CN113032778B - 一种基于行为特征编码的半监督网络异常行为检测方法 - Google Patents

Abstract

本发明提供了一种基于行为特征编码的半监督网络异常行为检测方法，属于网络安全技术领域。本发明通过无标签网络行为样本对特征编码网络进行预训练，获得基于流型空间的三种特征表示；预训练学习到的特征编码表示有效表达了正常样本的先验分布特征，能够使网络异常行为在基于流行空间的特征表达上与正常行为具有显著差异。然后利用无标签网络行为数据样本和有标签的网络异常行为数据样本对整个网络(由特征编码网络和异常打分网络组成的网络)进行端到端的训练，以联合优化特征编码网络的重建误差和整个网络的异常打分。联合优化后，网络正常行为与异常行为能够得到有效区分，从而帮助系统获得优异的网络异常行为检测性能。

Description

一种基于行为特征编码的半监督网络异常行为检测方法

技术领域

本发明属于网络安全技术领域，尤其涉及一种基于行为特征编码的半监督网络异常行为检测方法。

背景技术

网络异常行为检测是网络安全领域的重要研究内容。企业管理系统、银行支付系统、物联网工控系统等应用场景中常常存在网络异常行为，可能对网络系统的安全性和稳定性造成威胁。网络异常行为主要是网络攻击(例如拒绝服务攻击、端口扫描等)导致的。在对网络异常行为进行异常检测时，可以根据其连接属性、内容特征、流量统计特征等进行分析得到相关特征属性描述。由于网络异常行为与正常行为的产生原因和行为特征不同，因此往往与正常行为表现出一定的偏差。由于网络异常行为往往是难以预测的，且实际的网络系统中的数据量通常十分庞大，因此实际应用场景中需要建立相应的异常检测系统进行网络异常行为的检测，从而及时发现并快速响应，减少或避免损失。现有异常检测系统通常基于机器学习模型进行构建(以行为特征作为输入)，这类异常检测系统需要基于丰富的有标注的异常数据进行训练来达到较好的异常检测性能。然而在实际应用场景中，获取大量有标注的异常数据通常是十分困难的。

现有技术中无监督学习方法试图建立用于描述正常数据的模型，将正常样本和异常样本映射到不同区域。但由于其未对有标签的异常样本进行学习，因此无法学习到有关异常的先验知识，导致难以达到很好的效果。

现有的有监督/半监督学习方法虽然利用了极少量有标签异常数据中的先验信息，但由于学习过程中很容易对这些极少量的异常数据产生过拟合，故很难直接训练好一个有效的异常检测器。

发明内容

针对现有技术中的上述不足，本发明提供的一种基于行为特征编码的半监督网络异常行为检测方法，克服了难以获取大量有标注异常数据带来的困难、解决了由于不对有标签的异常样本进行学习导致的缺乏关于异常的先验知识的问题、解决了半监督算法中存在的对异常样本过拟合严重的问题。

为了达到以上目的，本发明采用的技术方案为：

本方案提供一种基于行为特征编码的半监督网络异常行为检测方法，包括以下步骤：

S1、构建基于自动编码器的无监督特征编码网络，并对其进行预训练，将原始网络行为数据样本向量映射至低维流型空间并进行重建，得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码；

S2、构建由所述无监督特征编码网络和基于全连接网络的异常打分网络构成的网络异常行为检测系统，将数据样本作为网络异常行为检测系统的输入，其中，所述三种特征编码作为异常打分网络的输入；

S3、获取待检测网络行为数据，利用所述网络异常行为检测系统进行异常检测，并输出异常检测结果，完成基于行为特征编码的半监督网络异常行为检测方法。

进一步地，所述步骤S1中的特征编码网络包括编码器和解码器；

所述编码器，用于将输入的原始网络行为数据样本从原始空间编码至低维的隐空间；

所述解码器，用于将原始网络行为数据样本的隐空间向量解码至原始样本空间，得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码。

再进一步地，所述步骤S1包括以下步骤：

S101、构建基于自动编码器的无监督特征编码网络，并对特征编码网络的参数进行随机初始化处理；

S102、输入原始网络行为数据样本至无监督特征编码网络，计算得到重建向量；

S103、根据所述重建向量，计算得到重建误差的二范数值作为特征编码网络的重建误差损失，优化特征编码网络的参数；

S104、判断重建误差损失是否低于预设的阈值，若是，则完成对特征编码网络的预训练，并进入步骤S105，否则，返回步骤S102；

S105、根据原始网络行为数据样本向量，利用无监督特征编码网络得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码。

