CN112822184A - 一种内生安全系统中的无监督自主攻击检测方法 - Google Patents

Abstract

本发明公开了一种内生安全系统中的无监督自主攻击检测方法，构建目标网络中节点和逻辑关系的动态图模型，将图模型编码为隐向量，基于隐向量初始化子图和每个节点，通过节点选择和节点扩展两个策略生成节点之间的边，不断重复直到解码重构结束。计算重构准确率，若重构准确率小于阈值,则判定目标网络受到攻击，对于判定为受到攻击的情况，通过图匹配的方式定位被攻击的区域，返回判断结果。

Description

一种内生安全系统中的无监督自主攻击检测方法

技术领域

本发明涉及计算机网络通信技术领域，具体是一种内生安全系统中的无监督自主攻击检测方法。

背景技术

传统的安全防御通常是在反恶意软件、网络流量异常检测、网络安全运营和系统安全性评估等具体领域孤立的开展。内生安全系统从仿生学的角度，构建基于生物神经系统的信息系统内生安全系统。和现有的智能安全研究的区别是，“内生安全”将人体仿生系统、免疫、人工智能与移动通信网络进行融合，参考人体神经系统分布式感知的特性布置巨量感知器，实时监测系统各部分变化，使用人工智能的方法构造类人脑的安全中心，通过汇总的信息做出决策，从而对外部入侵进行合理反制，对内部入侵进行免疫式防御。仿生体现在感知网络的部署、类人脑的学习和决策、外部入侵的适度反制上，免疫体现在对内部入侵的标记和防御上，是一种基于仿生免疫的内生安全机制。根据仿生免疫的思想，攻克构建与信息系统高度融合的仿生免疫体系、设计分布式细粒度威胁感知与反制机制、设计与信息系统并行融合的多层传输网络、建立不可复制的接入控制机制、使用人工智能的方法构建具有学习、处理、决策能力的安全中心等基础理论问题。

在内生安全系统中，关键环节之一就是自主攻击检测，实现在各个独立的安全区域内部的攻击识别和问题定位。然而，网络上新的攻击手段层出不穷，而且这些攻击手段比先前的攻击手段更加隐蔽、更加智能。传统基于特征匹配的方法无法应对越来越复杂的攻击手段，因此许多研究人员使用机器学习算法进行攻击检测。然而，现有的基于机器学习的攻击检测大部分都是有监督学习方法，需要大量的攻击数据作为先验知识来学习模型，这导致了两个严重问题：一、人工标注数据耗费大量的时间和精力，而且人工标注数据的质量不能得到保证；二、有监督学习的方法需要根据攻击数据来来训练模型，在实际应用中，攻击手段层出不穷，如果新出现的攻击没有出现在训练数据中，就会有可能会导致有监督学习的方法无法检测出攻击。因此，本发明提出一种内生安全系统中无监督的自主攻击检测技术，该技术无需攻击数据的先验知识，可以通过自学习正常状态下的网络状态，实现内生安全系统中的攻击识别和定位功能。

发明内容

本发明的目的在于提供一种内生安全系统中的无监督自主攻击检测方法，克服现有技术的不足，解决传统基于特征匹配方法识别率低和基于机器学习方法缺乏可靠的预先注释数据且无法应对未知攻击的问题，本发明自主攻击检测方法，实现无监督的攻击识别和定位功能。

本发明的目的可以通过以下技术方案实现：

一种内生安全系统中的无监督自主攻击检测方法，包括以下步骤：

S1、基于内生安全系统中巨量传感器采集数据；

S2、基于目标网络中节点和逻辑关系构建动态图模型，图中每个节点包含节点属性特征，每个逻辑关系包含关系属性特征；属性图变分自编码包括两个模块：编码器和生成器。根据属性图模型中的节点属性的变化和节点之间边的变化探测图上的异常，基于图的异常探测目标网络的异常；

