CN114221790A - 一种基于图注意力网络的bgp异常检测方法及系统 - Google Patents

一种基于图注意力网络的bgp异常检测方法及系统 Download PDF

Info

Publication number
CN114221790A
CN114221790A CN202111382680.4A CN202111382680A CN114221790A CN 114221790 A CN114221790 A CN 114221790A CN 202111382680 A CN202111382680 A CN 202111382680A CN 114221790 A CN114221790 A CN 114221790A
Authority
CN
China
Prior art keywords
data
time
sample
model
bgp
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN202111382680.4A
Other languages
English (en)
Inventor
宣琦
彭松涛
殳欣成
张丽娜
阮中远
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang University of Technology ZJUT
Original Assignee
Zhejiang University of Technology ZJUT
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang University of Technology ZJUT filed Critical Zhejiang University of Technology ZJUT
Priority to CN202111382680.4A priority Critical patent/CN114221790A/zh
Publication of CN114221790A publication Critical patent/CN114221790A/zh
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G06F18/241—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/044—Recurrent networks, e.g. Hopfield networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/048—Activation functions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Computing Systems (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • General Physics & Mathematics (AREA)
  • Evolutionary Computation (AREA)
  • Biophysics (AREA)
  • Molecular Biology (AREA)
  • General Health & Medical Sciences (AREA)
  • Computational Linguistics (AREA)
  • Biomedical Technology (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种基于图注意力网络的BGP异常检测方法，包括以下步骤：S1：获取、解析、整理，得到异常事件数据集；S2：提取45个特征；S4：将数据集及其特征输入到模型中，得到预训练模型；S5：将模型用于对未知事件的异常检测。本发明还包括一种基于图注意力网络的BGP异常检测的系统，包括依次连接的数据获取模块，特征提取模块，模型训练模块和模型预测模块。本发明构建了五个网络异常事件数据集，通过STL关注数据的趋势性和季节性，并首次应用GAT模型关注特征关系和时间依赖，大幅提升性能，更好的实现对异常情况的捕获和在未知事件中的实用性和高效性。

