CN113810385B - 一种自适应干扰的网络恶意流量检测防御方法 - Google Patents

一种自适应干扰的网络恶意流量检测防御方法 Download PDF

Info

Publication number
CN113810385B
CN113810385B CN202110987467.XA CN202110987467A CN113810385B CN 113810385 B CN113810385 B CN 113810385B CN 202110987467 A CN202110987467 A CN 202110987467A CN 113810385 B CN113810385 B CN 113810385B
Authority
CN
China
Prior art keywords
flow
network
traffic
neural network
link
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110987467.XA
Other languages
English (en)
Other versions
CN113810385A (zh
Inventor
陈晋音
王楦烨
王鹏程
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang University of Technology ZJUT
Original Assignee
Zhejiang University of Technology ZJUT
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang University of Technology ZJUT filed Critical Zhejiang University of Technology ZJUT
Priority to CN202110987467.XA priority Critical patent/CN113810385B/zh
Publication of CN113810385A publication Critical patent/CN113810385A/zh
Application granted granted Critical
Publication of CN113810385B publication Critical patent/CN113810385B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/084—Backpropagation, e.g. using gradient descent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Molecular Biology (AREA)
  • Data Mining & Analysis (AREA)
  • Computational Linguistics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Evolutionary Computation (AREA)
  • Biophysics (AREA)
  • Biomedical Technology (AREA)
  • Artificial Intelligence (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种自适应干扰的网络恶意流量检测防御方法，初始化软件定义网络，通过图神经网络GNN和循环神经网络RNN提取流量特征，选取干扰噪声向量，利用生成器将干扰噪声向量转化生成特定噪声，得到扰动的流量特征，判断两者特征相似性，扰动的流量特征Fp上传至全局控制器，更新节点的路由策略，调整流量分布。本发明可以避免中间操作过程中网络恶意流量的检测泄露，保证了原始流量的隐蔽性，通过添加扰动噪声进行流量数据脱敏，利用自适应干扰技术保证网络路由动态更新。