再进一步地，所述计算得到重建误差的二范数值作为特征编码网络的重建误差损失的表达式如下：

L_u＝||f_d(f_e(X_i；W_e)；W_d)-X_i||₂

其中，L_u表示重建误差的二范数值作为特征编码网络的重建误差损失，X_i表示原始网络行为数据样本，W_e表示编码器的权重矩阵，f_e(·；W_e)表示编码器，W_d表示解码器的权重矩阵，f_d(·；W_d)表示解码器；

所述无监督特征编码网络的表达式如下：

ψ(X_i；Θ)＝f_d(f_e(X_i；W_e)；W_d)

W_e＝{W₁,W₂,...,W_s}

W_d＝{W'₁,W'₂,...,W'_s}

其中，ψ(X_i；Θ)表示特征编码网络，Θ表示特征编码网络参数，W_s表示编码器第s层的网络权重，W'_s表示解码器第s层的网络权重；

所述隐空间向量q₁的表达式如下：

q₁＝f_e(X_i；W_e)

所述重建残差向量q₂的表达式如下：

q₂＝f_d(f_e(X_i；W_e)；W_d)-X_i

所述重建残差向量的二范数值q₃的表达式如下：

q₃＝||f_d(f_e(X_i；W_e)；W_d)-X_i||₂

再进一步地，所述步骤S2包括以下步骤：

S201、利用所述无监督特征编码网络以及基于全连接网络的异常打分网络搭建半监督学习的网络异常行为检测系统的架构；

S202、利用无标签训练数据样本和有标签的网络异常行为样本，对无监督特征编码网络和异常打分网络进行端到端的联合优化，所述联合优化过程分为多次迭代，在每次迭代中，将数据样本作为网络异常行为检测系统的输入，将特征编码网络输出的三种特征编码作为异常打分网络的输入，进行对网络异常行为检测系统的训练。

再进一步地，所述步骤S201中异常打分网络的第l层输出的表达式如下：

其中，Z_l表示异常打分网络的第l层输出，l＝1,2,...,n-1，Z'_l-1表示前一层的输出和q₃拼接后的结果作为第l层的输入，P_l和P_l ⁰分别表示第l层的权重和偏差，

表示第l层的权重向量的第k项，z_k表示第l-1层的输出向量的第k项，

表示在第l层的权重向量最后再拼接一项，o_l-1表示异常打分网络中第l-1层的神经元数量，q₃表示重建残差向量的二范数值，n表示异常打分网络的总层数；

所述异常打分网络的下一层输入表达式如下：

其中，Z'_l表示异常打分网络下一层输入，ξ(·)表示向量拼接函数，

表示第l层的权重向量的最后一项，

表示Z'_l的每一项为实数，Z_l表示第l层的输出向量；

所述异常打分网络输出的异常分数表达式如下：

其中，s_a表示异常打分网络输出的异常分数，P_n和Z'_n-1表示异常打分网络最后一层的权重向量和对应的输入向量，

表示偏差项，

表示权重向量P_n中的第k项，z_k表示第n-1层的输出向量的第k项，

表示权重向量P_n中第o_n-1+1项，Z_n-1表示异常打分网络倒数第二层的输出向量，

表示异常打分网络倒数第二层的输出向量的最后一项。

再进一步地，所述步骤S202包括以下步骤：

S2021、加载预训练后的无监督特征编码网络，对异常打分网络的权重矩阵进行随机初始化处理；

S2022、计算得到联合损失函数；

S2023、根据联合损失，基于梯度下降法更新网络参数；

S2024、根据更新结果，判断损失是否低于阈值，若是，则更新网络异常行为检测系统的参数，完成对特征编码网络和异常打分网络进行端到端的联合优化，否则，返回步骤S2022。

再进一步地，所述步骤S2022中联合损失函数的表达式如下：

η(q_m)＝D_h(q_m,E(Q_m))

其中，

表示联合损失函数，λ₁、λ₂和λ₃表示超参数，a₀、a₁，a₂和a₃表示预设值，X_i表示原始网络行为数据样本，Θ表示预训练后特征编码网络的参数，U表示异常打分网络的权重矩阵，