Description

一种基于图注意力网络的BGP异常检测方法及系统
技术领域
本发明涉及数据挖掘与计算机技术领域，特别涉及一种基于图注意力网络的BGP异常检测方法及系统。
背景技术
互联网的发展在促进经济、文化和生活快速发展的同时，也伴随着众多影响网络安全稳定的问题的出现。边界网关协议(Border Gateway Protocol，BGP)是一种域间路由通信协议，负责管理自治系统之间的网络可达信息(Network Reachable Information，NRI)，保证信息的全局可达性。BGP功能的重要性也使其容易受到劫持、错误配置、DDoS攻击和自然灾害等的影响。最近的统计数据显示，大约20％的劫持和错误配置持续时间不到10分钟，但却能够在不到2分钟内影响90％的互联网。例如，2008年2月24日，巴基斯坦电信(AS17557)发布了一个未经授权的添加前缀208.65.153.0/24的公告。巴基斯坦电信的上游供应商之一，电讯盈科全球公司(AS3491)将这一声明转发到互联网的其它地方，导致全球范围内的YouTube流量被劫持。这样的网络安全事故还有很多很多。因此，设计BGP异常检测方法，发现BGP流量中的异常信息或行为，并提出警示或采取相应应对措施，具有重要意义。
在本文中，我们重点关注互联网安全中的BGP异常检测问题。CN201811331848.7基于改进的高斯核函数以及基于网格搜索与交叉验证进行参数寻优，以提高模型分类准确率，基于最优特征子集来评价模型综合性能；CN202010093180.8公开了一种用于实现BGP异常检测的方法、设备及系统，涉及通信技术领域，能够提高BGP异常检测的时效性和准确度，主要实现为训练设备根据第一BGP update消息，以及历史BGP update消息的属性信息，获取训练样本数据，然后基于训练样本数据进行模型训练，获取BGP异常检测模型；CN202011588909.5通过BGP更新报文获取目标自治域的目标特征，然后将其输入至已训练的异常检测模型中，获取所述异常检测模型输出的所述目标自治域在所述预设时间段内的异常种类。可以看出，目前大多数的在BGP异常检测方面的专利公开文献都是通过获取BGP更新信息经过处理作为实验数据集，然后训练支持向量机或长短期记忆网络这些经典机器学习模型，最终在训练集中实现高精度，值得肯定的是，关注BGP更新数据能很好的发现异常事件，但真正具有意义的模型，应当是在已知异常事件作为训练数据集训练好模型后，面对未知数据集也能精准检测出异常情况，这仅凭借传统的方法是不够，所以也就需要提出更能发掘出异常样本特性的BGP异常检测方法及模型，能实现其对未知异常事件的精准检测，对网络安全，从实用性和精准性方面都具有重要意义。
发明内容
本发明为了克服传统BGP异常检测系统将异常样本当作独立样本，用传统机器学习方法通过众多特征进行分类实现异常检测，却忽略了异常事件作为时序数据在时间维度上的重要特性这一缺陷，解决这一将特征维度和时间维度同时考虑而提升BGP异常检测性能问题，本发明中基于不同时间、不同区域、不同类型提取了五个互联网异常事件数据，开发了一个新的基于图注意力网络(GAT)的BGP异常检测方法和系统。
本发明在对事件数据集进行滑动窗口和STL分解的基础上，分别通过基于特征的图注意力网络和基于时序的图注意力网络，实现对特征关系和时间依赖的捕捉，最后通过基础的LSTM模型即可实现从已知事件训练到对未知事件的准确预测，很大程度上提升了对异常情况的捕获以及在未知事件中的实用性和高效性。
本发明实现上述发明目的所采用的技术方案如下：
一种基于图注意力网络的BGP异常检测方法，包括以下步骤：
S1：数据获取：从公开互联网项目平台获取指定区域、指定时间段、指定自治系统的边界网关协议(Border Gateway Protocol，BGP)更新数据包，解析为可读格式并进行整理，得到多种异常事件数据集；
S2：特征提取：解析后的BGP更新数据包报文头中不同字段包含该数据包对应的不同信息和特征，对特征的选择和提取主要分为自治系统路径特征和数量特征两大类，总计45个特征，根据时间戳将BGP更新包数据以特征序列的形式进行持久化存储，并根据异常事件发生的时间段自动添加异常标签，构建实验数据集；
S3：模型训练：将上述处理好的实验数据集输入到BGP异常检测模型，经过时间序列的STL(Seasonal and Trend decomposition using Loess)分解和滑动窗口的数据增强处理，突出数据的趋势和季节性，基于特征和基于时序的图注意力网络(GraphAttentionNetworks，GAT)从特征关系和时间依赖的新颖角度提取数据特征，凭借长短期记忆网络(Long-Short Term Memory，LSTM)分类器自主学习训练后得到预训练模型；
S4：模型预测：将新的异常事件处理为输入数据的格式，输入到预训练模型，实现对未知事件的预测以及不同的评估指标。
优选的，所述步骤S1中：
S1.1：获取异常互联网事件时间范围及区域表，为了最小化存储和计算需求，短时间异常事件周期为五天：事件发生前两天和事件发生后两天以及异常事件持续时间内的当天；
S1.2：利用自动获取数据程序从Route Views和RIPE NCC这两个组织按时间顺序区域范围收集和存储BGP更新报文数据；
S1.3：在本方法中，主要涉及类型为蠕虫攻击的Code Red I(2001.07.19-2001.07.20)事件、Nimda(2001.09.15-2001.09.23)事件、Slammer(2003.01.23-2003.01.27)事件，类型为设备故障的Moscow Blackout(2005.05.23-2005.05.27)事件，类型为错误配置的Malaysian Telecom(2015.06.10-2015.06.14)事件，该五个异常事件数据集分别从RIPE NCC平台的rrc04、rrc05收集者处获取，这两个收集者分别位于日内瓦、维也纳；
S1.4：收集到的BGP更新数据包以多线程路由工具包(Multi-threaded RoutingToolkit，MRT)的二进制格式存储，解析工具将MRT文件转换为ASCII格式，将转化后的文件按原有顺序进行持久化存储。
优选的，所述步骤S2中：
S2.1：解析后的BGP更新数据包报文头中不同字段包含该数据包对应的不同信息和特征；
S2.2：从上述五个异常事件中以1分钟为间隔收集收集数据中提取的各种信息，可从中提取和总结出45个相关特征，这些特征主要分为自治系统路径特征和数量特征两类；
S2.3：将45个特征值按时间戳的顺序进行存储，每个时间戳下的数据被当作是一个样本，并根据异常事件发生的时间段，对每个样本添加标签，正常样本的标签为0，异常样本的标签为1，最后，将不同的互联网异常事件转化为多变量时序数据集。
优选的，所述步骤S3中：
S3.1：BGP异常检测即多变量时间序列异常检测，其输入可表示为
Figure BDA0003366196530000041
