,L,U)，其中C为一组或者一个分类器，L是用于训练已标注的样本。Q是查询函数，用于从未标注样本池U中查询信息量大的信息，S是督导者，可以为U中样本标注正确的标签。学习者通过少量初始标记样本L开始学习，通过一定的查询函数Q选择出一个或一批最有用的样本，并向督导者询问标签，然后利用获得的新知识来训练分类器和进行下一轮查询。主动学习是一个循环的过程，直至达到某一停止准则为止。

具体地，在本发明中，基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本，并对所述无标签样本进行人工标注。

步骤S2、基于自步学习选择策略选择置信度高于第二预设阈值的无标签样本进行预测标注。

自步学习(Self-paced Learning)的核心思想是在每次迭代过程中倾向于从所有样本中选择具有很小的训练误差、高似然值的样本，然后更新模型参数。每次迭代选择样本的数量由权重参数确定，该参数通过逐次衰减实现引入更多的样本，当所有样本已被选择或者代价函数无法再降低则停止迭代。

具体地，在本发明中，基于自步学习选择策略选择置信度高于第二预设值的无标签样本，并对所述无标签样本进行预测标注。

于本发明一实施例中，如图2所示，基于SVM分类器计算无标签样本的置信度，以获取置信度高于第二预设阈值的无标签样本。

于本发明一实施例中，如图2所示，本发明的基于主动自步学习的未知威胁感知方法还包括通过多次迭代获取人工标注和预测标注的样本，从而获取更具可靠性的样本。

步骤S3、基于人工标注和预测标注的样本训练日志分类模型。

具体地，对于人工标注和预测标注后所获得的样本，通过机器学习算法进行日志分类训练，从而获取日志分类模型。

于本发明一实施例中，本发明的基于主动自步学习的未知威胁感知方法还包括通过多次迭代训练所述日志分类模型。其中，通过人工标注和预测标注后所获得的样本迭代多次训练所述日志分类模型，以保证所述日志分类模型的准确率。

步骤S4、基于训练好的日志分类模型感知网络数据中的未知威胁。

具体地，将网络数据输入训练好的日志分类模型，对网络威胁进行识别，不仅能够提高网络威胁的识别度，而且能够识别未知威胁。

下面通过具体实施例进一步阐述本发明的基于主动自步学习的未知威胁感知方法。

在该实施例中，在迭代过程中，使用SVM分类模型对无标签样本进行预测并计算置信度，选取置信度较高的样本使用预测标签自动进行伪标注，将自动学习阶段伪标注的样本与主动学习阶段人工标注的样本一并加入到训练集中，实现对日志分类模型的更新。

为了验证本发明的基于主动自步学习的未知威胁感方法的有效性，在数据集A和数据集B的人工标注总量分别取1000到5000的情况下，分别使用监督学习方法(SUP)、自训练方法(ST)、协同训练方法(CT)以及主动学习方法(AL)、自步学习方法(SPL)、本发明的主动自步学习方法(ASPL)方法进行日志分类实验，最终准确率如图3、图4所示。

根据这两个数据集的实验结果来看，在数据的人工标注总数相同的情况下，AL方法和SPL学习方法得到的准确率都要高于SUP方法，说明单独使用主动学习和自步学习进行日志分类也可以达到优于监督学习方法的效果。同时，ASPL方法的效果一直是最好的，说明将主动学习方法和自步学习方法结合起来是非常有意义的，能够发挥主动学习方法和自步学习方法各自的优势，更好地解决日志分类问题，其效果要明显地优于ST、CT等半监督学习方法。

另外，由图3可知，对于数据集A，当人工标注总量为2000时使用ASPL方法进行日志分类得到的准确率不仅明显高于人工标注总量为2000时使用SUP方法得到的准确率，还要明显高于人工标注总量为3000时使用SUP方法得到的准确率。当人工标注总量为3000时ASPL方法对应的准确率不仅明显高于人工标注总量为3000时SUP方法对应的准确率，还要高于标注总量为4000、5000时使用SUP方法得到的准确率。由图4可知，数据集B上的实验结果更加明显，当人工标注总量为2000时ASPL方法对应的准确率不仅明显高于人工标注总量为2000时SUP方法对应的准确率，还要明显高于人工标注总量为3000、4000、甚至5000时SUP方法对应的准确率。因此，本发明的主动自步学习方法在人工标注量更少的情况下，还能实现高于监督学习方法的日志分类准确率。