Description

一种自适应干扰的网络恶意流量检测防御方法
技术领域
本发明涉及网络安全技术、数据隐私保护领域，具体涉及一种自适应干扰的网络恶意流量检测防御方法。
背景技术
现如今，随着网络技术的不断发展，软件定义网络作为一种能够适宜网络规模不断增长趋势的新计算机网络架构，得到广泛部署和应用。相较于传统网络，软件定义网络使用基于流的概念来识别网络流量，通过转发控制分离。提高了网络管理灵活性。然而，软件定义网络同样面对恶意流量的威胁，例如网络渗透、网络流量欺诈、网络入侵等，这些恶意流量行为通常以未经许可的方式入侵、干扰或抓取未经许可的业务数据或信息。总而言之，在网络空间安全领域中，恶意流量检测一直是一个热点问题。
目前，为了解决软件定义网络恶意流量检测问题，有很多现有的技术被提出用以解决恶意流量检测问题。这些技术主要分为两大类，基于密码学的流量检测保护以及基于机器学习方法的流量检测保护。基于密码学的流量检测保护主要有密文检索技术和深度报文检测技术，这种方法通常由理论保障，然而，不同的加密方式会产生不同的特征，当前尚无通用方法能够应用于所有类型的加密流量。基于机器学习方法的流量检测保护如恶意特征识别，通常识别效果严重依赖于样本数量和质量，并且存在无法有效应对混淆和整形后的流量的问题。
同样的，入侵者往往会根据恶意流量检测结果来调整其网络攻击以逃避现有的检测方案，以最大化效益，流量异常的性质也会随着时间的推移而不断变化。
发明内容
针对现有技术准确度较低、计算复杂度较高、数据依赖性较强等问题，本发明提出了一种自适应干扰的网络恶意流量检测防御方法。通过为软件定义网络图各节点控制器上传决策数据给全局控制器之前对原始流量信息进行重构，可以有效保证子节点流量预测准确性的前提下，自适应更新网络路由规则，动态调整链路节点流量分布，从而起到防御恶意流量检测的作用。
为实现上述发明目的，本发明提供的技术方案为：一种自适应干扰的网络恶意流量检测防御方法，包括以下步骤：
(1)初始化软件定义网络中节点控制器上的循环神经网络RNN和图神经网络GNN模型，并初始化原始流量矩阵，各个节点控制器i加载原始流量矩阵Xc至本地基础设备，利用本地预路由网络配置交换设备下转发规则；
(2)通过图神经网络GNN和循环神经网络RNN提取流量特征；
(3)选取干扰噪声向量，训练生成对抗网络GANs中的生成器G(ω)，利用生成器将干扰噪声向量转化生成特定噪声Pc；所述输出的特定噪声Pc和原始流量矩阵Xc具有相同的维度大小；通过图神经网络GNN和循环神经网络RNN提取扰动的流量特征Fp；
(4)将步骤(2)输出的流量特征和步骤(3)输出的扰动的流量特征Fp输入鉴别器D(ψ)，训练鉴别器并判断两者特征相似性：
同时将扰动流量消息特征向量与原始流量消息特征向量输入鉴别器D(ψ)，将扰动的流量特征Fp对应的标签设为0，步骤(2)输出的流量特征对应的标签设为1；鉴别器D(ψ)训练模型实现二分类任务；
所述鉴别器损失函数loss为：
Figure BDA0003231225200000031
其中，M(·)为客户端子模型，D(·)为鉴别器模型，m表示样本数量。
重复前述步骤(3)～(4)，直至鉴别器D(ψ)和生成器G(ω)都收敛，即步骤(2)输出的流量特征和步骤(3)输出的扰动的流量特征Fp不相似。
(5)将步骤(3)输出的扰动的流量特征Fp上传至全局控制器，全局控制器更新转发规则，各节点控制器接收更新的转发规则，更新节点的路由策略，调整流量分布。
进一步地，所述软件定义网络包括应用层、控制层、基础设备层；所述控制层包括i个节点控制器和全局控制器网络；所述应用层为软件定义网络的数据中心，协同控制i个节点控制器，并监控全局控制器网络；所述基础设备层为节点控制器下的若干联网设备，包括基础设备和路由器。
进一步地，所述路由网络由一组链接表示：N＝{li},i∈(0,1,..,nl)；所述路由网络中的路由器配置方案由一组路径表示：R＝{pk},k∈(0,1,..,np)，每条路径都被定义为一系列链接的结合，即
Figure BDA0003231225200000032
其中k(i)是路径k中第i个链接的索引。
进一步地，所述步骤(2)具体包括以下子步骤：
(2.1)利用图神经网络GNN提取图网络结构流量特征：将原始流量矩阵Xc、链接特征
Figure BDA0003231225200000033