其中n代表时间戳的最大长度，也代表样本的数量，k代表每个样本的输入特征数，也可以用序列
Figure BDA0003366196530000051
表示，然后
Figure BDA0003366196530000052
代表所有n个输入样本的输出向量，yi∈{0,1}代表第i个时间戳的样本是正常样本还是异常样本；
S3.2：滑动窗口是一种从原始时间序列中按顺序提取固定窗口大小的子样本方法，该方法常用于数据流挖掘，从历史流量中获取信息，从模型的角度来看，利用滑动窗口在原始时间序列数据集上扩展了特征维数更多的强相关数据集，并通过增强数据来提高模型训练的分类器的分类性能；滑动窗口的大小为可调参数m，该窗口每次以1的步幅从头到尾遍历整个初始时间序列，形成一系列新的多样本时间序列，单个窗口的构成形如
Figure BDA0003366196530000053
其中
Figure BDA0003366196530000054
对应的是第(i-1)个时间戳的样本数据，新序列数据集对应的标签等于每个序列中所有时间样本频率最高的标签，至此，构成了经过滑动窗口增强后的新序列数据集
Figure BDA0003366196530000055
S3.3：STL分解法是以鲁棒局部加权回归作为平滑方法的时间序列分解方法，将上一部分的新序列数据
Figure BDA0003366196530000056
经过STL分解法分解后，得到5个不同角度的同样维度的新数据集，进行拼接来扩展数据集的特征维度，再一次实现数据的增强，得到新的序列数据集
Figure BDA0003366196530000057
其中，n代表初始总样本数，m代表滑动窗口大小，5k代表每一个新的样本的特征数量从最初的k个变为5k个；
S3.4：GAT层能够对任意图中的节点之间的关系进行建模，一般来说，给定一个有n个节点的图，即v1，v2，…，vn，其中vi为第i个节点的特征向量，GAT层计算每个节点的输出表示形式如试下：
Figure BDA0003366196530000058
式中hi为节点i的输出表示形式，与输入vi具有相同的形状，σ(·)为激活函数，αij为注意力分数，衡量节点j对节点i的贡献，其中j是节点i的一个相邻节点，L为节点i的相邻节点总数；式(1)中注意力分数αij可以由下列公式计算：
Figure BDA0003366196530000061
Figure BDA0003366196530000062
其中
Figure BDA0003366196530000063
表示两个节点的级联，
Figure BDA0003366196530000064
为参数可学习的列向量，其中m为每个节点特征向量的维数，LeakyReLU(·)为非线性激活函数；
S3.5：新的多变量时间序列异常数据集输入GAT层即为将每一个窗口内的样本分别经过面向特征的图注意力层和面向时间的图注意力层，面向特征即为每一个特征代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，面向时间即为每一个样本代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，每个窗口构成的数据样本经过两类图注意力层后的输出形状都为n×5k，再拼接上不经过图注意力层的初始输入，得到最终的输出形状为n×15k；
S3.6：LSTM因其特殊的结构设计使其能够避免长期依赖问题，LSTM的关键是细胞状态，表示为Ct，LSTM特别设计了多个“门”来引入或删除细胞状态Ct中的信息，保留当前LSTM的状态信息并传递给下一时刻的LSTM；LSTM主要由遗忘门、记忆门和输出门三种不同的门结构组成，分别用于控制LSTM的信息保留和传输，最终反映到细胞状态和输出信号中，遗忘门，是用来“忘记”一些不必要的信息，记忆门的作用与遗忘门相反，用来决定新输入的信息xt和ht-1将被保留的部分，输出门将经过了遗忘门和记忆门选择的细胞状态Ct-1，与t-1时刻的输出信号ht-1和t时刻的输入信号xt的集合作为当前时刻的输出信号，这三个过程可以通过以下公式4-9实现：
ft＝σ(Wf·[ht-1,xt]+bf) (4)
it＝σ(Wi·[ht-1,xt]+bi) (5)
Figure BDA0003366196530000065
Figure BDA0003366196530000071
ot＝σ(Wo·[ht-1，xt]+bo) (8)
ht＝ot*tanh(Ct) (9)
其中，Wα，bα，α∈{f，i,c，o}为可训练权重矩阵和偏差向量，σ(·)和tanh(·)分别为Sigmoid函数和tanh函数，最终，得到对应的输出；
S3.7：图注意力层后拼接的形状为n×15k的数据作为LSTM的输入，将会得到相应的输出ht，最后，通过激活函数Softmax，可以得到数据样本的分类预测结果向量ypred，通过使用交叉熵损失函数实现预测结果与真实标签的差异值来优化模型和确定每层的参数，损失函数具体为：
Figure BDA0003366196530000072
其中，y是真实标签，w是损失函数矩阵；
S3.8：完成训练，保存最优训练模型。
优选的，所述步骤S4中：
S4.1：将提出的系统分别对五个异常事件数据集进行五次实验，每一次将一个不同的数据集作为测试集，其他四个数据集作为验证集，进行最优参数下的模型训练及验证；
S4.2：通过训练已知事件的数据，实现对未知事件的异常检测；
S4.3：将预测结果同真实标签进行比较，计算精准率、精确率、召回率，评估方法。
实现本发明的一种基于图注意力网络的BGP异常检测方法的系统，包括：数据获取模块，特征提取模块，模型训练模块和模型预测模块；
所述数据获取模块，根据特定时间段和特定范围从公开互联网项目平台获取BGP更新数据包后，进行解析和存储；
所述特征提取模块，根据一定的提取频率将BGP更新数据转化为不同时间点的类型分别为自治系统路径特征和数量特征的总共45个特征，对每个数据样本生成对应标签后，即实现互联网异常事件到多变量时间序列数据集的过程；
所述模型训练模块将数据集经过滑动窗口，时间序列的STL分解的增强后，使用基于特征的GAT和基于时序的GAT发掘特征关系和时间依赖，最后将LSTM得到的输出通过Softmax层转化为概率分布，通过交叉熵损失函数，以减小预测结果同实际结果的误差值为目的对模型进行训练，多次迭代后直到模型训练达到稳定，保存模型；
所述模型预测模块，将已知事件数据集作为模型的训练样本，将未训练数据集作为测试样本，评估模型对未知异常事件的异常情况的检测性能，该模块也可直接用于实际应用。
本发明构建了五个网络异常事件数据集，通过STL关注数据的趋势性和季节性，并首次应用GAT模型关注特征关系和时间依赖，大幅提升性能，更好的实现对异常情况的捕获和在未知事件中的实用性和高效性。
本发明的有益效果为：
(1)本发明首次提出了一种多变量时间序列BGP异常检测模型，在每个滑动窗口中，我们既关注样本数据的局部信息，也关注基于特征和基于时间序列的样本之间的交互信息，最后，通过简单的分类器，可以获得稳定而优良的分类结果；