S3、图编码器模块将图模型编码为隐向量；以捕获图的结构信息和节点的属性特征；解码器包括初始化、节点更新和属性图重构三个阶段；

S4、图解码器将属性图中的每个节点的表示向量初始化为隐向量，任选一个节点作为初始化子图；

S5、基于子图选择目标节点，更新子图，对子图中每个节点的表示向量迭代更新生成新的表示向量；通过节点选择和节点扩展两个策略不断生成节点之间的边，每个步骤中，首先在队列中选择一个节点，判断该节点与他节点之间是否有边，重复此过程，直到属性图构建完成；

S6、计算损失函数，仅使用正常数据训练图变分自编码模型，计算正常图模型重构概率，计算重构准确率P，若重构准确率P小于阈值T,则判定目标网络受到攻击；

S7、对于判定为受到攻击的情况，通过图匹配的方式定位被攻击的区域，返回判断结果。

进一步地，所述检测方法通过自学习正常状态下的网络状态，实现先攻击检测和定位功能。

进一步地，所述步骤S1中对应的传感器类型包括网络流量传感器、文件访问传感器、上传下载传感器、网站访问传感器、邮件监控传感器、程序监控传感器、电量消耗传感器、CPU温度传感器、日志传感器和内存占用传感器中的一个或多个。

进一步地，所述步骤S2中节点属性包括持续时间、字节数、数据包内容、源计算机、源端口、目标计算机、目标端口、协议、文件访问记录、上传下载记录、网页访问、邮件访问、程序监控、电量消耗记录、CPU温度变化记录、日志访问记录、日志内容和内存占用记录中的一个或多个。

进一步地，所述步骤S5中的子图更新包括子图节点更新和节点表示向量更新。

进一步地，所述步骤S5中逐个子图节点更新依据两个功能完成：目标选择和邻居扩展；通过目标选择待访问的目标节点，通过邻居扩展选择要从目标节点添加的边，目标选择功能依据广度优先遍历方法将所有节点插入队列；邻居扩展功能依据图整体信息和各个节点信息为目标节点选择邻居，并更新队列。

进一步地，所述步骤S5中节点的表示向量更新依据广度优先遍历的方式依次各个节点并更新节点的表示向量。

进一步地，所述步骤S5中属性图生成方法采用teacher-forcing学习方法：在每一步的预测之后，将预测值其替换为他们的真实节点和属性，因此，该图模型的每一个步骤均是依据正确的历史记录做出预测。

进一步地，所述步骤S6中使用正常数据训练模型并确定阈值T，对于未知图模型，若重构概率低于阈值T则判断图模型受到攻击。

一种内生安全系统中的无监督自主攻击检测装置，所述检测装置包括数据采集分发模块、数据解析模块、属性图构建模块、判定决策模块和协同处理模块。

所述数据采集分发模块用于对外部设备传送的数据进行识别，并向目标处理单元分发数据，数据采集全程位于安全区域内，通过巨量传感器进行信息触发、交换和多层传导。

所述巨量传感器包括网络流量传感器、文件访问传感器、上传下载传感器、网站访问传感器、邮件监控传感器、程序监控传感器、电量消耗传感器、CPU温度传感器、日志传感器和内存占用传感器中的一个或多个。

所述数据解析模块用于对目标处理单元输出的运算结果数据进行解析并生成唯一的数据特征。

所述属性图构建模块包括编码器模块、生成器模块和解码器模块，解码器包括初始化模块、节点更新模块、智能决策模块和属性图重构模块；智能决策模块用于拟态判决策略对节点的数据特征进行拟态决策。

所述判定决策模块用于判定受到攻击的情况，通过图匹配的方式定位被攻击的区域，返回判断结果。

所述协同处理模块作为判定决策的协同处理，用于判定决策后对数据进行处理并发送至外部设备，监控处理器实时监控反馈信息。

本发明的有益效果：

1、本发明自主攻击检测方法，将目标网络中的相关节点构建为属性图模型，并提出一种图变分自编码模型用于检测网络中是否存在攻击行为，相比于传统特征匹配方法，无需人工定义特征，具有强大的感知能力、判断能力和自适应能力；相比于现有的机器学习和深度学习方法，不需要预先注释的异常数据集，解决了缺乏可靠的预先注释数据集的问题；