和路径特征
Figure BDA0003231225200000034
输入图神经网络GNN，训练该图神经网络GNN，将图神经网络GNN作为路径状态和链路状态对应的目标函数的逼近器，得到路由网络链路中的原始流量消息特征向量Fc，所述原始流量消息特征向量Fc即链接状态
Figure BDA0003231225200000035
路径状态
Figure BDA0003231225200000036
所述路径状态
Figure BDA0003231225200000037
取决于路径中所有的链路状态
Figure BDA0003231225200000038
数学表达式如下：
Figure BDA0003231225200000039
所述链路状态
Figure BDA00032312252000000310
取决于包含该链路在内的所有路径状态
Figure BDA00032312252000000311
数学表达式如下：
Figure BDA0003231225200000041
其中，
Figure BDA0003231225200000042
和
Figure BDA0003231225200000043
为路径状态
Figure BDA0003231225200000044
和链路状态
Figure BDA0003231225200000045
对应的目标函数。
(2.2)利用循环神经网络RNN对链路流量消息进行聚合预测：
利用循环神经网络RNN对路由网络中的链路流量消息进行聚合，捕捉该链路流量消息的依赖关系，收集在每个节点控制器中接受的任意数量的流量消息。并将这些流量消息压缩成固定维度的数组，即隐藏状态；所述隐藏状态中都代表一个包含链接状态
Figure BDA0003231225200000046
和路径状态
Figure BDA0003231225200000047
信息的流量变化特征，并与步骤(2.1)得到的原始流量消息特征向量Fc结合共同得到流量特征。
进一步地，所述步骤(3)具体包括以下子步骤：
(3.1)从先验分布Pprior(x)中挑选干扰噪声{z1,z2,…,zm}作为生成器输入噪声向量；从先验分布Pprior(x)中挑选干扰噪声{z1,z2,…,zm}，并初始化该干扰噪声。所述初始化干扰噪声具体为节点控制器首先计算本地节点的路由网络的流量平均方差，然后依据该流量平均方差设定方差范围。
(3.2)利用生成器G(ω)生成特定噪声：将步骤(3.1)初始化后的噪声输入生成器G(ω)前向传播获得输出特定噪声并进行降维操作。所述输出的特定噪声Pc和原始流量矩阵Xc具有相同的维度大小。所述输出的特定噪声的分布规律主要有均匀分布和正态分布。
(3.3)特定噪声Pc和原始流量矩阵Xc进行流量叠加求和获得扰动流量矩阵Xp，数学表达式如下：
Xp＝Pc+Xc
将扰动流量矩阵Xp、链接特征
Figure BDA0003231225200000048
和路径特征
Figure BDA0003231225200000049
输入图神经网络GNN和循环神经网络RNN，得到扰动的流量特征Fp。
进一步地，所述步骤(5)具体包括以下子步骤：
(5.1)全局控制器聚合扰动的流量特征Fp得到决策流量数据；
(5.2)将图卷积神经网络GCN作为路由决策模型，将步骤(5.2)聚合完成的决策流量数据Fp作为路由决策模型的输入数据，利用全局控制器训练路由决策模型在路由决策模型进行前向传播，后续通过计算损失函数反向传播更新路由决策模型的参数以及各节点控制器的转发规则参数；所述各节点控制器接收更新的转发规则，更新节点的路由策略，调整流量分布。
本发明的有益成果主要体现在：
(1)本发明中的各个节点控制器所有扰动加密操作均在节点控制器本地完成，因此整个扰动加密操作具有隐私性，避免中间操作过程中网络恶意流量的检测泄露。
(2)本发明利用自适应干扰方法来实现对恶意流量测绘的防御目标主要分为两个方面，一个方面是原始流量矩阵上所叠加的扰动噪声，使扰动流量矩阵在流量数量级上很难和原始流量矩阵进行区分；另一方面扰动干扰下的扰动流量矩阵在预测模型的流量特征输出中，本发明节点控制器通过添加扰动噪声生成的扰动流量矩阵，相较于原始流量特征差异分布，在流量特征分布上具有不相似性，即使存在恶意攻击者窃取利用网络流量数据，也无法获取未扰动流量特征信息，因此保证了原始流量的隐蔽性。