(2)本发明在值钱发明研究的少量数据集的基础上，我们将BGP异常事件扩展到5个包含多种类型的数据集，通过与许多先进的方法的比较，我们的系统在大多数均衡的样本数据集上表现出了良好和稳定的性能，F1的得分普遍在90％以上，在更接近真实情况的不均衡样本上，我们的模型同样能够在异常样本的检测上获得较高的F1分数；
(3)本发明通过一系列消融实验，证明了数据增强方法(滑动窗口和时间序列的STL分解)和多维视角(基于特征的GAT和基于时间的GAT)对提高异常检测性能有显著的效果。
(4)最后，我们还针对BGP异常事件进行了预测任务评估，并将其扩展到未知事件的异常识别，以突出我们模型在真实应用场景的稳定性能。
附图说明
图1是本发明的结构流程图。
图2是本发明的系统模块连接图。
图3是模型的所构成的网络整体结构。
具体实施方式
本发明为了考虑传统BGP异常检测系统将异常样本当作独立样本，用传统机器学习方法通过众多特征进行分类实现异常检测，却忽略了异常事件作为时序数据在时间维度上的重要特性这一重要问题，解决这一将特征维度和时间维度同时考虑而提升BGP异常检测性能问题，本发明中基于不同时间、不同区域、不同类型提取了五个互联网异常事件数据，开发了一个新的基于图注意力网络(GAT)的BGP异常检测系统。该系统在对事件数据集进行滑动窗口和STL分解的基础上，分别通过基于特征的图注意力网络和基于时序的图注意力网络，实现对特征关系和时间依赖的捕捉，最后通过基础的LSTM模型即可实现从已知事件训练到对未知事件的准确预测，很大程度上提升了对异常情况的捕获以及在未知事件中的实用性和高效性。
本发明实现上述发明目的所采用的技术方案如下：
一种基于图注意力网络的BGP异常检测方法，包括以下步骤：
S1：数据获取：从公开互联网项目平台获取指定区域、指定时间段、指定自治系统的边界网关协议(Border Gateway Protocol，BGP)更新数据包，解析为可读格式并进行整理，得到多种异常事件数据集；
S2：特征提取：解析后的BGP更新数据包报文头中不同字段包含该数据包对应的不同信息和特征，对特征的选择和提取主要分为自治系统路径特征和数量特征两大类，总计45个特征，根据时间戳将BGP更新包数据以特征序列的形式进行持久化存储，并根据异常事件发生的时间段自动添加异常标签，构建实验数据集；
S3：模型训练：将上述处理好的实验数据集输入到BGP异常检测模型，经过时间序列的STL(Seasonal and Trend decomposition using Loess)分解和滑动窗口的数据增强处理，突出数据的趋势和季节性，基于特征和基于时序的图注意力网络(GraphAttentionNetworks，GAT)从特征关系和时间依赖的新颖角度提取数据特征，凭借长短期记忆网络(Long-Short Term Memory，LSTM)分类器自主学习训练后得到预训练模型；
S4：模型预测：将新的异常事件处理为输入数据的格式，输入到预训练模型，实现对未知事件的预测以及不同的评估指标。
所述步骤S1中：
S1.1：获取异常互联网事件时间范围及区域表，为了最小化存储和计算需求，短时间异常事件周期为五天：事件发生前两天和事件发生后两天以及异常事件持续时间内的当天；
S1.2：利用自动获取数据程序从Route Views和RIPE NCC这两个组织按时间顺序区域范围收集和存储BGP更新报文数据；
S1.3：在本方法中，主要涉及类型为蠕虫攻击的Code Red I(2001.07.19-2001.07.20)事件、Nimda(2001.09.15-2001.09.23)事件、Slammer(2003.01.23-2003.01.27)事件，类型为设备故障的Moscow Blackout(2005.05.23-2005.05.27)事件，类型为错误配置的Malaysian Telecom(2015.06.10-2015.06.14)事件，该五个异常事件数据集分别从RIPE NCC平台的rrc04、rrc05收集者处获取，这两个收集者分别位于日内瓦、维也纳；
S1.4：收集到的BGP更新数据包以多线程路由工具包(Multi-threaded RoutingToolkit，MRT)的二进制格式存储，解析工具将MRT文件转换为ASCII格式，将转化后的文件按原有顺序进行持久化存储。
所述步骤S2中：
S2.1：解析后的BGP更新数据包报文头中不同字段包含该数据包对应的不同信息和特征，具体信息如表1所示；
表1 BGP更新数据包信息
Figure BDA0003366196530000111
S2.2：从上述五个异常事件中以1分钟为间隔收集收集数据中提取的各种信息，可从中提取和总结出45个相关特征，这些特征主要分为自治系统路径特征和数量特征两类，所有的特征如表2所示；
表2 BGP异常检测特征表
Figure BDA0003366196530000112
Figure BDA0003366196530000121
S2.3：将45个特征值按时间戳的顺序进行存储，每个时间戳下的数据被当作是一个样本，并根据异常事件发生的时间段，对每个样本添加标签，正常样本的标签为0，异常样本的标签为1，最后，将不同的互联网异常事件转化为多变量时序数据集。
所述步骤S3中：
S3.1：BGP异常检测即多变量时间序列异常检测，其输入可表示为
Figure BDA0003366196530000122
其中n代表时间戳的最大长度，也代表样本的数量，k代表每个样本的输入特征数，也可以用序列
Figure BDA0003366196530000123
表示，然后
Figure BDA0003366196530000124
代表所有n个输入样本的输出向量，yi∈{0,1}代表第i个时间戳的样本是正常样本还是异常样本；
S3.2：滑动窗口是一种从原始时间序列中按顺序提取固定窗口大小的子样本方法，该方法常用于数据流挖掘，从历史流量中获取信息，从模型的角度来看，利用滑动窗口在原始时间序列数据集上扩展了特征维数更多的强相关数据集，并通过增强数据来提高模型训练的分类器的分类性能；滑动窗口的大小为可调参数m，该窗口每次以1的步幅从头到尾遍历整个初始时间序列，形成一系列新的多样本时间序列，单个窗口的构成形如
Figure BDA0003366196530000125
其中
Figure BDA0003366196530000126
对应的是第(i-1)个时间戳的样本数据，新序列数据集对应的标签等于每个序列中所有时间样本频率最高的标签，至此，构成了经过滑动窗口增强后的新序列数据集
Figure BDA0003366196530000131
S3.3：STL分解法是以鲁棒局部加权回归作为平滑方法的时间序列分解方法，将上一部分的新序列数据
Figure BDA0003366196530000132
经过STL分解法分解后，得到5个不同角度的同样维度的新数据集，进行拼接来扩展数据集的特征维度，再一次实现数据的增强，得到新的序列数据集