表示异常打分网络对X_i的异常打分，μ_c和σ_c均表示先验参数，q₁表示隐空间向量，q₂表示重建残差向量，q₃表示重建残差向量的二范数值，dev(X_i)表示先验参数μ_c和σ_c的z分数，η(·)表示正则化函数，D_h(·,·)表示两个数据对象之间的上确界距离，E(·)表示数据对象的数学期望，q_m表示三种特征编码，Q_m表示所有正常样本第m种特征编码所对应的随机变量，且m＝1,2,3，Ω(·；a)表示使用预设值a的最小值约束。

再进一步地，所述步骤S3包括以下步骤：

S301、获取待检测网络行为数据，利用所述网络异常行为检测系统得到异常分数；

S302、判断所述异常分数是否大于异常打分阈值，若是，则所述待检测网络行为数据为异常样本，否则，为正常样本，完成基于行为特征编码的半监督网络异常行为检测方法。

本发明的有益效果：

(1)本发明设计了一种新颖的特征编码网络来对输入的网络行为数据进行编码，以构建可用于网络异常行为检测的更有效特征表示，即通过基于Auto-encoder的特征编码网络将输入数据样本映射到一个低维的流型空间，得到基于流型空间的三种特征编码表示。

(2)本发明利用大量的无标签网络行为样本和极少量的有标签网络异常行为数据半监督地训练系统以检测异常样本，通过联合优化特征编码网络和异常打分网络实现高效的异常检测。

(3)本发明设计了联合损失函数对网络异常行为检测系统进行端到端联合优化，损失函数能在最小化特征编码网络的重建误差情况下，保证异常打分具有尽可能好的分辨网络正常行为与异常行为的能力。

(4)本发明采用了一种特殊设计的预训练策略。首先，通过无标签网络行为样本对特征编码网络进行预训练，获得基于流型空间的三种特征表示；预训练学习到的特征编码表示有效表达了正常样本的先验分布特征，能够使网络异常行为在基于流行空间的特征表达上与正常行为具有显著差异。然后利用无标签网络行为数据样本和有标签的网络异常行为数据样本对整个网络(由特征编码网络和异常打分网络组成的网络)进行端到端的训练，以联合优化特征编码网络的重建误差和整个网络的异常打分。联合优化后，网络正常行为与异常行为能够得到有效区分，从而帮助系统获得优异的网络异常行为检测性能。

(5)本发明为了有效学习网络行为样本的第三种特征编码(即重建残差向量的二范数值)，设计了特殊的网络结构对该一维标量特征编码进行增强学习，从而强化其对网络异常行为检测效果的作用。

附图说明

图1为本发明的方法流程图。

具体实施方式

下面对本发明的具体实施方式进行描述，以便于本技术领域的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

实施例

本发明设计了一个基于行为特征编码的半监督网络异常行为检测方法，利用大量的无标签网络行为样本和极少量的有标签网络异常行为样本半监督地训练系统以检测网络异常行为样本(原始样本是利用已有方法得到的关于网络连接基本属性、内容特征、网络流量统计特征的属性描述)。该方法包含两部分，特征编码网络和异常打分网络。在特征编码网络部分，本发明提出了一种新颖的特征编码方法来对输入的网络行为数据样本进行编码，将输入数据样本映射为基于流型空间的三种特征编码(编码结果将一个输入样本映射为三种特征编码表示，具体可表示为两个特征向量和一个标量)。异常打分网络部分基于特征编码网络输出的三种特征编码进行样本的异常打分。异常打分网络设计了特殊的网络结构对一维标量特征编码进行增强学习，从而强化其对异常检测效果的作用。训练过程中首先需要对特征编码网络进行预训练，然后再对整个网络(由特征编码网络和异常打分网络组成的网络)进行端到端的训练。在预训练过程中，基于无标签网络行为数据样本预训练特征编码网络；在端到端训练过程中，基于无标签网络行为数据样本和有标签的网络异常行为数据样本进行联合优化。联合优化所使用的损失函数为本发明中特殊设计的损失函数，用于联合优化特征编码网络的重建误差和整个网络的异常打分。在联合优化后，网络正常行为与异常行为能够得到有效区分，从而得到了优异的网络异常行为检测性能。

