CN111698269A - 一种基于Plackett-Luce模型的网络入侵检测方法 - Google Patents

Abstract

本发明公开了一种基于Plackett‑Luce模型的网络入侵检测方法，属于网络安全技术领域，包括根据用户在网络中产生的网络流量数据，利用Plackett‑Luce模型得到用户对不同时间网络流量的偏好值，通过偏好值确定用户对不同网络流量的偏好关系和网络流量占优次数，然后根据Plackett‑Luce模型的对数似然函数，用极大似然估计方法构建迭代函数，最后将网络流量的占优次数标准化后代入迭代函数计算得出每次网络流量的观测权重，将其作为检测结果对网络流量进行检检测，解决了以用户的网络流量数据为基础，采用Plackett‑Luce模型判断用户网络流量是否存在异常的技术问题，充分考虑了不同用户行为习惯不一致，能够更好的判断网络中是否存在入侵行为。

Description

一种基于Plackett-Luce模型的网络入侵检测方法

技术领域

本发明属于网络安全技术领域，涉及一种基于Plackett-Luce模型的网络入侵检测方法。

背景技术

入侵检测指的是从网络或者电脑系统中的某些关键信息点入手，搜索相关的信息，对该信息进行深入的研究分析。通过对比检测发现该计算机系统或者网络中是否存在违反安全策略的行为，是一项提前预支入侵攻击痕迹的安全技术，简单的说，入侵检测就是通过相关数据的搜索对比的异常情况，以此来发现网络入侵攻击行为。

入侵检测技术主要下四种：基于统计的异常检测技术、基于预测模式生成的异常检测技术、基于神经网络的入侵检测技术和基于数据挖掘的入侵检测技术。

基于统计的异常检测技术，主要依靠异常检测器观察主题的日常活动，然后产生刻画这些活动的行为状态。每一个行为状态保存记录当前主体的行为，并按照一定时间将当前的实时状态与存储的状态进行合并对比。通过比较当前的状态与已经存储的状态的区别来判断系统的异常行为，从而检测出网络的入侵行为。

基于预测模式生成的异常检测技术首先将事件的序列假定为遵循可辩别的模式，而不是随机出现的。该方法可以考虑到时间的序列及相互联系，系统通过总结分析后产生一定的规律集，存储于主机之中，随着系统的变化，并能动态地修改系统中的规则。

基于神经网络的入侵检测系统是指在人工神经网络在，单个神经元的结构和功能是十分简单和有限的，但是就是由这些众多结构简单、功能有限的单个神经元的“微观”活动，构成了结构复杂的“宏观效应”，从而完成各种复杂的信息识别和任务处理工作。神经网络相对于传统的计算模型相比最大的优势在于具有自组织、自学习推理的自适应能力。

基于数据挖掘的入侵检测技术将数据挖掘技术和入侵检测技术进行结合，利用数据挖掘技术从大量审计数据或数据流中提取出所需要的信息，并用这些信息去检测网络入侵。

传统的方法根据用户对网络流量判断是否存在网络入侵，大部分方法都是通过用户网络流量数据直接计算，但是由于用户个人行为习惯不同，导致网络流量数据不具备可比较性。通过网络流量数据计算出的网络是否存在入侵结果不能准确反映出在网络中用户行为是否存在异常。

发明内容

本发明的目的是提供一种基于Plackett-Luce模型的网络入侵检测方法，解决了以用户的网络流量数据为基础，采用Plackett-Luce模型判断用户网络流量是否存在异常的技术问题。

为实现上述目的，本发明采用如下技术方案：

一种基于Plackett-Luce模型的网络入侵检测方法，包括如下步骤：

步骤1：建立流量监控服务器、统计服务器、函数构建服务器和观测权重计算服务器，流量监控服务器、统计服务器、函数构建服务器和观测权重计算服务器之间通过互联网相互通信；

流量监控服务器用于监视并记录用户每天使用的网络流量数值；

步骤2：统计服务器从流量监控服务器中调取用户每天使用的网络流量数值；

根据网络流量数值的大小建立用户网络流量偏好表，网络流量偏好表用于表示用户对于网络流量数值的偏好关系，偏好关系以偏好值的形式存储在网络流量偏好表中；

步骤3：根据网络流量偏好表，统计出每次网络流量在比较中占优的次数，即网络流量占优次数；

步骤4：函数构建服务器根据统计服务器的统计结果，构建基于Plackett-Luce模型的对数似然函数，利用极大似然估计法构建迭代函数；

函数构建服务器根据网络流量占优次数计算出用户网络流量数值在网络流量数值比较中的占优概率；

步骤5：观测权重计算服务器将占优概率视为观测权重值代入步骤4得出的迭代函数，通过迭代函数得出每次网络流量的观测权重值，把观测权重值作为检测结果，将得到的观测权重值用于判断用户每天网络流量数值是否存在异常，如果异常，则认为该用户被网络入侵。

