CN111885000A - 一种基于图神经网络的网络攻击检测方法、系统及装置 - Google Patents

Abstract

本发明公开了一种基于图神经网络的网络攻击检测方法、系统及装置，其中，所述方法包括：获取训练样本语句，所述训练样本语句中至少包括具备网络攻击行为的攻击样本语句；为所述训练样本语句中的字符设置字符标签，并基于设置的所述字符标签构建所述训练样本语句的标签图；根据构建的所述标签图训练分类模型，以通过训练得到的所述分类模型检测具备网络攻击行为的流量。本申请提供的技术方案，能够提高网络攻击检测的精度。

Description

一种基于图神经网络的网络攻击检测方法、系统及装置

技术领域

本发明涉及互联网技术领域，特别涉及一种基于图神经网络的网络攻击检测方法、系统及装置。

背景技术

随着互联网技术的不断发展，网络攻击行为也越来越普遍。目前，在对网络攻击行为进行检测时，通常可以采用正则匹配或者机器学习分类的方式。其中，正则匹配的方式很容易被攻击方通过编码或者其它伪装手段绕过。机器学习分类可以对大量的数据样本进行分析，从而总结出网络攻击行为的特征，然后可以进行有效地检测。但是，当前的机器学习分类的方式，对输入的数据样本有严格的要求，通常需要限制数据样本的长度上限。因此，针对一些较长的数据样本，可能就需要进行语句分割或者语句缺省的处理方式，这样无疑会影响攻击行为的检测精度。

发明内容

本申请的目的在于提供一种基于图神经网络的网络攻击检测方法、系统及装置，能够提高网络攻击检测的精度。

为实现上述目的，本申请一方面提供一种基于图神经网络的网络攻击检测方法，所述方法包括：获取训练样本语句，所述训练样本语句中至少包括具备网络攻击行为的攻击样本语句；为所述训练样本语句中的字符设置字符标签，并基于设置的所述字符标签构建所述训练样本语句的标签图；根据构建的所述标签图训练分类模型，以通过训练得到的所述分类模型检测具备网络攻击行为的流量。

为实现上述目的，本申请另一方面还提供一种基于图神经网络的网络攻击检测系统，所述系统包括：样本获取单元，用于获取训练样本语句，所述训练样本语句中至少包括具备网络攻击行为的攻击样本语句；标签图构建单元，用于为所述训练样本语句中的字符设置字符标签，并基于设置的所述字符标签构建所述训练样本语句的标签图；模型训练单元，用于根据构建的所述标签图训练分类模型，以通过训练得到的所述分类模型检测具备网络攻击行为的流量。

为实现上述目的，本申请另一方面还提供一种基于图神经网络的网络攻击检测装置，所述网络攻击检测装置包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，实现上述的网络攻击检测方法。

由上可见，本申请一个或者多个实施方式提供的技术方案，在构建用于检测网络攻击行为的分类模型时，以训练样本语句中的字符为单位，为各个字符设置对应的字符标签。后续，利用设置的字符标签，可以构建训练样本语句的标签图。由于采用了图的形式，因此可以很好地兼顾长文本和短文本，输入分类模型的数据不再有上限和下限的限制。此外，通过以字符为单位进行标签化的方式，保留了自然语言处理中字符级语言模型的优点，不需要对原始的训练样本语句进行切割。后续，根据构建的标签图进行分类模型训练，可以得到检测精度较高的分类模型。

附图说明

为了更清楚地说明本发明实施方式中的技术方案，下面将对实施方式描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施方式中网络攻击检测方法流程图；

图2是本发明实施方式中有向标签图的示意图；

图3是本发明实施方式中无向标签图的示意图；

图4是本发明实施方式中重复字符的标签示意图；

图5是本发明实施方式中网络攻击检测系统的功能模块示意图；

图6是本发明实施方式中网络攻击检测装置的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施方式及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施方式仅是本申请一部分实施方式，而不是全部的实施方式。基于本申请中的实施方式，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施方式，都属于本申请保护的范围。

请参阅图1，本申请一个实施方式提供一种基于图神经网络的网络攻击检测方法，该方法可以包括以下多个步骤。

S1：获取训练样本语句，所述训练样本语句中至少包括具备网络攻击行为的攻击样本语句。

在本实施方式中，训练样本语句可以包括具备网络攻击行为的攻击样本语句，也可以包括不具备网络攻击行为的正常样本语句。其中，为了更好地对网络攻击行为进行检测，获取的攻击样本语句中，可以涵盖常见的多种攻击行为。例如，攻击样本语句涵盖的攻击行为，可以包括SQL注入、XSS攻击、第三方组件漏洞(Thinkphp、Fastjson、Struct2等)、命令注入、webshell、目录遍历等。