如图1所示，本发明提供了一种基于行为特征编码的半监督网络异常行为检测方法，其实现方法如下：

S1、构建基于自动编码器Auto-encoder的无监督特征编码网络，并对其进行预训练，将原始网络行为数据样本向量映射至低维流型空间并进行重建，得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码，其实现方法如下：

S101、构建基于自动编码器的无监督特征编码网络，并对特征编码网络的参数进行随机初始化处理；

S102、输入原始网络行为数据样本至无监督特征编码网络，计算得到重建向量；

S103、根据所述重建向量，计算得到重建误差的二范数值作为特征编码网络的重建误差损失，优化特征编码网络的参数；

S104、判断重建误差损失是否低于预设的阈值，若是，则完成对特征编码网络的预训练，并进入步骤S105，否则，返回步骤S102；

S105、根据原始网络行为数据样本向量，利用无监督特征编码网络得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码。

本实施例中，特征编码网络包括编码器和解码器；编码器，用于将输入的原始网络行为数据样本从原始空间编码至低维的隐空间；解码器，用于将原始网络行为数据样本的隐空间向量解码为原始样本空间，得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码。

S2、构建由所述无监督特征编码网络和基于全连接网络的异常打分网络构成的网络异常行为检测系统，将数据样本作为网络异常行为检测系统的输入，其中，所述三种特征编码作为异常打分网络的输入，其实现方法如下：

S201、利用所述无监督特征编码网络以及基于全连接网络的异常打分网络搭建半监督学习的网络异常行为检测系统的架构；

S202、利用无标签训练数据样本和有标签的网络异常行为样本，对无监督特征编码网络和异常打分网络进行端到端的联合优化，所述联合优化过程分为多次迭代，在每次迭代中，将数据样本作为网络异常行为检测系统的输入，将特征编码网络输出的三种特征编码作为异常打分网络的输入，进行对网络异常行为检测系统的训练，其实现方法如下：

S2021、加载预训练后的无监督特征编码网络，对异常打分网络的权重矩阵进行随机初始化处理；

S2022、计算得到联合损失函数；

S2023、根据联合损失，基于梯度下降法更新网络参数；

S2024、根据更新结果，判断损失是否低于阈值，若是，则更新网络异常行为检测系统的参数，完成对特征编码网络和异常打分网络进行端到端的联合优化，否则，返回步骤S2022；

S3、获取待检测网络行为数据，利用所述网络异常行为检测系统进行异常检测，并输出异常检测结果，完成基于行为特征编码的半监督网络异常行为检测方法，其实现方法如下：

S301、获取待检测网络行为数据，利用所述网络异常行为检测系统得到异常分数；

S302、判断所述异常分数是否大于异常打分阈值，若是，则所述待检测网络行为数据为异常样本，否则，为正常样本，完成基于行为特征编码的半监督网络异常行为检测方法。

本实施例中，基于无监督学习Auto-encoder构建特征编码网络，将原始网络行为数据样本向量映射到一个低维的流型空间，输出编码后的三种特征编码：q₁,q₂,q₃，q₁,q₂,q₃三种特征编码的意义分别为网络行为样本在流型空间的矢量表示、样本基于流型空间的重建至原始样本空间的重建误差向量和重建误差向量的q₁,q₂,q₃具体实现分别为无监督学习Auto-encoder最中间的隐藏层向量、无监督学习Auto-encoder的重建残差向量和重建残差向量的二范数值。基于这三种特征编码，可对样本数据的可能异常类型在流型空间进行有效定义和表示，从而使系统能够有效地区分网络正常行为和异常样本。

本实施例中，特征编码网络

基于一个全连接的无监督学习Auto-encoder构建，它包含一个编码器

和一个解码器

其中，编码器将输入的网络行为数据样本

从原始空间

编码至低维的隐空间

(d<m)；解码器将样本的隐空间向量解码回原始样本空间。编码器f_e(·；W_e)是一个

层全连接网络，其权重矩阵表示为W_e＝{W₁,W₂,...,W_s}，其中，W_s表示编码器第s层的网络权重；解码器f_d(·；W_e)是一个

层全连接网络，其权重矩阵为W_d＝{W'₁,W'₂,...,W'_s}，其中，W'_s表示解码器第s层的网络权重。

本实施例中，基于编码器和解码器的特征编码网络

可表示为：

ψ(X_i；Θ)＝f_d(f_e(X_i；W_e)；W_d) (1)