(3)本发明中的扰动流量矩阵和原始流量矩阵在预测模型输出的隐藏状态差异大，全局控制器可以反向传播更新网络路由规则，因此保证全局控制器可以自适应更新网络路由规则，链路可以自适应地动态调节流量分布方式，避免恶意攻击持续有效作用。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图做简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动前提下，还可以根据这些附图获得其他附图。
图1是本发明实施例提供的自适应干扰的网络恶意流量检测防御方法的示意图
图2是本发明实施例提供的自适应干扰的网络恶意流量检测防御方法中的生成扰动流量的流程图。
具体实施方式
为使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例对本发明进行进一步的详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不限定本发明的保护范围。
鉴于现有技术中存在的问题和不足，本发明提供了一种自适应干扰的网络恶意流量检测防御方法。具体技术构思为：本发明提供的自适应干扰的网络恶意流量检测防御方法，通过对原始流量矩阵添加扰动噪声进行流量数据脱敏，利用自适应干扰技术保证网络路由动态更新。
图1为本发明实施例提供的自适应干扰的网络恶意流量检测防御方法的示意图，具体包括以下步骤：
(1)初始化软件定义网络，所述软件定义网络包括应用层、控制层、基础设备层；所述控制层包括i个节点控制器和全局控制器网络；所述应用层为软件定义网络的数据中心，协同控制i个节点控制器，并监控全局控制器网络；所述基础设备层为节点控制器下的若干联网设备，包括基础设备和路由器。具体包括以下子步骤：
(1.1)初始化节点控制器上的网络模型：初始化节点控制器的循环神经网络RNN和图神经网络GNN的训练轮数R，全局控制器网络及其初始化参数，所述全局控制器网络的初始化参数包括节点控制器上传的嵌入流量向量维度N，和模型学习率r，并初始化当前训练轮次t＝0。
(1.2)初始化原始流量矩阵：各个节点控制器i加载原始流量矩阵Xc(TM至本地基础设备，利用本地预路由网络配置交换设备下转发规则。
所述路由网络可以由一组链接表示：N＝{li},i∈(0,1,..,nl)，所述路由网络中的路由器配置方案由一组路径表示：R＝{pk},k∈(0,1,..,np)，每条路径都被定义为一系列链接的结合，即
Figure BDA0003231225200000071
其中k(i)是路径k中第i个链接的索引；所述链接和路径的属性(特征)由
Figure BDA0003231225200000072
和
Figure BDA0003231225200000073
表示。
(2)通过图神经网络GNN和循环神经网络RNN提取流量特征，具体包括以下子步骤：
(2.1)利用图神经网络GNN提取图网络结构流量特征：
将原始流量矩阵Xc、链接特征
Figure BDA0003231225200000074
和路径特征
Figure BDA0003231225200000075
输入图神经网络GNN，训练该图神经网络GNN，将图神经网络GNN作为路径状态和链路状态对应的目标函数的逼近器，在节点控制器上，通过消息传递的图神经网络GNN架构M(θ)，将路由网络的拓扑结构表示为图，对链接状态进行编码向量，端到端路径集直接映射到路由网络中链接和路径实体之间的消息传递操作，得到网络链路中的原始流量消息特征向量Fc，所述原始流量消息特征向量Fc即链接状态
Figure BDA0003231225200000076
路径状态
Figure BDA0003231225200000077
所述链接状态
Figure BDA0003231225200000078
包含有关链路延时、丢包率、链路利用率等信息，所述路径状态
Figure BDA0003231225200000079
包含有关端到端度量的延时、总丢失等信息。
所述路径状态
Figure BDA00032312252000000710
取决于路径中所有的链路状态
Figure BDA00032312252000000711
数学表达式如下：