为了验证本发明的ASPL方法能够显著减少所需的人工标注工作量，将人工标注总量占整个数据集大小的百分比分别设置为5％到100％(若人工标注比例为100％，说明是对所有数据进行人工标注)，分别使用监督学习方法(SUP)和主动自步学习方法(ASPL)进行日志分类实验，最终的分类准确率如图5和图6所示。

从图5和图6中可以看出，达到相同准确率时，ASPL方法对应的人工标注比例明显小于SUP方法。如图5所示，在数据集A上，若对全部数据进行人工标注，准确率约为0.904，而使用ASPL方法只需对50％的数据进行人工标注，最终的分类准确率就能达到这个最优值。如图6所示，在数据集B上，对全部数据进行人工标注得到的准确率约为0.956，而使用ASPL方法只需对35％的数据进行人工标注，最终的分类准确率就能达到这个最优值。因此，本发明的主动自步学习方法能够在显著减少人工标注量的情况下，达到监督学习方法耗费大量人工标注劳动力才能达到的准确率。

如图7所示，于一实施例中，本发明的基于主动自步学习的未知威胁感知系统包括人工标注模块71、预测标注模块72、训练模块73和感知模块74。

人工标注模块71用于基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本进行人工标注。

主动学习(Active Learning)通过一定的算法查询最有用的未标记样本，并交由专家进行标记，然后用查询到的样本训练分类模型来提高模型的精确度。在人类的学习过程中，通常利用已有的经验来学习新的知识，又依靠获得的知识来总结和积累经验，经验与知识不断交互。同样，机器学习模拟人类学习的过程，利用已有的知识训练出模型去获取新的知识，并通过不断积累的信息去修正模型，以得到更加准确有用的新模型。不同于被动学习被动的接受知识，主动学习能够选择性地获取知识。主动学习的模型如下：A＝(C,Q,S,L,U)，其中C为一组或者一个分类器，L是用于训练已标注的样本。Q是查询函数，用于从未标注样本池U中查询信息量大的信息，S是督导者，可以为U中样本标注正确的标签。学习者通过少量初始标记样本L开始学习，通过一定的查询函数Q选择出一个或一批最有用的样本，并向督导者询问标签，然后利用获得的新知识来训练分类器和进行下一轮查询。主动学习是一个循环的过程，直至达到某一停止准则为止。

具体地，在本发明中，基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本，并对所述无标签样本进行人工标注。

预测标注模块72用于基于自步学习选择策略选择置信度高于第二预设阈值的无标签样本进行预测标注。

自步学习(Self-paced Learning)的核心思想是在每次迭代过程中倾向于从所有样本中选择具有很小的训练误差、高似然值的样本，然后更新模型参数。每次迭代选择样本的数量由权重参数确定，该参数通过逐次衰减实现引入更多的样本，当所有样本已被选择或者代价函数无法再降低则停止迭代。

具体地，在本发明中，基于自步学习选择策略选择置信度高于第二预设值的无标签样本，并对所述无标签样本进行预测标注。

于本发明一实施例中，基于SVM分类器计算无标签样本的置信度，以获取置信度高于第二预设阈值的无标签样本。

于本发明一实施例中，本发明的基于主动自步学习的未知威胁感知系统还包括都可以迭代模块，用于通过多次迭代获取人工标注和预测标注的样本，从而获取更具可靠性的样本。

训练模块73与人工标注模块71和预测标注模块72相连，用于基于人工标注和预测标注的样本训练日志分类模型。

具体地，对于人工标注和预测标注后所获得的样本，通过机器学习算法进行日志分类训练，从而获取日志分类模型。

于本发明一实施例中，本发明的基于主动自步学习的未知威胁感知系统还包括第二迭代模块，用于通过多次迭代训练所述日志分类模型。其中，通过人工标注和预测标注后所获得的样本迭代多次训练所述日志分类模型，以保证所述日志分类模型的准确率。

感知模块74与训练模块73相连，用于基于训练好的日志分类模型感知网络数据中的未知威胁。

具体地，将网络数据输入训练好的日志分类模型，对网络威胁进行识别，不仅能够提高网络威胁的识别度，而且能够识别未知威胁。

需要说明的是，应理解以上装置的各个模块的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且这些模块可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分模块通过处理元件调用软件的形式实现，部分模块通过硬件的形式实现。例如，x模块可以为单独设立的处理元件，也可以集成在上述装置的某一个芯片中实现，此外，也可以以程序代码的形式存储于上述装置的存储器中，由上述装置的某一个处理元件调用并执行以上x模块的功能。其它模块的实现与之类似。此外这些模块全部或部分可以集成在一起，也可以独立实现。这里所述的处理元件可以是一种集成电路，具有信号的处理能力。在实现过程中，上述方法的各步骤或以上各个模块可以通过处理器元件中的硬件的集成逻辑电路或者软件形式的指令完成。