Figure BDA0003366196530000133
其中，n代表初始总样本数，m代表滑动窗口大小，5k代表每一个新的样本的特征数量从最初的k个变为5k个；
S3.4：GAT层能够对任意图中的节点之间的关系进行建模，一般来说，给定一个有n个节点的图，即v1,v2,…,vn，其中vi为第i个节点的特征向量，GAT层计算每个节点的输出表示形式如试下：
Figure BDA0003366196530000134
式中hi为节点i的输出表示形式，与输入vi具有相同的形状，σ(·)为激活函数，αij为注意力分数，衡量节点j对节点i的贡献，其中j是节点i的一个相邻节点，L为节点i的相邻节点总数；式(1)中注意力分数αij可以由下列公式计算：
Figure BDA0003366196530000135
Figure BDA0003366196530000136
其中
Figure BDA0003366196530000137
表示两个节点的级联，
Figure BDA0003366196530000138
为参数可学习的列向量，其中m为每个节点特征向量的维数，LeakyReLU(·)为非线性激活函数；
S3.5：新的多变量时间序列异常数据集输入GAT层即为将每一个窗口内的样本分别经过面向特征的图注意力层和面向时间的图注意力层，面向特征即为每一个特征代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，面向时间即为每一个样本代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，每个窗口构成的数据样本经过两类图注意力层后的输出形状都为n×5k，再拼接上不经过图注意力层的初始输入，得到最终的输出形状为n×15k；
S3.6：LSTM因其特殊的结构设计使其能够避免长期依赖问题，LSTM的关键是细胞状态，表示为Ct，LSTM特别设计了多个“门”来引入或删除细胞状态Ct中的信息，保留当前LSTM的状态信息并传递给下一时刻的LSTM；LSTM主要由遗忘门、记忆门和输出门三种不同的门结构组成，分别用于控制LSTM的信息保留和传输，最终反映到细胞状态和输出信号中，遗忘门，是用来“忘记”一些不必要的信息，记忆门的作用与遗忘门相反，用来决定新输入的信息xt和ht-1将被保留的部分，输出门将经过了遗忘门和记忆门选择的细胞状态Ct-1，与t-1时刻的输出信号ht-1和t时刻的输入信号xt的集合作为当前时刻的输出信号，这三个过程可以通过以下公式4-9实现：
ft＝σ(Wf·[ht-1,xt]+bf) (4)
it＝σ(Wi·[ht-1,xt]+bi) (5)
Figure BDA0003366196530000141
Figure BDA0003366196530000142
ot＝σ(Wo·[ht-1,xt]+bo) (8)
ht＝ot*tanh(Ct) (9)
其中，Wα,bα,α∈{f,i,c,o}为可训练权重矩阵和偏差向量，σ(·)和tanh(·)分别为Sigmoid函数和tanh函数，最终，得到对应的输出；
S3.7：图注意力层后拼接的形状为n×15k的数据作为LSTM的输入，将会得到相应的输出ht，最后，通过激活函数Softmax，可以得到数据样本的分类预测结果向量ypred，通过使用交叉熵损失函数实现预测结果与真实标签的差异值来优化模型和确定每层的参数，损失函数具体为：
Figure BDA0003366196530000151
其中，y是真实标签，w是损失函数矩阵；
S3.8：完成训练，保存最优训练模型。
所述步骤S4中：
S4.1：将提出的系统分别对五个异常事件数据集进行五次实验，每一次将一个不同的数据集作为测试集，其他四个数据集作为验证集，进行最优参数下的模型训练及验证；
S4.2：通过训练已知事件的数据，实现对未知事件的异常检测；
S4.3：将预测结果同真实标签进行比较，计算精准率、精确率、召回率，评估方法。
实现本发明的一种基于图注意力网络的BGP异常检测方法的系统，包括：数据获取模块，特征提取模块，模型训练模块和模型预测模块；
所述数据获取模块，根据特定时间段和特定范围从公开互联网项目平台获取BGP更新数据包后，进行解析和存储，具体包括：
S1.1：获取异常互联网事件时间范围及区域表，为了最小化存储和计算需求，短时间异常事件周期为五天：事件发生前两天和事件发生后两天以及异常事件持续时间内的当天；
S1.2：利用自动获取数据程序从Route Views和RIPE NCC这两个组织按时间顺序区域范围收集和存储BGP更新报文数据；
S1.3：在本方法中，主要涉及类型为蠕虫攻击的Code Red I(2001.07.19-2001.07.20)事件、Nimda(2001.09.15-2001.09.23)事件、Slammer(2003.01.23-2003.01.27)事件，类型为设备故障的Moscow Blackout(2005.05.23-2005.05.27)事件，类型为错误配置的Malaysian Telecom(2015.06.10-2015.06.14)事件，该五个异常事件数据集分别从RIPE NCC平台的rrc04、rrc05收集者处获取，这两个收集者分别位于日内瓦、维也纳；
S1.4：收集到的BGP更新数据包以多线程路由工具包(Multi-threaded RoutingToolkit，MRT)的二进制格式存储，解析工具将MRT文件转换为ASCII格式，将转化后的文件按原有顺序进行持久化存储。
所述特征提取模块，根据一定的提取频率将BGP更新数据转化为不同时间点的类型分别为自治系统路径特征和数量特征的总共45个特征，对每个数据样本生成对应标签后，即实现互联网异常事件到多变量时间序列数据集的过程，具体包括：
S2.1：解析后的BGP更新数据包报文头中不同字段包含该数据包对应的不同信息和特征，具体信息如表1所示；
S2.2：从上述五个异常事件中以1分钟为间隔收集收集数据中提取的各种信息，可从中提取和总结出45个相关特征，这些特征主要分为自治系统路径特征和数量特征两类，所有的特征如表2所示；
S2.3：将45个特征值按时间戳的顺序进行存储，每个时间戳下的数据被当作是一个样本，并根据异常事件发生的时间段，对每个样本添加标签，正常样本的标签为0，异常样本的标签为1，最后，将不同的互联网异常事件转化为多变量时序数据集。
所述模型训练模块将数据集经过滑动窗口，时间序列的STL分解的增强后，使用基于特征的GAT和基于时序的GAT发掘特征关系和时间依赖，最后将LSTM得到的输出通过Softmax层转化为概率分布，通过交叉熵损失函数，以减小预测结果同实际结果的误差值为目的对模型进行训练，多次迭代后直到模型训练达到稳定，保存模型，具体包括：
S3.1：BGP异常检测即多变量时间序列异常检测，其输入可表示为
Figure BDA0003366196530000161
其中n代表时间戳的最大长度，也代表样本的数量，k代表每个样本的输入特征数，也可以用序列
Figure BDA0003366196530000171