给定输入的网络行为数据样本

则该样本的隐空间向量，即第一种特征编码表示为：

q₁＝f_e(X_i；W_e) (2)

其中：q₁∈L。

特征编码网络对X_i的重建向量为

X'_i可进一步基于解码器表示为：

X'_i＝f_d(q₁；W_d) (3)

特征编码网络的重建残差向量，即第二种特征编码表示为：

q₂＝f_d(f_e(X_i；W_e)；W_d)-X_i (4)

其中：

重建残差向量的二范数值，即第三种特征编码表示为：

q₃＝||f_d(f_e(X_i；W_e)；W_d)-X_i||₂ (5)

其中：

本实施例中，使用无标签的网络行为数据样本对特征编码网络进行预训练。预训练过程如下：1.对特征编码网络的参数进行随机初始化。2.输入无标签网络行为数据样本X_i，特征编码网络输出重建向量X'_i。3.计算特征编码网络的重建误差损失并优化特征编码网络的参数。4.重复训练过程，直到损失低于阈值ε₁并稳定。

本实施例中，构建基于半监督学习的网络异常行为检测系统。

(1)系统架构

系统包含两个网络，即特征编码网络和异常打分网络。特征编码网络构建并输出网络行为数据样本的三种特征编码；异常打分网络基于三种特征编码对样本进行异常打分，根据打分阈值确定输入数据样本是正常样本或异常样本。

异常打分网络

是一个n层的全连接网络，其基于特征编码网络输出的X_i的三种特征编码q₁,q₂,q₃，输出对X_i的异常打分s_a。异常打分网络对一维的特征编码q₃进行增强学习，即将其与每一层中的输出向量结合，从而形成下一层的输入。

异常打分网络的权重表示为U＝{P₁,P₂,...,P_n}，其中，P_n是最后一层的权重向量，而{P₁,P₂,...,P_n-1}是其他n-1层的权重，P_n-1表示倒数第二层的权重向量。令Z'₀＝ξ(Z_o,q₃)＝ξ(q₁,q₂,q₃)表示异常打分网络的输入向量，其中，Z_o＝ξ(q₁,q₂)，ξ(·)为向量拼接函数。Z_l＝(z₁,z₂,...,z_ol)，l＝1,2,...,n-1表示异常打分网络第l层的输出，其中，o_l表示网络中第l层的神经元数量。Z_l可以被进一步表示为

其中，

和

分别是第l层的权重和偏差。异常打分网络对特征编码q₃进行增强学习，即网络下一层的输入Z'_l表示为

基于异常打分网络最后一层的权重向量

和对应的输入向量

异常打分网络的输出(即异常分数

)表示为：

其中，

为偏差项。

(2)网络异常行为检测系统的端到端联合优化

基于预训练的特征编码网络，将无标签训练数据样本和少量有标签的网络异常行为样本用于对特征编码网络和异常打分网络的端到端联合优化。优化过程中，将所有无标签的训练样本视为正常样本。联合优化过程如下：1.加载预训练后的特征编码网络参数Θ，对异常打分网络的权重矩阵U进行随机初始化。2.计算联合损失函数。3.根据联合损失，基于梯度下降算法更新系统的参数{Θ,U}，直到损失低于阈值ε₂并稳定，输出训练后的网络异常行为检测系统的参数。

联合损失函数包括两部分，即损失的先验分量以及损失的正则分量。损失的先验分量定义如下：

其中，

表示异常打分网络对样本X_i的异常打分，

表示基于先验参数μ_c和σ_c的z分数(μ_c和σ_c默认值分别取0和1)，a₀为一个预设值。

损失的正则分量基于正则化函数进行定义。设Q_m，m＝1,2,3表示所有正常样本第m种特征编码所对应的随机变量。定义正则化函数η(·)为：

η(q_m)＝D_h(q_m,E(Q_m)) (9)

其中，D_h(·,·)表示表示两个数据对象之间的上确界距离距离，E(·)表示数据对象的数学期望。则E(Q₁)是所有无标签训练样本第一种特征编码的平均向量，E(Q₂)是对应样本第二种特征编码向量维度的全零向量，E(Q₃)是标量值0。