2、本发明自主攻击检测方法通过模拟正常的网络结构实现攻击检测，解决了有标签的机器学习方法对未标注的异常行为难以检测的问题。

附图说明

下面结合附图对本发明作进一步的说明。

图1是本发明内生安全体系总体示意图；

图2是本发明检测方法与内生安全体系其它模块关系示意图；

图3是本发明检测方法整体实现流程图；

图4是本发明检测方法中属性图重构模块实现流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

一种内生安全系统中的无监督自主攻击检测方法，如图1所示，对目标节点的攻击是通过对图上的某个节点施加扰动，从而改变节点的一些属性特征。

如图1所示，对系统结构的改变是通过对图整体结构施加扰动，从而改变些图的整体结构，对图结构的扰动包括加边、减边、添加节点和删除节点等。

给定一个对属性图G(V，A，X)，其中v∈V表示图中的节点，A∈{0，1}^N×M为邻接矩阵，表示顶点之间相邻关系，矩阵X∈{0，1}^N×D为特征矩阵，x_v∈{0，1}^D表示节点v的D维特征向量。

如图2所示，检测模型系框架包括三个模块：初始化、节点更新和边缘选择；对于对抗样本G_P，本项目首先将G_P中的每个节点的表示向量初始化为其特征属性向量，即

对于图2中生成图每个阶段t，对图中每个节点的表示向量迭代更新生成新的表示向量

在边缘选择阶段，通过节点选择和节点扩展两个策略不断生成节点之间的边。

边缘选择的每个步骤中，图降噪模型首先在队列中选择一个节点，判断该节点与他节点之间是否有边，不断重复这一过程，直到图构建完成。

每生成一个新的图，本项目拟基于图卷积神经网(Convolution Neural Work，GCN)对其节点进行更新，给定一个目标节点i和它的表示向量h_i，通过整合它邻居节点的表示向量，它的单层前向传播的形式为：

这里α_ij∈[0，1],0表示节点j不是节点i的邻居，1表示j是节点i的邻居，α_ij＝1，W是需要学习的参数。

首先从队列中选择节点v，然后从选择和v之间有边节点u；对于每两个节点u和v，构造特征向量

其中d_u,v是v和u之间的欧式距离，H^t表示图的全局特征，使用这些特征来产生候选边的分布：

这里，W^t和U^t是需要学习的参数。

原始图和重建图之间的损失包括属性损失和结构损失两个部分，其中属性损失通过计算去噪样本和原始图像的L1范数来确定，结构损失通过最大化复原所有边的概率来实现。

其中，

分别表示图中节点的真实属性和真实的边。

一种内生安全系统中的无监督自主攻击检测装置，检测装置包括数据采集分发模块、数据解析模块、属性图构建模块、判定决策模块和协同处理模块。

数据采集分发模块用于对外部设备传送的数据进行识别，并向目标处理单元分发数据，数据采集全程位于安全区域内，通过巨量传感器进行信息触发、交换和多层传导。

巨量传感器包括网络流量传感器、文件访问传感器、上传下载传感器、网站访问传感器、邮件监控传感器、程序监控传感器、电量消耗传感器、CPU温度传感器、日志传感器和内存占用传感器。

数据解析模块，用于对目标处理单元输出的运算结果数据进行解析并生成唯一的数据特征。

属性图构建模块包括编码器模块、生成器模块和解码器模块，解码器包括初始化模块、节点更新模块、智能决策模块和属性图重构模块。

智能决策模块用于拟态判决策略对节点的数据特征进行拟态决策；

判定决策模块用于判定受到攻击的情况，通过图匹配的方式定位被攻击的区域，返回判断结果。

协同处理模块作为判定决策的协同处理，用于判定决策后对数据进行处理并发送至外部设备，监控处理器实时监控反馈信息。

在本说明书的描述中，参考术语“一个实施例”、“示例”、“具体示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。