优选的，在执行步骤3时，所述统计服务器根据以下方法进行统计出网络流量占优次数：

步骤A1：根据网络流量数值建立一个网络流量数值矩阵，设用户集合为U＝{u₁,u₂,...,u_m}，m表示用户数，网络流量集为S＝{s₁,s₂,...,s_k}，k表示流量统计次数，网络流量数值矩阵为R＝[r_ij]_m×k，其中r_ij表示第i位用户u_i对第j次网络流量s_j的数值；

步骤A2：根据网络流量数值矩阵计算出用户对网络流量的偏好值：根据Plackett-Luce模型的排序功能，通过数值计算用户网络流量数值偏好值，偏好值pre越大则表示用户当次被网络入侵的概率更大；

在本实施例中，用户u_i对网络流量数值S＝{s₁,s₂,,s_k}的偏好值计算公式如下所示：

其中pre_i1表示用户u_i对网络流量数值s₁的偏好值，基于网络流量数值矩阵R建立所有用户u_i∈U对所有网络流量数值s_j∈S的偏好矩阵Pre＝[pre_ij]_m×k(i＝1,2,…,m；j＝1,2,…,k)，pre_ij表示第i位用户u_i对第j次网络流量s_j的偏好值。

根据偏好值计算公式计算用户对网络流量的偏好值，建立所有用户对所有网络流量的偏好矩阵Pre如下所示：

步骤A3：通过比较偏好矩阵Pre内用户对网络流量的偏好值，得到每个用户对所有网络流量的偏好关系，并根据偏好值得到所有网络流量的占优次数；

在本实施例中，在用户u_i的偏好下，将网络流量s_j和网络流量s_g的偏好值进行比较，网络流量偏好关系如下所示：

若pre_ij＞pre_ig，那么用户u_i对网络流量s_j和网络流量s_g的偏好关系为s_j＞s_g，即用户u_i当次的网络流量s_j比网络流量s_g更多，符号“＞”表示更多。

比较每个用户偏好下所有网络流量的偏好值，得到网络流量在比较中的占优次数。基于网络流量的占优次数建立网络流量占优次数矩阵T＝[t_ij]_m×k(i＝1,2,…,m；j＝1,2,…,k)，其中t_ij表示网络流量s_j在用户u_i偏好下的占优次数。在同一个用户的偏好下，每次网络流量和其他网络流量进行两两比较得到该网络流量的占优次数。若在用户u_i的偏好下将网络流量s_j和s_g(j,g＝1,2,…,k)进行比较，网络流量s_j和s_g占优次数计算方式如下所示：

其中，在u_i的偏好下，若pre_ij＞pre_ig，则记为网络流量s_j占优，即t_ij的值加1，t_ig的值加0；若pre_ij＝pre_ig，则记为网络流量s_j和网络流量s_g都不占优，即t_ij和t_ig的值都加0；若pre_ij＜pre_ig，则记为网络流量s_g占优，即t_ij的值加0，t_ig的值加1。网络流量的占优次数矩阵T如下所示：

用W表示网络流量在所有用户偏好下总的占优次数，W＝{W₁,W₂,…,W_k}。

通过累加每个用户偏好下网络流量s_j的占优次数得到网络流量s_j总的占优次数W_j。网络流量s_j总的占优次数W_j(j＝1,2,3,…,k)计算方式如下所示：

优选的，在执行步骤4时，函数构建服务器根据以下方法利用极大似然估计法构建迭代函数：

步骤B1：设定网络流量s_j和网络流量s_g均为网络流量集为S＝{s₁,s₂,…,s_k}中的流量值；根据Plackett-Luce模型对网络流量s_j和网络流量s_g排序，那么排序占优概率计算公式如下所示：

P表示网络流量在占优的概率，γ_j是网络流量s_j在Plackett-Luce模型中的权重值，γ_g是网络流量s_g在Plackett-Luce模型中的权重值；

步骤B2：把排序占优概率P作为权重值γ，通过迭代的方法求解使Plackett-Luce模型的对数似然函数l(γ)取得最大值的权重值γ，其公式如下：

步骤B3：构建迭代函数Q，其公式如下：

其中包含条件为：Q(γ_j)≤l(γ_j)，当且仅当γ_j＝γ_j ⁽ⁿ⁾取等；

设定γ_j ⁽ⁿ⁾(n代表第n次迭代)是在迭代过程中最接近真实值γ_j的结果，那么在迭代函数Q的计算中，网络流量s_j计算的权重值γ_j会从γ_j ⁽¹⁾一直迭代到最终的结果γ_j ⁽ⁿ⁾，根据迭代函数Q的包含条件，如果γ_j ⁽ⁿ⁾是计算得到最接近真实值γ_j的权重值，那么当权重值等于γ_j ⁽ⁿ⁾时，迭代函数的值Q(γ_j)等于对数似然函数的值l(γ_j)。