表示，然后
Figure BDA0003366196530000172
代表所有n个输入样本的输出向量，yi∈{0,1}代表第i个时间戳的样本是正常样本还是异常样本；
S3.2：滑动窗口是一种从原始时间序列中按顺序提取固定窗口大小的子样本方法，该方法常用于数据流挖掘，从历史流量中获取信息，从模型的角度来看，利用滑动窗口在原始时间序列数据集上扩展了特征维数更多的强相关数据集，并通过增强数据来提高模型训练的分类器的分类性能；滑动窗口的大小为可调参数m，该窗口每次以1的步幅从头到尾遍历整个初始时间序列，形成一系列新的多样本时间序列，单个窗口的构成形如
Figure BDA0003366196530000173
其中
Figure BDA0003366196530000174
对应的是第(i-1)个时间戳的样本数据，新序列数据集对应的标签等于每个序列中所有时间样本频率最高的标签，至此，构成了经过滑动窗口增强后的新序列数据集
Figure BDA0003366196530000175
S3.3：STL分解法是以鲁棒局部加权回归作为平滑方法的时间序列分解方法，将上一部分的新序列数据
Figure BDA0003366196530000176
经过STL分解法分解后，得到5个不同角度的同样维度的新数据集，进行拼接来扩展数据集的特征维度，再一次实现数据的增强，得到新的序列数据集
Figure BDA0003366196530000177
其中，n代表初始总样本数，m代表滑动窗口大小，5k代表每一个新的样本的特征数量从最初的k个变为5k个；
S3.4：GAT层能够对任意图中的节点之间的关系进行建模，一般来说，给定一个有n个节点的图，即v1,v2,…,vn，其中vi为第i个节点的特征向量，GAT层计算每个节点的输出表示形式如试下：
Figure BDA0003366196530000178
式中hi为节点i的输出表示形式，与输入vi具有相同的形状，σ(·)为激活函数，αij为注意力分数，衡量节点j对节点i的贡献，其中j是节点i的一个相邻节点，L为节点i的相邻节点总数；式(1)中注意力分数αij可以由下列公式计算：
Figure BDA0003366196530000181
Figure BDA0003366196530000182
其中
Figure BDA0003366196530000183
表示两个节点的级联，
Figure BDA0003366196530000184
为参数可学习的列向量，其中m为每个节点特征向量的维数，LeakyReLU(·)为非线性激活函数；
S3.5：新的多变量时间序列异常数据集输入GAT层即为将每一个窗口内的样本分别经过面向特征的图注意力层和面向时间的图注意力层，面向特征即为每一个特征代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，面向时间即为每一个样本代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，每个窗口构成的数据样本经过两类图注意力层后的输出形状都为n×5k，再拼接上不经过图注意力层的初始输入，得到最终的输出形状为n×15k；
S3.6：LSTM因其特殊的结构设计使其能够避免长期依赖问题，LSTM的关键是细胞状态，表示为Ct，LSTM特别设计了多个“门”来引入或删除细胞状态Ct中的信息，保留当前LSTM的状态信息并传递给下一时刻的LSTM；LSTM主要由遗忘门、记忆门和输出门三种不同的门结构组成，分别用于控制LSTM的信息保留和传输，最终反映到细胞状态和输出信号中，遗忘门，是用来“忘记”一些不必要的信息，记忆门的作用与遗忘门相反，用来决定新输入的信息xt和ht-1将被保留的部分，输出门将经过了遗忘门和记忆门选择的细胞状态Ct-1，与t-1时刻的输出信号ht-1和t时刻的输入信号xt的集合作为当前时刻的输出信号，这三个过程可以通过以下公式4-9实现：
ft＝σ(Wf·[ht-1,xt]+bf) (4)
it＝σ(Wi·[ht-1,xt]+bi) (5)
Figure BDA0003366196530000191
Figure BDA0003366196530000192
ot＝σ(Wo·[ht-1,xt]+bo) (8)
ht＝ot*tanh(Ct) (9)
其中，Wα,bα,α∈{f,i,c,o}为可训练权重矩阵和偏差向量，σ(·)和tanh(·)分别为Sigmoid函数和tanh函数，最终，得到对应的输出；
S3.7：图注意力层后拼接的形状为n×15k的数据作为LSTM的输入，将会得到相应的输出ht，最后，通过激活函数Softmax，可以得到数据样本的分类预测结果向量ypred，通过使用交叉熵损失函数实现预测结果与真实标签的差异值来优化模型和确定每层的参数，损失函数具体为：
Figure BDA0003366196530000193
其中，y是真实标签，w是损失函数矩阵；
S3.8：完成训练，保存最优训练模型。
所述模型预测模块，将已知事件数据集作为模型的训练样本，将未训练数据集作为测试样本，评估模型对未知异常事件的异常情况的检测性能，该模块也可直接用于实际应用，具体包括：
S4.1：将提出的系统分别对五个异常事件数据集进行五次实验，每一次将一个不同的数据集作为测试集，其他四个数据集作为验证集，进行最优参数下的模型训练及验证；
S4.2：通过训练已知事件的数据，实现对未知事件的异常检测；
S4.3：将预测结果同真实标签进行比较，计算精准率、精确率、召回率，评估方法。
所述的数据获取模块，特征提取模块，模型训练模块和模型预测模块按先后顺序依次连接。
如上所述为本发明以互联网异常事件作为数据集，此数据集来自于互联网通信所必须的边界网关协议(BGP)下产生的BGP更新数据包，可用于构建指定时间段和地理区域内的多变量时间序列数据并再应用于互联网安全。因此在对数据获取和解析后，构建包含蠕虫攻击、设备故障、错误配置这三种类型的五个实验数据集，然后生成对应特征，将将数据向量输入到本系统之中，进行迭代训练，得到对实验集、验证集和测试集在精准率、精确率、召回率等指标上都优异的模型。如表3所示：
表3不同模型BGP异常检测结果表
Figure BDA0003366196530000201
在将我们的系统同其它几个模型的实验性能比较后，可以看出本发明的方法，在单个数据集内部表现出来的性能上面几乎全部是最好的，然后该系统也对未知数据集进行了异常检测实验，引入两个新数据，其实验结果如表4所示：
表4未知异常事件预测结果表
Figure BDA0003366196530000211
从表2中可以很明显看出，我们的发明在对未知事件的异常检测上，检测出异常的准确率都在90％以上，再一次从实际应用的角度上，证明了我们的发明的优越性能及其实用性。
本说明书实施例所述的内容仅仅是对发明构思的实现形式的列举，本发明的保护范围不应当被视为仅限于实施例所陈述的具体形式，本发明的保护范围也及于本领域技术人员根据本发明构思所能够想到的等同技术手段。