Claims (10)

1.一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述检测方法包括：

S1、基于内生安全系统中巨量传感器采集数据；

S2、基于目标网络中节点和逻辑关系构建动态图模型，图中每个节点包含节点属性特征，每个逻辑关系包含关系属性特征；

S3、图编码器模块将图模型编码为隐向量；

S4、图解码器将属性图中的每个节点的表示向量初始化为隐向量，任选一个节点作为初始化子图；

S5、基于子图选择目标节点，更新子图，对子图中每个节点的表示向量迭代更新生成新的表示向量；通过节点选择和节点扩展两个策略不断生成节点之间的边，每个步骤中，首先在队列中选择一个节点，判断该节点与他节点之间是否有边，重复此过程，直到属性图构建完成；

S6、计算重构准确率P，若重构准确率P小于阈值T,则判定目标网络受到攻击；

S7、对于判定为受到攻击的情况，通过图匹配的方式定位被攻击的区域，返回判断结果。

2.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述检测方法通过自学习正常状态下的网络状态，实现先攻击检测和定位功能。

3.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述步骤S1中对应的传感器类型包括网络流量传感器、文件访问传感器、上传下载传感器、网站访问传感器、邮件监控传感器、程序监控传感器、电量消耗传感器、CPU温度传感器、日志传感器和内存占用传感器中的一个或多个。

4.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述步骤S2中节点属性包括持续时间、字节数、数据包内容、源计算机、源端口、目标计算机、目标端口、协议、文件访问记录、上传下载记录、网页访问、邮件访问、程序监控、电量消耗记录、CPU温度变化记录、日志访问记录、日志内容和内存占用记录中的一个或多个。

5.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述步骤S5中的子图更新包括子图节点更新和节点表示向量更新。

6.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述步骤S5中逐个子图节点更新依据两个功能完成：目标选择和邻居扩展；通过目标选择待访问的目标节点，通过邻居扩展选择要从目标节点添加的边，目标选择功能依据广度优先遍历方法将所有节点插入队列；邻居扩展功能依据图整体信息和各个节点信息为目标节点选择邻居，并更新队列。

7.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述步骤S5中节点的表示向量更新依据广度优先遍历的方式依次各个节点并更新节点的表示向量。

8.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述步骤S5中属性图生成方法采用teacher-forcing学习方法：在每一步的预测之后，将预测值其替换为他们的真实节点和属性，因此，该图模型的每一个步骤均是依据正确的历史记录做出预测。

9.根据权利要求1所述的一种内生安全系统中的无监督自主攻击检测方法，其特征在于，所述步骤S6中使用正常数据训练模型并确定阈值T，对于未知图模型，若重构概率低于阈值T则判断图模型受到攻击。

10.根据权利要求1-9任意一项所述的一种内生安全系统中的无监督自主攻击检测装置，其特征在于，所述检测装置包括数据采集分发模块、数据解析模块、属性图构建模块、判定决策模块和协同处理模块；

所述数据采集分发模块用于对外部设备传送的数据进行识别，并向目标处理单元分发数据，数据采集全程位于安全区域内，通过巨量传感器进行信息触发、交换和多层传导；

所述巨量传感器包括网络流量传感器、文件访问传感器、上传下载传感器、网站访问传感器、邮件监控传感器、程序监控传感器、电量消耗传感器、CPU温度传感器、日志传感器和内存占用传感器中的一个或多个；

所述数据解析模块用于对目标处理单元输出的运算结果数据进行解析并生成唯一的数据特征；

所述属性图构建模块包括编码器模块、生成器模块和解码器模块，解码器包括初始化模块、节点更新模块、智能决策模块和属性图重构模块；智能决策模块用于拟态判决策略对节点的数据特征进行拟态决策；

所述判定决策模块用于判定受到攻击的情况，通过图匹配的方式定位被攻击的区域，返回判断结果；

所述协同处理模块作为判定决策的协同处理，用于判定决策后对数据进行处理并发送至外部设备，监控处理器实时监控反馈信息。

Images