Figure BDA00032312252000000712
所述链路状态
Figure BDA0003231225200000081
取决于包含该链路在内的所有路径状态
Figure BDA0003231225200000082
数学表达式如下：
Figure BDA0003231225200000083
其中，
Figure BDA0003231225200000084
和
Figure BDA0003231225200000085
为路径状态
Figure BDA0003231225200000086
和链路状态
Figure BDA0003231225200000087
对应的目标函数。
(2.2)利用循环神经网络RNN对链路流量消息进行聚合预测：
利用循环神经网络RNN对路由网络中的链路流量消息进行聚合，在可变大小序列中捕捉该链路流量消息的依赖关系，收集在每个节点实体控制器中接受的任意数量的流量消息。并将这些流量消息压缩成固定维度的数组，即隐藏状态。
对于输入序列i1,i2…in，初始状态s0，循环神经网络RNN的输出(固定维度的数组，即隐藏状态)定义为：
(ot,st)＝RNN(st-1,it)
其中，ot为输出层，st为隐含层。
所述隐藏状态中都代表一个包含链接状态
Figure BDA0003231225200000088
和路径状态
Figure BDA0003231225200000089
信息的流量变化特征，并与步骤(2.1)得到的原始流量消息特征向量Fc结合共同得到流量特征，实现流量预测。
(3)如图2所示，选取干扰噪声向量，训练生成对抗网络(GANs)中的生成器G(ω)模型，利用生成器将干扰噪声向量转化生成特定噪声，具体包括以下子步骤：
(3.1)从先验分布Pprior(x)中挑选干扰噪声{z1,z2,…,zm}作为生成器输入噪声向量；
从先验分布Pprior(x)中挑选干扰噪声{z1,z2,…,zm}，初始化干扰噪声作为生成器G(ω)输入噪声向量。节点控制器首先量化节点的路由网络的流量的复杂程度，具体为计算本地节点的路由网络的流量平均方差。然后依据该流量平均方差设定方差范围。
(3.2)利用生成器G(ω)生成特定噪声：将步骤(3.1)初始化后的噪声输入生成器G(ω)前向传播获得输出特定噪声并进行降维操作。所述输出的特定噪声Pc和原始流量矩阵Xc具有相同的维度大小。所述输出的特定噪声的分布规律主要有均匀分布和正态分布。
(3.3)特定噪声pc和原始流量矩阵Xc进行流量叠加求和获得扰动流量矩阵Xp，数学表达式如下：
Xp＝Pc+Xc
将扰动流量矩阵Xp、链接特征
Figure BDA0003231225200000091
和路径特征
Figure BDA0003231225200000092
输入图神经网络GNN和循环神经网络RNN，得到扰动的流量特征Fp。
(4)将步骤(2)输出的流量特征和步骤(3)输出的扰动的流量特征Fp输入鉴别器D(ψ)，训练鉴别器并判断两者特征相似性：
同时将扰动流量消息特征向量与原始流量消息特征向量输入鉴别器D(ψ)，将扰动的流量特征Fp对应的标签设为0，步骤(2)输出的流量特征对应的标签设为1。鉴别器D(ψ)训练模型实现二分类任务。
鉴别器损失函数loss为：
Figure BDA0003231225200000093
其中，M(·)为客户端子模型，D(·)为鉴别器模型，m表示样本数量。
重复前述步骤(3)～(4)，直至鉴别器D(ψ)和生成器G(ω)都收敛，即步骤(2)输出的流量特征和步骤(3)输出的扰动的流量特征Fp不相似。
(5)将步骤(3)输出的扰动的流量特征Fp上传至全局控制器
(5.1)全局控制器聚合扰动的流量特征Fp：所述全局控制器利用拼接或者平均的方法来聚合各个节点控制器上传的扰动的流量特征Fp得到决策流量数据。
(5.2)将图卷积神经网络GCN作为路由决策模型，利用全局控制器训练路由决策模型：
将步骤(5.2)聚合完成的决策流量数据Fp作为路由决策模型的输入数据，在路由决策模型进行前向传播，后续通过计算损失函数反向传播更新路由决策模型的参数以及各节点控制器的转发规则参数。各节点控制器接收更新的转发规则，更新节点的路由策略，调整流量分布。
实施例中，在训练节点控制器模型和全局控制器模型过程中，使得部分神经元失活，即将神经元失活参数dropout设置为0.5，减少隐层节点间的相互作用，进一步避免模型过拟合现象的发生。