Claims (6)

1.一种基于图注意力网络的BGP异常检测方法，其特征在于，包括以下步骤：
S1：数据获取：从公开互联网项目平台获取指定区域、指定时间段、指定自治系统的边界网关协议(Border Gateway Protocol，BGP)更新数据包，解析为可读格式并进行整理，得到多种异常事件数据集；
S2：特征提取：解析后的BGP更新数据包报文头中不同字段包含该数据包对应的不同信息和特征，对特征的选择和提取主要分为自治系统路径特征和数量特征两大类，总计45个特征，根据时间戳将BGP更新包数据以特征序列的形式进行持久化存储，并根据异常事件发生的时间段自动添加异常标签，构建实验数据集；
S3：模型训练：将上述处理好的实验数据集输入到BGP异常检测模型，经过时间序列的STL(Seasonal and Trend decomposition using Loess)分解和滑动窗口的数据增强处理，突出数据的趋势和季节性，基于特征和基于时序的图注意力网络(Graph AttentionNetworks，GAT)从特征关系和时间依赖的新颖角度提取数据特征，凭借长短期记忆网络(Long-Short Term Memory，LSTM)分类器自主学习训练后得到预训练模型；
S4：模型预测：将新的异常事件处理为输入数据的格式，输入到预训练模型，实现对未知事件的预测以及不同的评估指标。
2.如权利要求1所述的一种基于图注意力网络的BGP异常检测方法，其特征在于：所述步骤S1具体包括：
S1.1：获取异常互联网事件时间范围及区域表，为了最小化存储和计算需求，短时间异常事件周期为五天：事件发生前两天和事件发生后两天以及异常事件持续时间内的当天；
S1.2：利用自动获取数据程序从Route Views和RIPE NCC这两个组织按时间顺序区域范围收集和存储BGP更新报文数据；
S1.3：在本方法中，主要涉及类型为蠕虫攻击的Code Red I(2001.07.19-2001.07.20)事件、Nimda(2001.09.15-2001.09.23)事件、Slammer(2003.01.23-2003.01.27)事件，类型为设备故障的Moscow Blackout(2005.05.23-2005.05.27)事件，类型为错误配置的Malaysian Telecom(2015.06.10-2015.06.14)事件，该五个异常事件数据集分别从RIPENCC平台的rrc04、rrc05收集者处获取，这两个收集者分别位于日内瓦、维也纳；
S1.4：收集到的BGP更新数据包以多线程路由工具包(Multi-threaded RoutingToolkit，MRT)的二进制格式存储，解析工具将MRT文件转换为ASCII格式，将转化后的文件按原有顺序进行持久化存储。
3.如权利要求1所述的一种基于图注意力网络的BGP异常检测方法，其特征在于：所述步骤S2具体包括：
S2.1：解析后的BGP更新数据包报文头中不同字段包含该数据包对应的不同信息和特征；
S2.2：从上述五个异常事件中以1分钟为间隔收集收集数据中提取的各种信息，可从中提取和总结出45个相关特征，这些特征主要分为自治系统路径特征和数量特征两类；
S2.3：将45个特征值按时间戳的顺序进行存储，每个时间戳下的数据被当作是一个样本，并根据异常事件发生的时间段，对每个样本添加标签，正常样本的标签为0，异常样本的标签为1，最后，将不同的互联网异常事件转化为多变量时序数据集。
4.如权利要求1所述的一种基于图注意力网络的BGP异常检测方法，其特征在于：所述步骤S3具体包括：
S3.1：BGP异常检测即多变量时间序列异常检测，其输入可表示为
Figure FDA0003366196520000031
其中n代表时间戳的最大长度，也代表样本的数量，k代表每个样本的输入特征数，也可以用序列
Figure FDA0003366196520000032
表示，然后
Figure FDA0003366196520000033
Figure FDA0003366196520000034
代表所有n个输入样本的输出向量，yi∈{0，1}代表第i个时间戳的样本是正常样本还是异常样本；
S3.2：滑动窗口是一种从原始时间序列中按顺序提取固定窗口大小的子样本方法，该方法常用于数据流挖掘，从历史流量中获取信息，从模型的角度来看，利用滑动窗口在原始时间序列数据集上扩展了特征维数更多的强相关数据集，并通过增强数据来提高模型训练的分类器的分类性能；滑动窗口的大小为可调参数m，该窗口每次以1的步幅从头到尾遍历整个初始时间序列，形成一系列新的多样本时间序列，单个窗口的构成形如
Figure FDA0003366196520000035
其中
Figure FDA0003366196520000036
对应的是第(i-1)个时间戳的样本数据，新序列数据集对应的标签等于每个序列中所有时间样本频率最高的标签，至此，构成了经过滑动窗口增强后的新序列数据集
Figure FDA0003366196520000037
S3.3：STL分解法是以鲁棒局部加权回归作为平滑方法的时间序列分解方法，将上一部分的新序列数据
Figure FDA0003366196520000038
经过STL分解法分解后，得到5个不同角度的同样维度的新数据集，进行拼接来扩展数据集的特征维度，再一次实现数据的增强，得到新的序列数据集
Figure FDA0003366196520000041
Figure FDA0003366196520000042
其中，n代表初始总样本数，m代表滑动窗口大小，5k代表每一个新的样本的特征数量从最初的k个变为5k个；
S3.4：GAT层能够对任意图中的节点之间的关系进行建模，一般来说，给定一个有n个节点的图，即v1，v2，...，vn，其中vi为第i个节点的特征向量，GAT层计算每个节点的输出表示形式如试下：
Figure FDA0003366196520000043
式中hi为节点i的输出表示形式，与输入vi具有相同的形状，σ(·)为激活函数，αij为注意力分数，衡量节点j对节点i的贡献，其中j是节点i的一个相邻节点，L为节点i的相邻节点总数；式(1)中注意力分数αij可以由下列公式计算：
Figure FDA0003366196520000044
Figure FDA0003366196520000045
其中
Figure FDA0003366196520000046
表示两个节点的级联，
Figure FDA0003366196520000047
为参数可学习的列向量，其中m为每个节点特征向量的维数，LeakyReLU(·)为非线性激活函数；
S3.5：新的多变量时间序列异常数据集输入GAT层即为将每一个窗口内的样本分别经过面向特征的图注意力层和面向时间的图注意力层，面向特征即为每一个特征代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，面向时间即为每一个样本代表一个节点进行构建网络，求解节点之间的权重而更新窗口中的所有样本数据，每个窗口构成的数据样本经过两类图注意力层后的输出形状都为n×5k，再拼接上不经过图注意力层的初始输入，得到最终的输出形状为n×15k；
S3.6：LSTM因其特殊的结构设计使其能够避免长期依赖问题，LSTM的关键是细胞状态，表示为Ct，LSTM特别设计了多个“门”来引入或删除细胞状态Ct中的信息，保留当前LSTM的状态信息并传递给下一时刻的LSTM；LSTM主要由遗忘门、记忆门和输出门三种不同的门结构组成，分别用于控制LSTM的信息保留和传输，最终反映到细胞状态和输出信号中，遗忘门，是用来“忘记”一些不必要的信息，记忆门的作用与遗忘门相反，用来决定新输入的信息xt和ht-1将被保留的部分，输出门将经过了遗忘门和记忆门选择的细胞状态Ct-1，与t-1时刻的输出信号ht-1和t时刻的输入信号xt的集合作为当前时刻的输出信号，这三个过程可以通过以下公式4-9实现：
ft＝σ(Wf·[ht-1，xt]+bf) (4)
it＝σ(Wi·[ht-1，xt]+bi) (5)
Figure FDA0003366196520000051
Figure FDA0003366196520000052
0t＝σ(Wo·[ht-1，xt]+bo) (8)
ht＝ot*tanh(Ct) (9)
其中，Wα，bα，α∈{f，i，c，o}为可训练权重矩阵和偏差向量，σ(·)和tanh(·)分别为Sigmoid函数和tanh函数，最终，得到对应的输出；
S3.7：图注意力层后拼接的形状为n×15k的数据作为LSTM的输入，将会得到相应的输出ht，最后，通过激活函数Softmax，可以得到数据样本的分类预测结果向量ypred，通过使用交叉熵损失函数实现预测结果与真实标签的差异值来优化模型和确定每层的参数，损失函数具体为：
Figure FDA0003366196520000061
其中，y是真实标签，w是损失函数矩阵；
S3.8：完成训练，保存最优训练模型。
5.如权利要求1所述的一种基于图注意力网络的BGP异常检测方法，其特征在于：所述步骤S4具体包括：
S4.1：用提出的方法分别对五个异常事件数据集进行五次实验，每一次将一个不同的数据集作为测试集，其他四个数据集作为验证集，进行最优参数下的模型训练及验证；
S4.2：通过训练已知事件的数据，实现对未知事件的异常检测；
S4.3：将预测结果同真实标签进行比较，计算精度，查准率，查全率，评估方法。
6.实现如权利要求1所述的一种基于图注意力网络的BGP异常检测方法的系统，其特征在于：包括按先后顺序依次连接的数据获取模块，特征提取模块，模型训练模块和模型预测模块；
所述数据获取模块，根据特定时间段和特定范围从公开互联网项目平台获取BGP更新数据包后，进行解析和存储；
所述特征提取模块，根据一定的提取频率将BGP更新数据转化为不同时间点的类型分别为自治系统路径特征和数量特征的总共45个特征，对每个数据样本生成对应标签后，即实现互联网异常事件到多变量时间序列数据集的过程；
所述模型训练模块将数据集经过滑动窗口，时间序列的STL分解的增强后，使用基于特征的GAT和基于时序的GAT发掘特征关系和时间依赖，最后将LSTM得到的输出通过Softmax层转化为概率分布，通过交叉熵损失函数，以减小预测结果同实际结果的误差值为目的对模型进行训练，多次迭代后直到模型训练达到稳定，保存模型；
所述模型预测模块，将已知事件数据集作为模型的训练样本，将未训练数据集作为测试样本，评估模型对未知异常事件的异常情况的检测性能，该模块也可直接用于实际应用。
CN202111382680.4A 2021-11-22 2021-11-22 一种基于图注意力网络的bgp异常检测方法及系统 Withdrawn CN114221790A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111382680.4A CN114221790A (zh) 2021-11-22 2021-11-22 一种基于图注意力网络的bgp异常检测方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111382680.4A CN114221790A (zh) 2021-11-22 2021-11-22 一种基于图注意力网络的bgp异常检测方法及系统