在实际应用中，根据检测目的的不同，可以训练不同类型的分类模型。例如，在一些场景下，只需要对某种或者某几种攻击行为进行检测，而对其它的攻击行为则无需检测。在这种情况下，这些需要检测的攻击行为可以作为指定类型的网络攻击行为，然后可以将获取的训练样本语句中，将具备所述指定类型的网络攻击行为的训练样本语句标注为正样本，并将其它的训练样本语句标注为负样本(负样本中可以包括正常语句和带有其它攻击行为的攻击语句)，这样，可以训练出用于检测指定类型的网络攻击行为的分类模型。而如果需要对常规的任意网络攻击行为都进行检测，那么可以将具备网络攻击行为的训练样本语句标注为正样本，并将不具备网络攻击行为的训练样本语句标注为负样本。这样可以训练出用于检测任意的网络攻击行为的分类模型。可见，根据待训练的分类模型的类型不同，对训练样本语句进行标注的方式也可以不同。

在本实施方式中，将多种不同的网络攻击行为混合在一起进行模型训练，可以使得分类模型能够有效地学习到不同网络攻击行为之间的相关性，这样，当面对一些混合攻击的语句时，能够有较好的检测精度。

在一个实施方式中，由于训练样本语句的数据来源各异，因此训练样本语句可能存在不同的编码方式。此外，攻击方通常也会采用编码的方式，来试图绕过攻击检测手段。因此，为了提高攻击检测精度，在本实施方式中，当获取了训练样本语句之后，可以对训练样本语句进行解码。例如，可以将训练样本语句循环解码为UTF码。针对解码失败等出现异常的语句，可以从训练样本语句中删除。后续，可以将完成解码的训练样本语句作为基础进行分类模型的训练过程。当然，由于本申请提供的网络攻击检测方法，后续可以针对训练样本语句的字符进行分析，因此在不解码的情况下也能够具备较好的训练效果。这样，根据实际的精度需求和计算资源的丰富程度，可以灵活选择是否对训练样本语句进行解码的操作。

S3：为所述训练样本语句中的字符设置字符标签，并基于设置的所述字符标签构建所述训练样本语句的标签图。

在本实施方式中，对于解码后或者原始的训练样本语句，可以进行字符级别的分字操作。具体地，可以将训练样本语句分割为由一个个字符组成的字符列表。举例来说，对于$(ping这样的训练样本语句，可以分割为“$”、“(”、“p”、“i”、“n”、“g”这6个字符构成的字符列表。在将训练样本语句按照字符进行分割后，可以对各个字符进行分类。

具体地，可以预先针对大量的训练样本语句进行分析，从而构建预设的字符字典。在该字符字典中，一个或者多个字符可以被划分至同一类别中，并且每个类别可以具备各自的分类标签。至于分类的标准以及分类标签如何设置，可以根据实际应用场景灵活选择，本申请对此并不做限定。例如，由于网络访问中大部分的语句都是英文和符号，因此可以将中文字符归为一类，也可以将一些不太常用的字符归为一类等等。

在本实施方式中，构建出字符字典之后，针对字符分割后的字符列表，可以读取该预设的字符字典，然后根据字符字典对训练样本语句中的各个字符进行分类。在完成字符的分类之后，可以将分类标签作为字符标签，分配给训练样本语句中对应的字符。举例来说，训练样本语句为“$(ping”，字符字典中的字符及对应的分类标签为：{1:p,2:i,3:n,4:g,5:$,6:(}”，其中，1至6为不同的分类标签，这样，将这些分类标签作为字符标签分配给对应的字符后，便可以得到“561234”这样的标签序列。

在本实施方式中，在为训练样本语句中的各个字符分配对应的字符标签之后，可以基于分配的字符标签构建训练样本语句的标签图。具体地，请参阅图2和图3，以训练样本语句“$(ping”为例，在构建标签图时，首先可以生成各个字符标签对应的节点。在图2和图3中，填充有字符标签的各个圆形便是生成的节点。当然，在实际应用中，根据字符标签的不同，生成的节点的形状也可以不同。字符标签与节点形状的对应关系也可以根据实际应用场景灵活设定的，本申请对此并不做限定。在生成字符标签对应的节点之后，可以将节点按照字符在训练样本语句中出现的顺序依次排列，并在相邻的节点之间添加指向连线或无向连线，以构建训练样本语句的有向标签图或者无向标签图。例如，在图2和图3中，可以将生成的节点按照“$(ping”中各个字符出现的顺序进行排列。在图2中，相邻的节点直接可以通过指向连线相连，该指向连线可以由前一个字符指向下一个字符，这样可以构建出有向标签图。而在图3中，相邻的节点之间可以通过无向连线相连，该连线并不具备指向性，从而可以构建出无向标签图。