对于前两种特征编码(即{q₁,q₂})设置h→∞，其中，h表示距离中的常量，即正则化函数η(·)计算样本相应特征编码与E(Q_i)(i＝1,2)的一范数距离；为最后一种特征编码(即{q₃})设置h＝2，即正则化函数η(·)计算样本特征编码q₃与E(Q₃)的上确界距离，此时公式(9)可表示为η(q₃)＝||q₃||₂，其中，||·||₂表示数据对象的二范数。定义函数：

Ω(·；a)＝(1-y)|·|+ymax(0,a-(·)) (10)

则异常打分的先验损失可以表示为：

对应三种特征编码的正则化损失可以表示为：

则基于公式(11)和(12)，网络异常行为检测系统的联合损失可以表示为：

其中，λ₁、λ₂和λ₃是超参数(根据实际数据进行调整，默认值均取0.1)，a₀、a₁，a₂和a₃是预设值(默认值均取5)。

本实施例中，基于训练后的网络异常行为检测系统，对网络行为数据样本进行异常检测。

此步骤过程如下：1.将数据样本作为网络异常行为检测系统的输入，通过训练后的网络模型(包括特征编码网络与异常打分网络)得到此数据样本对应的异常分数。2.基于异常打分的阈值(默认为正常样本所对应异常打分的最大值)，判断输入样本是否异常。如果数据样本的异常分数低于此阈值，则认为此数据样本是正常样本；如果数据样本的异常分数高于此阈值，则认为此数据样本是异常样本。

Claims (6)

1.一种基于行为特征编码的半监督网络异常行为检测方法，其特征在于，包括以下步骤：

S1、构建基于自动编码器的无监督特征编码网络，并对其进行预训练，将原始网络行为数据样本向量映射至低维流型空间并进行重建，得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码；

S2、构建由所述无监督特征编码网络和基于全连接网络的异常打分网络构成的网络异常行为检测系统，将数据样本作为网络异常行为检测系统的输入，其中，所述三种特征编码作为异常打分网络的输入；

S3、获取待检测网络行为数据，利用所述网络异常行为检测系统进行异常检测，并输出异常检测结果，完成基于行为特征编码的半监督网络异常行为检测方法；

所述步骤S1中的无监督特征编码网络包括编码器和解码器；

所述编码器，用于将输入的原始网络行为数据样本从原始空间编码至低维的隐空间；

所述解码器，用于将原始网络行为数据样本的隐空间向量解码至原始样本空间，得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码；

所述步骤S1包括以下步骤：

S101、构建基于自动编码器的无监督特征编码网络，并对特征编码网络的参数进行随机初始化处理；

S102、输入原始网络行为数据样本至无监督特征编码网络，计算得到重建向量；

S103、根据所述重建向量，计算得到重建误差的二范数值作为特征编码网络的重建误差损失，优化特征编码网络的参数；

S104、判断重建误差损失是否低于预设的阈值，若是，则完成对特征编码网络的预训练，并进入步骤S105，否则，返回步骤S102；

S105、根据原始网络行为数据样本向量，利用无监督特征编码网络得到隐空间向量、重建残差向量和重建残差向量的二范数值三种特征编码；

所述计算得到重建误差的二范数值作为特征编码网络的重建误差损失的表达式如下：

L_u＝||f_d(f_e(X_i；W_e)；W_d)-X_i||₂

其中，L_u表示重建误差的二范数值作为特征编码网络的重建误差损失，X_i表示原始网络行为数据样本，W_e表示编码器的权重矩阵，f_e(·；W_e)表示编码器，W_d表示解码器的权重矩阵，f_d(·；W_d)表示解码器；

所述无监督特征编码网络的表达式如下：

ψ(X_i；Θ)＝f_d(f_e(X_i；W_e)；W_d)

W_e＝{W₁,W₂,...,W_s}

W_d＝{W′₁,W′₂,...,W′_s}

其中，ψ(X_i；Θ)表示特征编码网络，Θ表示特征编码网络参数，W_s表示编码器第s层的网络权重，W′_s表示解码器第s层的网络权重；

所述隐空间向量q₁的表达式如下：

q₁＝f_e(X_i；W_e)