综上，本发明中的各个节点控制器所有扰动加密操作均在节点控制器本地完成，因此能够保证整个扰动加密操作具有隐私性，避免中间操作过程中网络恶意流量的检测泄露。本发明利用自适应干扰方法来实现对恶意流量测绘的防御目标主要分为两个方面，一个方面是原始流量矩阵上所叠加的扰动噪声，使扰动流量矩阵在流量数量级上很难和原始流量矩阵进行区分；另一方面扰动干扰下的扰动流量矩阵在预测模型的流量特征输出中，本发明节点控制器通过添加扰动噪声生成的扰动流量矩阵，相较于原始流量特征差异分布，在流量特征分布上具有不相似性，即使存在恶意攻击者窃取利用网络流量数据，也无法获取未扰动流量特征信息，保证了原始流量的隐蔽性。本发明中的扰动流量矩阵和原始流量矩阵在预测模型输出的隐藏状态差异大，全局控制器可以反向传播更新网络路由规则，因此保证全局控制器可以自适应更新网络路由规则，链路可以自适应地动态调节流量分布方式，避免恶意攻击持续有效作用。
以上所述的具体实施方式对本发明的技术方案和有益效果进行了详细说明，应理解的是以上所述仅为本发明的最优选实施例，并不用于限制本发明，凡在本发明的原则范围内所做的任何修改、补充和等同替换等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种自适应干扰的网络恶意流量检测防御方法，其特征在于，包括以下步骤：
(1)初始化软件定义网络中节点控制器上的循环神经网络RNN和图神经网络GNN模型，并初始化原始流量矩阵，各个节点控制器i加载原始流量矩阵Xc至本地基础设备，利用本地预路由网络配置交换设备下转发规则；
(2)通过图神经网络GNN和循环神经网络RNN提取流量特征；
(3)选取干扰噪声向量，训练生成对抗网络GANs中的生成器G(ω)，利用生成器将干扰噪声向量转化生成特定噪声Pc；所述输出的特定噪声Pc和原始流量矩阵Xc具有相同的维度大小；通过图神经网络GNN和循环神经网络RNN提取扰动的流量特征Fp；
(4)将步骤(2)输出的流量特征和步骤(3)输出的扰动的流量特征Fp输入鉴别器D(ψ)，训练鉴别器并判断两者特征相似性：
同时将扰动流量消息特征向量与原始流量消息特征向量输入鉴别器D(ψ)，将扰动的流量特征Fp对应的标签设为0，步骤(2)输出的流量特征对应的标签设为1；鉴别器D(ψ)训练模型实现二分类任务；
所述鉴别器损失函数loss为：
Figure FDA0003231225190000011
其中，M(·)为客户端子模型，D(·)为鉴别器模型，m表示样本数量。
重复前述步骤(3)～(4)，直至鉴别器D(ψ)和生成器G(ω)都收敛，即步骤(2)输出的流量特征和步骤(3)输出的扰动的流量特征Fp不相似。
(5)将步骤(3)输出的扰动的流量特征Fp上传至全局控制器，全局控制器更新转发规则，各节点控制器接收更新的转发规则，更新节点的路由策略，调整流量分布。
2.根据权利要求1所述的自适应干扰的网络恶意流量检测防御方法，其特征在于，所述软件定义网络包括应用层、控制层、基础设备层；所述控制层包括i个节点控制器和全局控制器网络；所述应用层为软件定义网络的数据中心，协同控制i个节点控制器，并监控全局控制器网络；所述基础设备层为节点控制器下的若干联网设备，包括基础设备和路由器。
3.根据权利要求1所述的自适应干扰的网络恶意流量检测防御方法，其特征在于，所述路由网络由一组链接表示：N＝{li},i∈(0,1,..,nl)；所述路由网络中的路由器配置方案由一组路径表示：R＝{pk},k∈(0,1,..,np)，每条路径都被定义为一系列链接的结合，即
Figure FDA0003231225190000021
其中k(i)是路径k中第i个链接的索引。
4.根据权利要求1所述的自适应干扰的网络恶意流量检测防御方法，其特征在于，所述步骤(2)具体包括以下子步骤：
(2.1)利用图神经网络GNN提取图网络结构流量特征：将原始流量矩阵Xc、链接特征
Figure FDA0003231225190000022
和路径特征
Figure FDA0003231225190000023
输入图神经网络GNN，训练该图神经网络GNN，将图神经网络GNN作为路径状态和链路状态对应的目标函数的逼近器，得到路由网络链路中的原始流量消息特征向量Fc，所述原始流量消息特征向量Fc即链接状态