优选的，在执行步骤5时，观测权重计算服务器根据以下方法计算出观测权重：

步骤C1：设定所述网络流量占优次数为W，把每个网络流量的占优次数W作为初始排序权重γ⁽¹⁾；

步骤C2：计算每次网络流量占优次数在所有网络流量总占优次数中所占的比例，得到每次网络流量的初始观测权γ⁽¹⁾＝{γ₁ ⁽¹⁾,γ₂ ⁽¹⁾,…,γ_k ⁽¹⁾}；

步骤C3：根据以下公式计算网络流量s_j的初始观测权重值：

权重值γ的迭代公式如下所示：

其中，N_jg表示网络流量s_j和s_g的占优次数之和，N_jg＝W_j+W_g。根据权重值γ的迭代公式，可以从γ_j ⁽¹⁾依次迭代得到γ_j ⁽ⁿ⁾的确定值，在确定γ_j ^(k)的前提下，把权重值γ_j代入迭代函数Q，并循环迭代，找到使迭代函数Q取得最大值的权重值γ_j。

本发明所述的一种基于Plackett-Luce模型的网络入侵检测方法，解决了以用户的网络流量数据为基础，采用Plackett-Luce模型判断用户网络流量是否存在异常的技术问题，本发明为解决用户行为习惯不一致的问题提供了一种新的理论依据和技术手段，充分考虑了不同用户行为习惯不一致，得到的网络流量预测结果体现了用户的主观意愿并且结果具有更强抗操纵能力，能够更好的判断网络中是否存在入侵行为。

附图说明

图1为本发明的流程图。

具体实施方式

如图1所示的一种基于Plackett-Luce模型的网络入侵检测方法，包括如下步骤：

步骤1：建立流量监控服务器、统计服务器、函数构建服务器和观测权重计算服务器，流量监控服务器、统计服务器、函数构建服务器和观测权重计算服务器之间通过互联网相互通信；

流量监控服务器用于监视并记录用户每天使用的网络流量数值；

步骤2：统计服务器从流量监控服务器中调取用户每天使用的网络流量数值；

根据网络流量数值的大小建立用户网络流量偏好表，网络流量偏好表用于表示用户对于网络流量数值的偏好关系，偏好关系以偏好值的形式存储在网络流量偏好表中；

步骤3：根据网络流量偏好表，统计出每次网络流量在比较中占优的次数，即网络流量占优次数；

步骤4：函数构建服务器根据统计服务器的统计结果，构建基于Plackett-Luce模型的对数似然函数，利用极大似然估计法构建迭代函数；

函数构建服务器根据网络流量占优次数计算出用户网络流量数值在网络流量数值比较中的占优概率；

步骤5：观测权重计算服务器将占优概率视为观测权重值代入步骤4得出的迭代函数，通过迭代函数得出每次网络流量的观测权重值，把观测权重值作为检测结果，将得到的观测权重值用于判断用户每天网络流量数值是否存在异常，如果异常，则认为该用户被网络入侵。

优选的，在执行步骤3时，所述统计服务器根据以下方法进行统计出网络流量占优次数：

步骤A1：根据网络流量数值建立一个网络流量数值矩阵，设用户集合为U＝{u₁,u₂,…,u_m}，m表示用户数，网络流量集为S＝{s₁,s₂,…,s_k}，k表示流量统计次数，网络流量数值矩阵为R＝[r_ij]_m×k，其中r_ij表示第i位用户u_i对第j次网络流量s_j的数值；

步骤A2：根据网络流量数值矩阵计算出用户对网络流量的偏好值：根据Plackett-Luce模型的排序功能，通过数值计算用户网络流量数值偏好值，偏好值pre越大则表示用户当次被网络入侵的概率更大；

步骤A3：通过比较偏好矩阵Pre内用户对网络流量的偏好值，得到每个用户对所有网络流量的偏好关系，并根据偏好值得到所有网络流量的占优次数。

优选的，在执行步骤4时，函数构建服务器根据以下方法利用极大似然估计法构建迭代函数：

步骤B1：设定网络流量s_j和网络流量s_g均为网络流量集为S＝{s₁,s₂,…,s_k}中的流量值；根据Plackett-Luce模型对网络流量s_j和网络流量s_g排序，那么排序占优概率计算公式如下所示：