在实际应用中，有向标签图在进行分类模型的训练时，可以学习字符前后的排序关系，在多层迭代之后，基于有向标签图学习得到的特征能够包含之前较远的节点信息。而无向标签图在训练时，由于节点之间没有指向性，因此学习到的特征可以包含前后多个节点的节点信息。这两种方式可根据实际应用场景进行选择，本申请并不限定特定的标签图的构建方式。

此外，在构建标签图时，节点之间的连线关系也可以多种多样。上文例举的是将相邻节点通过连线相连。在一些应用场景中，也可以将一个节点隔开的其它两个节点通过连线相连，本申请对节点之间的连接方式也不做限定，只要在一次训练过程中遵循相同的连接方式即可。

在一个实施方式中，训练样本语句中很可能出现相邻的重复字符。例如训练样本语句“QWWERF”中，存在相邻的两个字符“W”，针对这种相邻的重复字符，在构建标签图时，可以按照以上的方式，针对每个重复字符都生成对应的节点，这样在标签图中，就会出现相邻的两个相同的节点。而在另一个实施方式中，针对重复字符可以仅生成一个节点，然后可以在节点上添加闭环连线，以通过闭环连线表征重复字符。具体地，请参阅图4，针对字符“W”分配的字符标签为8，那么在构建标签图时，可以仅生成字符标签8的一个节点，并且在该节点上添加一个闭环连线，该闭环连线的类型，可以与其它连线的类型保持一致(有向或者无向)。这样，通过该闭环连线，可以表征另一个重复的字符“W”。

S5：根据构建的所述标签图训练分类模型，以通过训练得到的所述分类模型检测具备网络攻击行为的流量。

在本实施方式中，在构建出训练样本语句的标签图后，可以利用标签图进行分类模型的训练。为了提高分类模型的训练精度，在利用图算法进行特征提取之前，可以将标签图中的字符标签转换为字向量。具体地，可以在分类模型的神经网络的第一层采用嵌入层，通过该嵌入层可以将输入的标签图中的字符标签转换为字向量。此外，还可以采用预先完成训练的字符级语言模型，通过迁移学习的手段将字符映射为对应的字向量。当然，在实际应用中还可以具备其它的手段将字符标签转换为字向量，这里就不在一一例举了。

在本实施方式中，将标签图中的字符标签转换为字向量后，该字向量便可以替代原始的字符标签，从而可以将原先携带字符标签的标签图转换为携带字向量的向量图。然后，可以利用预设的图算法以及一些其它的算法对向量图进行学习。具体地，预设的图算法例如可以是Graph Convolutional Network、GraphSAGE等算法，结合的其它算法例如可以是Normalization、Pooling、Attention、Dropout等算法。利用图算法对向量图进行特征提取后，可以基于提取的特征训练得到分类模型。

在一个实施方式中，由于图算法对于浅层特征的提取效果不错，但多层图算法的效果不佳，无法学习到更深层的特征，因此为了提高分类模型的训练精度，在利用预设图算法进行特征提取之后，还可以利用预设神经网络算法，对预设图算法提取的图特征再次进行特征提取，并利用再次提取的特征训练得到分类模型。其中，预设神经网络算法例如可以是Fully Connected Layer、Convolutional Neural Network、Recurrent Neural Network等相似或变种算法。这样，通过二次特征提取的方式，可以训练出精度更高的分类模型。

在本实施方式中，当完成了分类模型的训练之后，便可以利用该分类模型进行网络攻击行为的检测。具体地，针对获取的待检测语句，可以按照以上对训练样本语句的处理方式，为待检测语句中的字符设置字符标签，以基于设置的字符标签构建待检测语句的标签图。然后，可以利用训练后的分类模型，将待检测语句的标签图转换为包含字向量的向量图，并对转换得到的向量图进行特征提取，从而根据提取的特征输出待检测语句的预测结果。