Figure FDA0003231225190000024
路径状态
Figure FDA0003231225190000025
所述路径状态
Figure FDA0003231225190000026
取决于路径中所有的链路状态
Figure FDA0003231225190000027
数学表达式如下：
Figure FDA0003231225190000028
所述链路状态
Figure FDA0003231225190000029
取决于包含该链路在内的所有路径状态
Figure FDA00032312251900000210
数学表达式如下：
Figure FDA00032312251900000211
其中，
Figure FDA00032312251900000212
Figure FDA00032312251900000213
和
Figure FDA00032312251900000214
为路径状态
Figure FDA00032312251900000215
和链路状态
Figure FDA00032312251900000216
对应的目标函数。
(2.2)利用循环神经网络RNN对链路流量消息进行聚合预测：
利用循环神经网络RNN对路由网络中的链路流量消息进行聚合，捕捉该链路流量消息的依赖关系，收集在每个节点控制器中接受的任意数量的流量消息。并将这些流量消息压缩成固定维度的数组，即隐藏状态；所述隐藏状态中都代表一个包含链接状态
Figure FDA0003231225190000031
和路径状态
Figure FDA0003231225190000032
信息的流量变化特征，并与步骤(2.1)得到的原始流量消息特征向量Fc结合共同得到流量特征。
5.根据权利要求1所述的自适应干扰的网络恶意流量检测防御方法，其特征在于，所述步骤(3)具体包括以下子步骤：
(3.1)从先验分布Pprior(x)中挑选干扰噪声{z1,z2,…,zm}作为生成器输入噪声向量；从先验分布Pprior(x)中挑选干扰噪声{z1,z2,…,zm}，并初始化该干扰噪声。所述初始化干扰噪声具体为节点控制器首先计算本地节点的路由网络的流量平均方差，然后依据该流量平均方差设定方差范围。
(3.2)利用生成器G(ω)生成特定噪声：将步骤(3.1)初始化后的噪声输入生成器G(ω)前向传播获得输出特定噪声并进行降维操作。所述输出的特定噪声Pc和原始流量矩阵Xc具有相同的维度大小。所述输出的特定噪声的分布规律主要有均匀分布和正态分布。
(3.3)特定噪声Pc和原始流量矩阵Xc进行流量叠加求和获得扰动流量矩阵Xp，数学表达式如下：
Xp＝Pc+Xc
将扰动流量矩阵Xp、链接特征
Figure FDA0003231225190000033
和路径特征
Figure FDA0003231225190000034
输入图神经网络GNN和循环神经网络RNN，得到扰动的流量特征Fp。
6.根据权利要求1所述的自适应干扰的网络恶意流量检测防御方法，其特征在于，所述步骤(5)具体包括以下子步骤：
(5.1)全局控制器聚合扰动的流量特征Fp得到决策流量数据；
(5.2)将图卷积神经网络GCN作为路由决策模型，将步骤(5.2)聚合完成的决策流量数据Fp作为路由决策模型的输入数据，利用全局控制器训练路由决策模型在路由决策模型进行前向传播，后续通过计算损失函数反向传播更新路由决策模型的参数以及各节点控制器的转发规则参数；所述各节点控制器接收更新的转发规则，更新节点的路由策略，调整流量分布。
CN202110987467.XA 2021-08-26 2021-08-26 一种自适应干扰的网络恶意流量检测防御方法 Active CN113810385B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110987467.XA CN113810385B (zh) 2021-08-26 2021-08-26 一种自适应干扰的网络恶意流量检测防御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110987467.XA CN113810385B (zh) 2021-08-26 2021-08-26 一种自适应干扰的网络恶意流量检测防御方法