P表示网络流量在占优的概率，γ_j是网络流量s_j在Plackett-Luce模型中的权重值，γ_g是网络流量s_g在Plackett-Luce模型中的权重值；

步骤B2：把排序占优概率P作为权重值γ，通过迭代的方法求解使Plackett-Luce模型的对数似然函数l(γ)取得最大值的权重值γ，其公式如下：

步骤B3：构建迭代函数Q，其公式如下：

其中包含条件为：Q(γ_j)≤l(γ_j)，当且仅当γ_j＝γ_j ⁽ⁿ⁾取等；

设定γ_j ⁽ⁿ⁾(n代表第n次迭代)是在迭代过程中最接近真实值γ_j的结果(网络流量之间一定存在一个排序，那么相对应的每次网络流量的权重中都会有一个真实值γ，迭代的目的就是找到最接近这个真实值的结果)，那么在迭代函数Q的计算中，网络流量s_j计算的权重值γ_j会从γ_j ⁽¹⁾一直迭代到最终的结果γ_j ⁽ⁿ⁾，根据迭代函数Q的包含条件，如果γ_j ⁽ⁿ⁾是计算得到最接近真实值γ_j的权重值，那么当权重值等于γ_j ⁽ⁿ⁾时，迭代函数的值Q(γ_j)等于对数似然函数的值l(γ_j)。

优选的，在执行步骤5时，观测权重计算服务器根据以下方法计算出观测权重：

步骤C1：设定所述网络流量占优次数为W，把每个网络流量的占优次数W作为初始排序权重γ⁽¹⁾；

步骤C2：计算每次网络流量占优次数在所有网络流量总占优次数中所占的比例，得到每次网络流量的初始观测权γ⁽¹⁾＝{γ₁ ⁽¹⁾,γ₂ ⁽¹⁾,…,γ_k ⁽¹⁾}；

步骤C3：根据以下公式计算网络流量s_j的初始观测权重值：

权重值γ的迭代公式如下所示：

其中，N_jg表示网络流量s_j和s_g的占优次数之和，N_jg＝W_j+W_g。根据权重值γ的迭代公式，可以从γ_j ⁽¹⁾依次迭代得到γ_j ⁽ⁿ⁾的确定值，在确定γ_j ^(k)的前提下，把权重值γ_j代入迭代函数Q，并循环迭代，找到使迭代函数Q取得最大值的权重值γ_j。

本发明所述方法使用Plackett-Luce模型的排序功能，利用网络流量计算得到用户对网络流量的偏好关系。根据可比较的偏好统计网络流量占优次数，把占优次数作为初始值代入迭代函数中推断求解网络流量是否存在异常的结果，避免直接使用网络流量得到判断结果，解决用户行为习惯不一致导致的网络流量不可比较的问题。

本发明使用Plackett-Luce模型方法，把用户不可比较的网络流量转换成网络流量排序概率问题，通过用户对网络流量的偏好推断判断是否存在异常，由于把网络流量转化为偏好关系，所以当提升某个网络流量的数值或者增加网络流量的人数时，不仅用户对网络流量的偏好关系会改变，同时也会影响用户对其他网络流量的偏好关系，无法达到操纵结果的目的。因此，对本方法的网络流量检测结果进行操纵比公知方法更难，客观上使本发明的网络流量检测方法具有更强的抗操纵能力

本发明所述的一种基于Plackett-Luce模型的网络入侵检测方法，解决了以用户的网络流量数据为基础，采用Plackett-Luce模型判断用户网络流量是否存在异常的技术问题，本发明为解决用户行为习惯不一致的问题提供了一种新的理论依据和技术手段，充分考虑了不同用户行为习惯不一致，得到的网络流量预测结果体现了用户的主观意愿并且结果具有更强抗操纵能力，能够更好的判断网络中是否存在入侵行为。

Claims (4)

1.一种基于Plackett-Luce模型的网络入侵检测方法，其特征在于：包括如下步骤：

步骤1：建立流量监控服务器、统计服务器、函数构建服务器和观测权重计算服务器，流量监控服务器、统计服务器、函数构建服务器和观测权重计算服务器之间通过互联网相互通信；