Publications (1)

Publication Number Publication Date
CN114221790A true CN114221790A (zh) 2022-03-22

Family

ID=80697660

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111382680.4A Withdrawn CN114221790A (zh) 2021-11-22 2021-11-22 一种基于图注意力网络的bgp异常检测方法及系统

Country Status (1)

Country Link
CN (1) CN114221790A (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114900441A (zh) * 2022-04-29 2022-08-12 华为技术有限公司 网络性能预测方法，性能预测模型训练方法及相关装置
CN115018012A (zh) * 2022-07-21 2022-09-06 北京航空航天大学 一种高维度特性下的物联网时间序列异常检测方法及系统
CN115348115A (zh) * 2022-10-19 2022-11-15 广州优刻谷科技有限公司 智能家居的攻击预测模型训练方法、攻击预测方法及系统
CN115758173A (zh) * 2022-11-16 2023-03-07 西华大学 基于并联图注意力网络的云平台系统异常检测方法及装置
CN115983087A (zh) * 2022-09-16 2023-04-18 山东财经大学 一种注意力机制与lstm结合检测时序数据异常方法及终端机
CN116204784A (zh) * 2022-12-30 2023-06-02 成都天仁民防科技有限公司 一种基于das的地铁隧道外部危害作业入侵识别方法
WO2024000852A1 (zh) * 2022-06-29 2024-01-04 深圳前海微众银行股份有限公司 数据处理方法、装置、设备及存储介质
CN117688558A (zh) * 2024-02-01 2024-03-12 杭州海康威视数字技术股份有限公司 基于微结构异常事件的终端攻击轻量检测方法及设备
CN117951695A (zh) * 2024-03-27 2024-04-30 南京中科齐信科技有限公司 一种工业未知威胁检测方法及系统

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114900441A (zh) * 2022-04-29 2022-08-12 华为技术有限公司 网络性能预测方法，性能预测模型训练方法及相关装置
CN114900441B (zh) * 2022-04-29 2024-04-26 华为技术有限公司 网络性能预测方法，性能预测模型训练方法及相关装置
WO2024000852A1 (zh) * 2022-06-29 2024-01-04 深圳前海微众银行股份有限公司 数据处理方法、装置、设备及存储介质
CN115018012A (zh) * 2022-07-21 2022-09-06 北京航空航天大学 一种高维度特性下的物联网时间序列异常检测方法及系统
CN115983087B (zh) * 2022-09-16 2023-10-13 山东财经大学 一种注意力机制与lstm结合检测时序数据异常方法及终端机
CN115983087A (zh) * 2022-09-16 2023-04-18 山东财经大学 一种注意力机制与lstm结合检测时序数据异常方法及终端机
CN115348115A (zh) * 2022-10-19 2022-11-15 广州优刻谷科技有限公司 智能家居的攻击预测模型训练方法、攻击预测方法及系统
CN115348115B (zh) * 2022-10-19 2022-12-20 广州优刻谷科技有限公司 智能家居的攻击预测模型训练方法、攻击预测方法及系统
CN115758173A (zh) * 2022-11-16 2023-03-07 西华大学 基于并联图注意力网络的云平台系统异常检测方法及装置
CN115758173B (zh) * 2022-11-16 2023-09-26 西华大学 基于并联图注意力网络的云平台系统异常检测方法及装置
CN116204784B (zh) * 2022-12-30 2023-09-08 成都天仁民防科技有限公司 一种基于das的地铁隧道外部危害作业入侵识别方法
CN116204784A (zh) * 2022-12-30 2023-06-02 成都天仁民防科技有限公司 一种基于das的地铁隧道外部危害作业入侵识别方法
CN117688558A (zh) * 2024-02-01 2024-03-12 杭州海康威视数字技术股份有限公司 基于微结构异常事件的终端攻击轻量检测方法及设备
CN117688558B (zh) * 2024-02-01 2024-05-07 杭州海康威视数字技术股份有限公司 基于微结构异常事件的终端攻击轻量检测方法及设备
CN117951695A (zh) * 2024-03-27 2024-04-30 南京中科齐信科技有限公司 一种工业未知威胁检测方法及系统
CN117951695B (zh) * 2024-03-27 2024-06-11 南京中科齐信科技有限公司 一种工业未知威胁检测方法及系统

Similar Documents

Publication Publication Date Title
CN114221790A (zh) 一种基于图注意力网络的bgp异常检测方法及系统
CN109284606B (zh) 基于经验特征与卷积神经网络的数据流异常检测系统
CN111031051B (zh) 一种网络流量异常检测方法及装置、介质
CN111833172A (zh) 一种基于孤立森林的消费信贷欺诈行为检测方法及其系统
US11512864B2 (en) Deep spatial-temporal similarity method for air quality prediction
CN109327480B (zh) 一种多步攻击场景挖掘方法
CN108768986A (zh) 一种加密流量分类方法及服务器、计算机可读存储介质
CN111008337B (zh) 一种基于三元特征的深度注意力谣言鉴别方法及装置
CN110990718B (zh) 一种公司形象提升系统的社会网络模型构建模块
CN109583588B (zh) 一种短期风速预测方法及系统
CN116527346A (zh) 基于深度学习图神经网络理论的威胁节点感知方法
CN114124734B (zh) 一种基于GCN-Transformer集成模型的网络流量预测方法
CN115238773A (zh) 异质图元路径自动评估的恶意账号检测方法及装置
CN116170237B (zh) 一种融合gnn和acgan的入侵检测方法
CN116467720A (zh) 一种基于图神经网络的智能合约漏洞检测方法及电子设备
CN116318925A (zh) 一种多cnn融合入侵检测方法、系统、介质、设备及终端
CN113852612B (zh) 一种基于随机森林的网络入侵检测方法
CN115175192A (zh) 一种基于图神经网络的车联网入侵检测方法
CN114722920A (zh) 一种基于图分类的深度图卷积模型钓鱼账户识别方法
CN114912927A (zh) 一种区块链反诈骗分析方法及系统
CN114519605A (zh) 广告点击欺诈检测方法、系统、服务器和存储介质
CN114492552A (zh) 宽带用户真实性判断模型的训练方法、装置及设备
CN118611914A (zh) 一种基于机器学习技术的网络入检测方法
JP4780670B2 (ja) トラヒック分析モデルの構築方法、装置および構築プログラムならびにその記憶媒体
CN117544364A (zh) 一种网络攻击分类的图卷积神经网络解决方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication

Application publication date: 20220322

WW01 Invention patent application withdrawn after publication