所述重建残差向量q₂的表达式如下：

q₂＝f_d(f_e(X_i；W_e)；W_d)-X_i

所述重建残差向量的二范数值q₃的表达式如下：

q₃＝||f_d(f_e(X_i；W_e)；W_d)-X_i||₂。

2.根据权利要求1所述的基于行为特征编码的半监督网络异常行为检测方法，其特征在于，所述步骤S2包括以下步骤：

S201、利用所述无监督特征编码网络以及基于全连接网络的异常打分网络搭建半监督学习的网络异常行为检测系统的架构；

S202、利用无标签训练数据样本和有标签的网络异常行为样本，对无监督特征编码网络和异常打分网络进行端到端的联合优化，所述联合优化过程分为多次迭代，在每次迭代中，将数据样本作为网络异常行为检测系统的输入，将特征编码网络输出的三种特征编码作为异常打分网络的输入，进行对网络异常行为检测系统的训练。

3.根据权利要求2所述的基于行为特征编码的半监督网络异常行为检测方法，其特征在于，所述步骤S201中异常打分网络的第l层输出的表达式如下：

其中，Z_l表示异常打分网络的第l层输出，l＝1,2,...,n-1，Z′_l-1表示前一层的输出和q₃拼接后的结果作为第l层的输入，P_l和

分别表示第l层的权重和偏差，

表示第l层的权重向量的第k项，z_k表示第l-1层的输出向量的第k项，

表示在第l层的权重向量最后再拼接一项，o_l-1表示异常打分网络中第l-1层的神经元数量，q₃表示重建残差向量的二范数值，n表示异常打分网络的总层数；

所述异常打分网络的下一层输入表达式如下：

其中，Z′_l表示异常打分网络下一层输入，ξ(·)表示向量拼接函数，

表示第l层的权重向量的最后一项，

表示Z′_l的每一项为实数，Z_l表示第l层的输出向量；

所述异常打分网络输出的异常分数表达式如下：

其中，s_a表示异常打分网络输出的异常分数，P_n和Z′_n-1表示异常打分网络最后一层的权重向量和对应的输入向量，

表示偏差项，

表示权重向量P_n中的第k项，z_k表示第n-1层的输出向量的第k项，

表示权重向量P_n中第o_n-1+1项，Z_n-1表示异常打分网络倒数第二层的输出向量，

表示异常打分网络倒数第二层的输出向量的最后一项。

4.根据权利要求3所述的基于行为特征编码的半监督网络异常行为检测方法，其特征在于，所述步骤S202包括以下步骤：

S2021、加载预训练后的无监督特征编码网络，对异常打分网络的权重矩阵进行随机初始化处理；

S2022、计算得到联合损失函数；

S2023、根据联合损失，基于梯度下降法更新网络参数；

S2024、根据更新结果，判断损失是否低于阈值，若是，则更新网络异常行为检测系统的参数，完成对特征编码网络和异常打分网络进行端到端的联合优化，否则，返回步骤S2022。

5.根据权利要求4所述的基于行为特征编码的半监督网络异常行为检测方法，其特征在于，所述步骤S2022中联合损失函数的表达式如下：

η(q_m)＝D_h(q_m,E(Q_m))

其中，

表示联合损失函数，λ₁、λ₂和λ₃表示超参数，a₀、a₁，a₂和a₃表示预设值，X_i表示原始网络行为数据样本，Θ表示预训练后特征编码网络的参数，U表示异常打分网络的权重矩阵，

表示异常打分网络对X_i的异常打分，μ_c和σ_c均表示先验参数，q₁表示隐空间向量，q₂表示重建残差向量，q₃表示重建残差向量的二范数值，dev(X_i)表示先验参数μ_c和σ_c的z分数，η(·)表示正则化函数，D_h(·,·)表示两个数据对象之间的上确界距离，E(·)表示数据对象的数学期望，q_m表示三种特征编码，Q_m表示所有正常样本第m种特征编码所对应的随机变量，且m＝1,2,3，Ω(·；a)表示使用预设值a的最小值约束。

6.根据权利要求5所述的基于行为特征编码的半监督网络异常行为检测方法，其特征在于，所述步骤S3包括以下步骤：

S301、获取待检测网络行为数据，利用所述网络异常行为检测系统得到异常分数；

S302、判断所述异常分数是否大于异常打分阈值，若是，则所述待检测网络行为数据为异常样本，否则，为正常样本，完成基于行为特征编码的半监督网络异常行为检测方法。

Images