由上可见，本申请提供的网络攻击检测方法，能够很好地兼容传统机器学习方法及深度学习方法两者较好的特性。采用图的方式进行表达能够很好地兼顾长文本与短文本，使得输入数据不再有上下限的限制，并且能够具备深度学习类似的优良特性，自动抽取特征且容易学习不同网络攻击行为间的相关性。对于短文本，由于省去了常见输入数据填充及其它变换方式，从而节省了计算资源且保持了很高的精度水平。对于长文本，不需要进行截断或分段的操作，从而提高了检测效率。此外，采用字嵌入结合图的方式，保留了自然语言处理中字符级语言模型的优点，也不需要对原始数据进行切割或变换。在对大量不同的网络攻击行为的语句进行学习时，能够学习到攻击间的相关性，从而更能够对混合攻击进行检测。

请参阅图5，本申请还提供一种基于图神经网络的网络攻击检测系统，所述系统包括：

样本获取单元，用于获取训练样本语句，所述训练样本语句中至少包括具备网络攻击行为的攻击样本语句；

标签图构建单元，用于为所述训练样本语句中的字符设置字符标签，并基于设置的所述字符标签构建所述训练样本语句的标签图；

模型训练单元，用于根据构建的所述标签图训练分类模型，以通过训练得到的所述分类模型检测具备网络攻击行为的流量。

在一个实施方式中，所述标签图构建单元包括：

字符字典读取模块，用于读取预设的字符字典，所述字符字典用于为各个字符设置字符分类；

分类模块，用于将所述训练样本语句按照字符进行分割，并根据所述字符字典，对所述训练样本语句中的各个字符进行分类；

标签分配模块，用于将分类标签作为字符标签，分配给所述训练样本语句中对应的字符。

在一个实施方式中，所述标签图构建单元包括：

节点连接模块，用于生成各个所述字符标签对应的节点，并将所述节点按照字符在训练样本语句中出现的顺序依次排列，并在相邻的节点之间添加指向连线或无向连线，以构建所述训练样本语句的有向标签图或者无向标签图。

在一个实施方式中，所述模型训练单元包括：

向量图生成模块，用于将所述标签图中的字符标签分别转换为字向量，以生成包含字向量的向量图；

训练模块，用于利用预设图算法对所述向量图进行学习，以训练得到分类模型。

请参阅图6，本申请还提供一种基于图神经网络的网络攻击检测装置，所述网络攻击检测装置包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，能够实现上述的网络攻击检测方法。

在本申请中，所述存储器可以包括用于存储信息的物理装置，通常是将信息数字化后再以利用电、磁或者光学等方法的媒体加以存储。所述存储器又可以包括：利用电能方式存储信息的装置，如RAM或ROM等；利用磁能方式存储信息的装置，如硬盘、软盘、磁带、磁芯存储器、磁泡存储器或U盘；利用光学方式存储信息的装置，如CD或DVD。当然，还有其他方式的存储器，例如量子存储器或石墨烯存储器等等。

在本申请中，所述处理器可以按任何适当的方式实现。例如，所述处理器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application SpecificIntegrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式等等。

由上可见，本申请一个或者多个实施方式提供的技术方案，在构建用于检测网络攻击行为的分类模型时，以训练样本语句中的字符为单位，为各个字符设置对应的字符标签。后续，利用设置的字符标签，可以构建训练样本语句的标签图。由于采用了图的形式，因此可以很好地兼顾长文本和短文本，输入分类模型的数据不再有上限和下限的限制。此外，通过以字符为单位进行标签化的方式，保留了自然语言处理中字符级语言模型的优点，不需要对原始的训练样本语句进行切割。后续，根据构建的标签图进行分类模型训练，可以得到检测精度较高的分类模型。

本说明书中的各个实施方式均采用递进的方式描述，各个实施方式之间相同相似的部分互相参见即可，每个实施方式重点说明的都是与其他实施方式的不同之处。尤其，针对系统和装置的实施方式来说，均可以参照前述方法的实施方式的介绍对照解释。

本领域内的技术人员应明白，本发明的实施方式可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施方式、完全软件实施方式、或结合软件和硬件方面的实施方式的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施方式的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施方式而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (15)