流量监控服务器用于监视并记录用户每天使用的网络流量数值；

步骤2：统计服务器从流量监控服务器中调取用户每天使用的网络流量数值；

根据网络流量数值的大小建立用户网络流量偏好表，网络流量偏好表用于表示用户对于网络流量数值的偏好关系，偏好关系以偏好值的形式存储在网络流量偏好表中；

步骤3：根据网络流量偏好表，统计出每次网络流量在比较中占优的次数，即网络流量占优次数；

步骤4：函数构建服务器根据统计服务器的统计结果，构建基于Plackett-Luce模型的对数似然函数，利用极大似然估计法构建迭代函数；

函数构建服务器根据网络流量占优次数计算出用户网络流量数值在网络流量数值比较中的占优概率；

步骤5：观测权重计算服务器将占优概率视为观测权重值代入步骤4得出的迭代函数，通过迭代函数得出每次网络流量的观测权重值，把观测权重值作为检测结果，将得到的观测权重值用于判断用户每天网络流量数值是否存在异常，如果异常，则认为该用户被网络入侵。

2.如权利要求1所述的一种基于Plackett-Luce模型的网络入侵检测方法，其特征在于：在执行步骤3时，所述统计服务器根据以下方法进行统计出网络流量占优次数：

步骤A1：根据网络流量数值建立一个网络流量数值矩阵，设用户集合为U＝{u₁,u₂,...,u_m}，m表示用户数，网络流量集为S＝{s₁,s₂,...,s_k}，k表示流量统计次数，网络流量数值矩阵为R＝[r_ij]_m×k，其中r_ij表示第i位用户u_i对第j次网络流量s_j的数值；

步骤A2：根据网络流量数值矩阵计算出用户对网络流量的偏好值：根据Plackett-Luce模型的排序功能，通过数值计算用户网络流量数值偏好值，偏好值pre越大则表示用户当次被网络入侵的概率更大；

步骤A3：通过比较偏好矩阵Pre内用户对网络流量的偏好值，得到每个用户对所有网络流量的偏好关系，并根据偏好值得到所有网络流量的占优次数。

3.如权利要求2所述的一种基于Plackett-Luce模型的网络入侵检测方法，其特征在于：在执行步骤4时，函数构建服务器根据以下方法利用极大似然估计法构建迭代函数：

步骤B1：设定网络流量s_j和网络流量s_g均为网络流量集为S＝{s₁,s₂,...,s_k}中的流量值；根据Plackett-Luce模型对网络流量s_j和网络流量s_g排序，那么排序占优概率计算公式如下所示：

P表示网络流量在占优的概率，γ_j是网络流量s_j在Plackett-Luce模型中的权重值，γ_g是网络流量s_g在Plackett-Luce模型中的权重值；

步骤B2：把排序占优概率P作为权重值γ，通过迭代的方法求解使Plackett-Luce模型的对数似然函数l(γ)取得最大值的权重值γ，其公式如下：

步骤B3：构建迭代函数Q，其公式如下：

其中包含条件为：Q(γ_j)≤l(γ_j)，当且仅当γ_j＝γ_j ⁽ⁿ⁾取等；

设定γ_j ⁽ⁿ⁾是在迭代过程中最接近真实值γ_j的结果，其中，n代表第n次迭代，那么在迭代函数Q的计算中，网络流量s_j计算的权重值γ_j会从γ_j ⁽¹⁾一直迭代到最终的结果γ_j ⁽ⁿ⁾，根据迭代函数Q的包含条件，如果γ_j ⁽ⁿ⁾是计算得到最接近真实值γ_j的权重值，那么当权重值等于γ_j ⁽ⁿ⁾时，迭代函数的值Q(γ_j)等于对数似然函数的值l(γ_j)。

4.如权利要求3所述的一种基于Plackett-Luce模型的网络入侵检测方法，其特征在于：在执行步骤5时，观测权重计算服务器根据以下方法计算出观测权重：

步骤C1：设定所述网络流量占优次数为W，把每个网络流量的占优次数W作为初始排序权重γ⁽¹⁾；

步骤C2：计算每次网络流量占优次数在所有网络流量总占优次数中所占的比例，得到每次网络流量的初始观测权γ⁽¹⁾＝{γ₁ ⁽¹⁾,γ₂ ⁽¹⁾,…,γ_k ⁽¹⁾}；

步骤C3：根据以下公式计算网络流量s_j的初始观测权重值：

权重值γ的迭代公式如下所示：

其中，N_jg表示网络流量s_j和s_g的占优次数之和，N_jg＝W_j+W_g。根据权重值γ的迭代公式，可以从γ_j ⁽¹⁾依次迭代得到γ_j ⁽ⁿ⁾的确定值，在确定γ_j ^(k)的前提下，把权重值γ_j代入迭代函数Q，并循环迭代，找到使迭代函数Q取得最大值的权重值γ_j。

Images