例如，以上这些模块可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路(Application Specific Integrated Circuit，简称ASIC)，或，一个或多个微处理器(Digital Singnal Processor，简称DSP)，或，一个或者多个现场可编程门阵列(Field Programmable Gate Array，简称FPGA)等。再如，当以上某个模块通过处理元件调度程序代码的形式实现时，该处理元件可以是通用处理器，例如中央处理器(Central Processing Unit，简称CPU)或其它可以调用程序代码的处理器。再如，这些模块可以集成在一起，以片上系统(system-on-a-chip，简称SOC)的形式实现。

本发明的存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述的基于主动自步学习的未知威胁感知方法。

如图8所示，于一实施例中，本发明的终端包括：处理器81及存储器82。

所述存储器82用于存储计算机程序。

所述存储器82包括：ROM、RAM、磁碟、U盘、存储卡或者光盘等各种可以存储程序代码的介质。

所述处理器81与所述存储器82相连，用于执行所述存储器82存储的计算机程序，以使所述终端执行上述的基于主动自步学习的未知威胁感知方法。

优选地，所述处理器81可以是通用处理器，包括中央处理器(Central ProcessingUnit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(Digital Signal Processor，简称DSP)、专用集成电路(Application SpecificIntegrated Circuit，简称ASIC)、现场可编程门阵列(Field Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

综上所述，本发明的基于主动自步学习的未知威胁感知方法、系统、存储介质、终端通过人工标注和预测标注相结合的方式，提升了网络威胁识别的准确度，且能够识别未知网络；能够提供足够多的样本，以满足模型训练的需要；能够提升威胁攻击精确度，从现有技术中34％的威胁感知度提升至61％；解决现有的网络威胁识别方法采用单一的机器学习的方法只能识别单一的网络威胁，不能发现未知的网络威胁、误报率高，算法容易产生过拟合问题；同时解决了模型的训练需要足够大的样本，在样本不足的情况下监督学习方法效果较差的问题。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (10)

1.一种基于主动自步学习的未知威胁感知方法，其特征在于：包括以下步骤：

基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本进行人工标注；

基于自步学习选择策略选择置信度高于第二预设阈值的无标签样本进行预测标注；

基于人工标注和预测标注的样本训练日志分类模型；

基于训练好的日志分类模型感知网络数据中的未知威胁。

2.根据权利要求1所述的基于主动自步学习的未知威胁感知方法，其特征在于：还包括通过多次迭代获取人工标注和预测标注的样本。

3.根据权利要求1所述的基于主动自步学习的未知威胁感知方法，其特征在于：基于SVM分类器计算无标签样本的置信度，以获取置信度高于第二预设阈值的无标签样本。

4.根据权利要求1所述的基于主动自步学习的未知威胁感知方法，其特征在于：还包括通过多次迭代训练所述日志分类模型。

5.一种基于主动自步学习的未知威胁感知系统，其特征在于：包括人工标注模块、预测标注模块、训练模块和感知模块；

所述人工标注模块用于基于主动学习选择策略选择信息量大于第一预设阈值的无标签样本进行人工标注；

所述预测标注模块用于基于自步学习选择策略选择置信度高于第二预设阈值的无标签样本进行预测标注；

所述训练模块用于基于人工标注和预测标注的样本训练日志分类模型；

所述感知模块用于基于训练好的日志分类模型感知网络数据中的未知威胁。

6.根据权利要求5所述的基于主动自步学习的未知威胁感知系统，其特征在于：还包括第一迭代模块，用于通过多次迭代获取人工标注和预测标注的样本。

7.根据权利要求5所述的基于主动自步学习的未知威胁感知系统，其特征在于：所述预测标注模块基于SVM分类器计算无标签样本的置信度，以获取置信度高于第二预设阈值的无标签样本。

8.根据权利要求5所述的基于主动自步学习的未知威胁感知系统，其特征在于：还包括第二迭代模块，用于通过多次迭代训练所述日志分类模型。

9.一种存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至4中任一所述的基于主动自步学习的未知威胁感知方法。

10.一种终端，其特征在于，包括：处理器及存储器；

所述存储器用于存储计算机程序；

所述处理器用于执行所述存储器存储的计算机程序，以使所述终端执行权利要求1至4中任一所述的基于主动自步学习的未知威胁感知方法。