1.一种基于图神经网络的网络攻击检测方法，其特征在于，所述方法包括：

获取训练样本语句，所述训练样本语句中至少包括具备网络攻击行为的攻击样本语句；

为所述训练样本语句中的字符设置字符标签，并基于设置的所述字符标签构建所述训练样本语句的标签图；

根据构建的所述标签图训练分类模型，以通过训练得到的所述分类模型检测具备网络攻击行为的流量。

2.根据权利要求1所述的方法，其特征在于，在获取训练样本语句之后，所述方法还包括：

根据待训练的分类模型的类型，对所述训练样本语句进行标注。

3.根据权利要求1或2所述的方法，其特征在于，按照以下方式对所述训练样本语句进行标注：

若所述分类模型用于检测指定类型的网络攻击行为，将具备所述指定类型的网络攻击行为的训练样本语句标注为正样本，并将其它的训练样本语句标注为负样本；

若所述分类模型用于检测任意的网络攻击行为，将具备网络攻击行为的训练样本语句标注为正样本，并将不具备网络攻击行为的训练样本语句标注为负样本。

4.根据权利要求1所述的方法，其特征在于，在获取训练样本语句之后，所述方法还包括：

对所述训练样本语句进行解码，并删除解码失败的训练样本语句。

5.根据权利要求1所述的方法，其特征在于，为所述训练样本语句中的字符设置字符标签包括：

读取预设的字符字典，所述字符字典用于为各个字符设置字符分类；

将所述训练样本语句按照字符进行分割，并根据所述字符字典，对所述训练样本语句中的各个字符进行分类；

将分类标签作为字符标签，分配给所述训练样本语句中对应的字符。

6.根据权利要求1或5所述的方法，其特征在于，基于设置的所述字符标签构建所述训练样本语句的标签图包括：

生成各个所述字符标签对应的节点，并将所述节点按照字符在训练样本语句中出现的顺序依次排列，并在相邻的节点之间添加指向连线或无向连线，以构建所述训练样本语句的有向标签图或者无向标签图。

7.根据权利要求6所述的方法，其特征在于，若所述训练样本语句中包括相邻的重复字符，生成各个所述字符标签对应的节点包括：

针对所述重复字符仅生成一个节点，并在所述节点上添加闭环连线，以通过所述闭环连线表征重复字符。

8.根据权利要求1所述的方法，其特征在于，根据构建的所述标签图训练分类模型包括：

将所述标签图中的字符标签分别转换为字向量，以生成包含字向量的向量图；

利用预设图算法对所述向量图进行学习，以训练得到分类模型。

9.根据权利要求8所述的方法，其特征在于，在利用预设图算法对所述向量图进行学习之后，所述方法还包括：

利用预设神经网络算法，对所述预设图算法提取的图特征再次进行特征提取，并利用再次提取的特征训练得到分类模型。

10.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取待检测语句，并为所述待检测语句中的字符设置字符标签，以基于设置的字符标签构建所述待检测语句的标签图；

利用训练后的分类模型，将所述待检测语句的标签图转换为包含字向量的向量图，并对转换得到的向量图进行特征提取，以根据提取的特征输出所述待检测语句的预测结果。

11.一种基于图神经网络的网络攻击检测系统，其特征在于，所述系统包括：

样本获取单元，用于获取训练样本语句，所述训练样本语句中至少包括具备网络攻击行为的攻击样本语句；

标签图构建单元，用于为所述训练样本语句中的字符设置字符标签，并基于设置的所述字符标签构建所述训练样本语句的标签图；

模型训练单元，用于根据构建的所述标签图训练分类模型，以通过训练得到的所述分类模型检测具备网络攻击行为的流量。

12.根据权利要求11所述的系统，其特征在于，所述标签图构建单元包括：

字符字典读取模块，用于读取预设的字符字典，所述字符字典用于为各个字符设置字符分类；

分类模块，用于将所述训练样本语句按照字符进行分割，并根据所述字符字典，对所述训练样本语句中的各个字符进行分类；

标签分配模块，用于将分类标签作为字符标签，分配给所述训练样本语句中对应的字符。

13.根据权利要求11或12所述的系统，其特征在于，所述标签图构建单元包括：

节点连接模块，用于生成各个所述字符标签对应的节点，并将所述节点按照字符在训练样本语句中出现的顺序依次排列，并在相邻的节点之间添加指向连线或无向连线，以构建所述训练样本语句的有向标签图或者无向标签图。

14.根据权利要求11所述的系统，其特征在于，所述模型训练单元包括：

向量图生成模块，用于将所述标签图中的字符标签分别转换为字向量，以生成包含字向量的向量图；

训练模块，用于利用预设图算法对所述向量图进行学习，以训练得到分类模型。

15.一种基于图神经网络的网络攻击检测装置，其特征在于，所述网络攻击检测装置包括存储器和处理器，所述存储器用于存储计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求1至10中任一所述的方法。

Images