Publications (2)

Publication Number Publication Date
CN113810385A CN113810385A (zh) 2021-12-17
CN113810385B true CN113810385B (zh) 2023-02-14

Family

ID=78894199

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110987467.XA Active CN113810385B (zh) 2021-08-26 2021-08-26 一种自适应干扰的网络恶意流量检测防御方法

Country Status (1)

Country Link
CN (1) CN113810385B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114710322B (zh) * 2022-03-15 2023-06-20 清华大学 基于流量交互图的隐蔽恶意流量检测方法和装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112235288A (zh) * 2020-10-13 2021-01-15 北京理工大学 一种基于gan的ndn网络入侵检测方法
CN112532562A (zh) * 2019-09-17 2021-03-19 武汉思普崚技术有限公司 一种对抗性网络的恶意数据流检测方法及系统
CN112906982A (zh) * 2021-03-22 2021-06-04 哈尔滨理工大学 一种基于gnn-lstm结合的网络流量预测方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112532562A (zh) * 2019-09-17 2021-03-19 武汉思普崚技术有限公司 一种对抗性网络的恶意数据流检测方法及系统
CN112235288A (zh) * 2020-10-13 2021-01-15 北京理工大学 一种基于gan的ndn网络入侵检测方法
CN112906982A (zh) * 2021-03-22 2021-06-04 哈尔滨理工大学 一种基于gnn-lstm结合的网络流量预测方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
基于对抗样本的网络欺骗流量生成方法;胡永进等;《通信学报》;20200925(第09期);全文 *
基于生成对抗网络的恶意网络流生成及验证;潘一鸣等;《华东理工大学学报(自然科学版)》;20180611(第02期);全文 *
神经网络算法在SDN环境下的流量预测研究;朱凌云等;《网络安全技术与应用》;20200315(第03期);全文 *

Also Published As

Publication number Publication date
CN113810385A (zh) 2021-12-17

Similar Documents

Publication Publication Date Title
Friha et al. FELIDS: Federated learning-based intrusion detection system for agricultural Internet of Things
Ge et al. Towards a deep learning-driven intrusion detection approach for Internet of Things
Ge et al. Deep learning-based intrusion detection for IoT networks
Velliangiri et al. Intrusion detection of distributed denial of service attack in cloud
Ortet Lopes et al. Towards effective detection of recent DDoS attacks: A deep learning approach
Dong et al. Secure distributed on-device learning networks with byzantine adversaries
Srinivasan et al. Enhancing the security in cyber-world by detecting the botnets using ensemble classification based machine learning
Ko et al. Unsupervised learning with hierarchical feature selection for DDoS mitigation within the ISP domain
Dixit et al. Comparing and analyzing applications of intelligent techniques in cyberattack detection
CN113810385B (zh) 一种自适应干扰的网络恶意流量检测防御方法
Chou et al. Data-driven network intrusion detection: A taxonomy of challenges and methods
Sai Satyanarayana Reddy et al. Intrusion detection in wireless network using fuzzy logic implemented with genetic algorithm
Zainudin et al. FedDDoS: An efficient federated learning-based DDoS attacks classification in SDN-enabled IIoT networks
Rizzardi et al. Deep Reinforcement Learning for intrusion detection in Internet of Things: Best practices, lessons learnt, and open challenges
Setitra et al. An efficient approach to detect distributed denial of service attacks for software defined internet of things combining autoencoder and extreme gradient boosting with feature selection and hyperparameter tuning optimization
Akana et al. An Optimized DDoS Attack Detection Using Deep Convolutional Generative Adversarial Networks
Wang et al. SparSFA: Towards robust and communication-efficient peer-to-peer federated learning
Nakıp et al. Online self-supervised learning in machine learning intrusion detection for the internet of things
Jahan et al. Intrusion Detection Systems based on Artificial Intelligence.
CN117150566A (zh) 面向协作学习的鲁棒训练方法及装置
Alhijaj et al. A decision tree-aware genetic algorithm for botnet detection
Park et al. Distributed learning-based intrusion detection in 5g and beyond networks
Nayak et al. MAC protocol based IoT network intrusion detection using improved efficient shuffle bidirectional COOT channel attention network
Hu et al. Predicting intrusions with local linear models
Shorfuzzaman Detection of cyber attacks in IoT using tree-based ensemble and feedforward neural network

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant