CN114358097A - 基于深度神经网络dnn的入侵检测方法、装置及可读存储介质 - Google Patents

Abstract

本公开实施例提供了一种基于深度神经网络DNN的入侵检测方法、装置及可读存储介质，可以用于解决数据集不平衡性问题，而且集成模型对样本的分类具有较高的检测率。本公开实施例包括：获取网络数据的每一维特征的数据分布；根据所述数据分布进行数据采样，得到训练数据集；利用所述训练数据集对n个深度神经网络进行分类训练，得到n个DNN分类器，其中，n为大于或等于2的整数；采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；根据所述集成模型对网络数据进行检测。

Description

基于深度神经网络DNN的入侵检测方法、装置及可读存储介质

技术领域

本公开涉及入侵检测领域，特别涉及一种基于深度神经网络DNN的入侵检测方法、装置及可读存储介质。

背景技术

近年来，网络技术高速发展的同时也带来了很多网络安全隐患问题。传统用的入侵检测算法面对复杂、高维的网络数据特征时，无法达到高性能、高准精度和准确率的要求，而深度学习方法具有自动地从数据样本的低级特征中学习，然后将它们组合成能够代表样本数据的高级潜在特征的优势。

发明内容

本公开实施例提供了一种基于深度神经网络DNN的入侵检测方法、装置及可读存储介质，可以用于解决数据集不平衡性问题，而且集成模型对样本的分类具有较高的检测率。所述技术方案如下：

根据本公开的第一方面，提供了一种基于深度神经网络DNN的入侵检测方法，所述方法包括：

获取网络数据的每一维特征的数据分布；

根据所述数据分布进行数据采样，得到训练数据集；

利用所述训练数据集对n个深度神经网络进行分类训练，得到n个DNN分类器，其中，n为大于或等于2的整数；

采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

根据所述集成模型对网络数据进行检测。

在一个可选的实施例中，所述方法还包括：

获取所述训练数据集的标签信息；

根据所述标签信息对训练数据集进行分类，得到k个子数据集。其中，k为大于或等于2的整数；

所述利用所述训练数据集对n个深度神经网络进行分类训练包括：

向n个深度神经网络的每一个输入k个子数据集中的其中一个或者多个；

利用对应输入的子数据集对n个深度神经网络进行分类训练。

在一个可选的实施例中，所述方法还包括：

根据预设类别对所述训练数据集的全部或者部分数据进行标签化处理。

在一个可选的实施例中，所述n个深度神经网络具有不同的网络结构和结束条件。

在一个可选的实施例中，所述获取网络流量的每一维特征的数据分布包括：

通过深度神经网络构建生成模型，所述生成模型用于学习网络流量的每一维特征的数据分布；

利用所述生成模型获取网络流量的每一维特征的数据分布。

根据本公开的第二方面，提供了一种基于深度神经网络DNN的入侵检测装置，所述装置包括：

第一获取模块，用于获取网络数据的每一维特征的数据分布；

采样模块，用于根据各一维特征的数据分布进行数据采样，得到训练数据集；

训练模块，用于利用所述训练数据集对n个深度神经网络进行分类训练，得到n个DNN分类器，其中，n为大于或等于2的整数；

集成模块，用于采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

检测模块，用于根据所述集成模型对网络数据进行检测。

在一个可选的实施例中，所述装置还包括：

第二获取模块，用于获取所述训练数据集的标签信息；

分类模块，用于根据所述标签信息对训练数据集进行分类，得到k个子数据集。其中，k为大于或等于2的整数；

所述训练模块，用于向n个深度神经网络的每一个输入k个子数据集中的其中一个或者多个；利用对应输入的子数据集对n个深度神经网络进行分类训练。

在一个可选的实施例中，所述装置还包括：

处理模块，用于根据预设类别对所述训练数据集的全部或者部分数据进行标签化处理。

在一个可选的实施例中，所述第一获取模块，用于通过深度神经网络构建生成模型，所述生成模型用于学习网络流量的每一维特征的数据分布；利用所述生成模型获取网络流量的每一维特征的数据分布。

根据本公开的第三方面，提供了一种终端，所述终端包括：处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现如上第一方面所述的方法。

根据本公开的第四方面，提供了一种计算机可读存储介质，所述可读存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现如上第一方面所述的方法。

本公开实施例提供的技术方案至少包括以下有益效果：

根据网络数据各一维特征的数据分布进行数据采样，得到训练数据集，以保证数据样本的平衡性，同时，训练数据集被输入多个分类器，由多个分类器共同决策结果，可有效提高检测效率。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是根据一示例性实施例示出的基于深度神经网络DNN的入侵检测方法的流程图；

图2是本公开另一个示意性实施例提供的基于深度神经网络DNN的入侵检测方法的流程图；

图3是根据一示例性实施例示出的一种基于深度神经网络DNN的入侵检测装置的框图；

图4是本公开另一个示意性实施例提供的基于深度神经网络DNN的入侵检测装置的框图；

图5是根据一示例性实施例示出的一种终端的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

图1示出了本申请一个示例性实施例提供的基于深度神经网络DNN的入侵检测方法的流程图。该方法可以部署在网络环境中实时检测网络数据流量，对检测出的异常网络流量进行预警，该方法包括：

101、获取网络数据的每一维特征的数据分布；

在本实施例中，一维特征可以为表征攻击行为的一组特征样本，例如，系统运行环境条件、被攻击时间、被攻击时长、数据设备名称、攻击入侵痕迹以及泄露信息内容等等。一维特征可以通过特征选择算法获取，为了降低特征维数，可以采用一致性算法结合贪婪搜索策略进行特征选择，它通过剔除大量网络数据冗余的、有噪声的特征，降低特征维数，从而达到减少分类器建模时间、提高分类器识别率的目的。具体此处对特征选择算法不做限定，

在一些其他实施例中，获取网络数据的每一维特征的数据分布还可以包括：

通过深度神经网络构建生成模型，该生成模型用于学习网络流量的每一维特征的数据分布；

利用生成模型获取网络流量的每一维特征的数据分布。

即可以通过深度神经网络构建一个生成模型，此模型能够自动学习网络流量每一维特征的数据分布，以获得每一维特征的数据分布。

102、根据数据分布进行数据采样，得到训练数据集；

数据分布为一维特征的概率分布，有了数据分布后，可以在这个分布上进行数据采样，以此来减轻数据不平衡性对最后分类结果的影响。

103、利用训练数据集对n个深度神经网络进行分类训练，得到n个DNN 分类器；

其中，n为大于或等于2的整数。

在本实施例中，构建n个深度神经网络DNN，然后用步骤102所得到的数据集分别对这些深度神经网络进行分类训练，训练结束时即得到n个DNN分类器。在本步骤中训练时，为了使我们整个算法更快的收敛，需要精心设计每一个网络的结构和选择合适的结束条件，即结束条件尽可能的使单个DNN分类器的分类效果达到最优。

104、采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

即在生成多个分类器后，再采用某种预设的集成策略进行组合，最后综合判断输出最终结果，相比单个分类器，集成模型通常在准确率，对噪点的抗干扰性更优。

AdaBoost是一种迭代算法，核心思想也就是集成学习的思想，针对同一个训练集训练不同的弱分类器，然后把这些弱分类器集合起来，构成一个更强的集成模型。AdaBoost是英文"Adaptive Boosting"(自适应增强)的缩写。AdaBoost 方法的自适应在于：前一个分类器分错的样本会被用来训练下一个分类器。 AdaBoost方法对于噪声数据和异常数据很敏感，相对于大多数其它学习算法而言，不会很容易出现过拟合现象。

105、根据集成模型对网络数据进行检测；

在获得集成模型后，将其部署在网络环境中实时检测网络数据流量，对检测出的异常网络数据进行预警。

根据网络数据各一维特征的数据分布进行数据采样，得到训练数据集，以保证数据样本的平衡性，同时，训练数据集被输入多个分类器，由多个分类器共同决策结果，可有效提高检测效率。

图2示出了本公开另一示意性实施例提供的基于深度神经网络DNN的入侵检测方法的流程图。该方法包括：

201、获取网络数据的每一维特征的数据分布；

在本实施例中，一维特征可以为表征攻击行为的一组特征，例如，系统运行环境条件、被攻击时间、被攻击时长、数据设备名称、攻击入侵痕迹以及泄露信息内容等等。一维特征可以通过特征选择算法获取，为了降低特征维数，可以采用一致性算法结合贪婪搜索策略进行特征选择，它通过剔除大量网络数据冗余的、有噪声的特征，降低特征维数，从而达到减少分类器建模时间、提高分类器识别率的目的。具体此处对特征选择算法不做限定，

在一些其他实施例中，获取网络数据的每一维特征的数据分布还可以包括：

通过深度神经网络构建生成模型，该生成模型用于学习网络流量的每一维特征的数据分布；

利用生成模型获取网络流量的每一维特征的数据分布。

即可以通过深度神经网络构建一个生成模型，此模型能够自动学习网络流量每一维特征的数据分布，以获得每一维特征的数据分布。

202、根据数据分布进行数据采样，得到训练数据集；

数据分布为一维特征的概率分布，有了数据分布后，可以在这个分布上进行数据采样，以此来减轻数据不平衡性对最后分类结果的影响。

203，获取训练数据集的标签信息；

在本实施例中，可以根据预设类别对训练数据集的全部或者部分数据进行标签化处理。

204，根据标签信息对训练数据集进行分类，得到k个子数据集；

为了更方便的验证本算法的可行性，可以将一些标签归于一个大类，例如，训练数据集总共可分为k个大类，即我们需要对数据集样本进行k分类，得到k 个子数据集。

205，向n个深度神经网络的每一个输入k个子数据集中的其中一个或者多个；

在本实施例中，其中，n为大于或等于2的整数；且n个深度神经网络具有不同的网络结构和结束条件。在本实施例中，构建n个深度神经网络DNN，然后用步骤204所得到的子数据集分别对这些深度神经网络进行分类训练，训练结束时即得到n个DNN分类器。在本步骤中训练时，为了使我们整个算法更快的收敛，需要精心设计每一个网络的结构和选择合适的结束条件，即结束条件尽可能的使单个DNN分类器的分类效果达到最优。

可以理解的是，在本实施例中，n个DNN分类器可以使用同一训练数据集，也可以是，不同DNN分类器使用不同的一个子数据集，或者每个DNN分类器使用多个子数据集，比如，每个DNN分类器使用k个子数据集的随机两个子数据集。

206，利用对应输入的子数据集对n个深度神经网络进行分类训练；

在本实施例中，利用对应输入的子数据集对n个深度神经网络进行分类训练，得到n个DNN分类器。在本步骤中训练时，为了使我们整个算法更快的收敛，需要精心设计每一个网络的结构和选择合适的结束条件，即结束条件尽可能的使单个DNN分类器的分类效果达到最优。

207，采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

即在生成多个分类器后，再采用某种预设的集成策略进行组合，最后综合判断输出最终结果，相比单个分类器，集成模型通常在准确率，对噪点的抗干扰性更优。

AdaBoost是一种迭代算法，核心思想也就是集成学习的思想，针对同一个训练集训练不同的弱分类器，然后把这些弱分类器集合起来，构成一个更强的最终分类器(强分类器)。AdaBoost是英文"Adaptive Boosting"(自适应增强) 的缩写。AdaBoost方法的自适应在于：前一个分类器分错的样本会被用来训练下一个分类器。AdaBoost方法对于噪声数据和异常数据很敏感，相对于大多数其它学习算法而言，不会很容易出现过拟合现象。

AdaBoost中的各分类器之间不是“并行”的，而是“线性”的。即在每一轮中加入一个新的分类器，直到达到某个预定的足够小的错误率。每一个训练样本都被赋予一个权重，表明它被某个分类器选入训练集的概率。如果某个样本点已经被准确地分类，那么在构造下一个训练集中，它被选中的概率就被降低；相反，如果某个样本点没有被准确地分类，那么它的权重就得到提高。通过这样的方式，AdaBoost方法能“聚焦于”那些较难分的样本上。在具体实现上，最初令每个样本的权重都相等，对于第k次迭代操作，就根据这些权重来选取样本点，进而训练分类器Ck。然后就根据这个分类器，来提高被它分错的的样本的权重，并降低被正确分类的样本权重。然后，权重更新过的样本集被用于训练下一个分类器Ck+1。整个训练过程如此迭代地进行下去，在本实施例中，通过不断的调整DNN分类器的数量和一些优化参数来提高整个集成模型分类效果。

208，根据集成模型对网络数据进行检测；

在获得集成模型后，将其部署在网络环境中实时检测网络数据流量，对检测出的异常网络数据进行预警。

根据网络数据各一维特征的数据分布进行数据采样，得到训练数据集，以保证数据样本的平衡性，同时，训练数据集被输入多个分类器，由多个分类器共同决策结果，可有效提高检测效率。

图3是根据一示例性实施例示出的一种基于深度神经网络DNN的入侵检测装置的框图，该装置可以通过软件、硬件或者两者的结合实现成为网络终端的部分或者全部。该装置可以包括：

第一获取模块301，用于获取网络数据的每一维特征的数据分布；

采样模块302，用于根据所述数据分布进行数据采样，得到训练数据集；

训练模块303，用于利用所述训练数据集对n个深度神经网络进行分类训练，得到n个DNN分类器，其中，n为大于或等于2的整数；

集成模块304，用于采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

检测模块305，用于根据所述集成模型对网络数据进行检测。

在一个可选的实施例中，所述装置还可以包括：

第二获取模块，用于获取所述训练数据集的标签信息；

分类模块，用于根据所述标签信息对训练数据集进行分类，得到k个子数据集；其中，k为大于或等于2的整数；

所述训练模块，用于向n个深度神经网络的每一个输入k个子数据集中的其中一个或者多个；利用对应输入的子数据集对n个深度神经网络进行分类训练。

本实施例可以根据网络数据各一维特征的数据分布进行数据采样，得到训练数据集，以保证数据样本的平衡性，同时，训练数据集被输入多个分类器，由多个分类器共同决策结果，可有效提高检测效率。

图4是本公开另一个示意性实施例提供的基于深度神经网络DNN的入侵检测装置的框图，包括：

第一获取模块401，用于获取网络数据的每一维特征的数据分布；

采样模块402，用于根据所述数据分布进行数据采样，得到训练数据集；

第二获取模块403，用于获取所述训练数据集的标签信息；

分类模块404，用于根据所述标签信息对训练数据集进行分类，得到k个子数据集；其中，k为大于或等于2的整数；

训练模块405，用于向n个深度神经网络的每一个输入k个子数据集中的其中一个或者多个；利用对应输入的子数据集对n个深度神经网络进行分类训练。

集成模块406，用于采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

检测模块407，用于根据所述集成模型对网络数据进行检测。

在一个可选的实施例中，所述装置还包括：

处理模块，用于根据预设类别对所述训练数据集的全部或者部分数据进行标签化处理。

在一个可选的实施例中，所述装置还包括：所述第一获取模块401，用于通过深度神经网络构建生成模型，所述生成模型用于学习网络流量的每一维特征的数据分布；利用所述生成模型获取网络流量的每一维特征的数据分布。

需要说明的一点是，上述实施例提供的装置，仅以上述各个功能模块的划分进行举例说明，实际应用中，可以根据实际需要而将上述功能分配由不同的功能模块完成，即将设备的内容结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

本公开一示例性实施例还提供了一种基于深度神经网络DNN的入侵检测装置，能够实现本公开提供的方法。该基于深度神经网络DNN的入侵检测装置包括：处理器，以及用于存储处理器的可执行指令的存储器。其中，处理器被配置为执行上述各个方法实施例所提供的方法。

图5是根据一示例性实施例示出的一种终端1000的框图，该终端包括基于深度神经网络DNN的入侵检测装置。例如，终端1000可以是网络设备、移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。

参照图5，终端1000可以包括以下一个或多个组件：处理组件1002，存储器1004，电源组件1006，多媒体组件1008，音频组件1010，输入/输出(I/O) 接口1012，传感器组件1014，以及通信组件1016。

处理组件1002通常控制终端1000的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件1002可以包括一个或多个处理器820来执行指令，以完成上述的方法的全部或部分步骤。此外，处理组件1002可以包括一个或多个模块，便于处理组件1002和其他组件之间的交互。例如，处理组件1002可以包括多媒体模块，以方便多媒体组件1008和处理组件1002之间的交互。

存储器1004被配置为存储各种类型的数据以支持在终端1000的操作。这些数据的示例包括用于在终端1000上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图像，视频等。存储器1004可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器 (SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器 (EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电源组件1006为终端1000的各种组件提供电力。电源组件1006可以包括电源管理系统，一个或多个电源，及其他与为终端1000生成、管理和分配电力相关联的组件。

多媒体组件1008包括在所述终端1000和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件1008包括一个前置摄像头和/或后置摄像头。当终端1000处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。

音频组件1010被配置为输出和/或输入音频信号。例如，音频组件1010包括一个麦克风(MIC)，当终端1000处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器1004或经由通信组件1016发送。在一些实施例中，音频组件1010还包括一个扬声器，用于输出音频信号。

I/O接口1012为处理组件1002和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件1014包括一个或多个传感器，用于为终端1000提供各个方面的状态评估。例如，传感器组件1014可以检测到终端1000的打开/关闭状态，组件的相对定位，例如所述组件为终端1000的显示器和小键盘，传感器组件1014 还可以检测终端1000或终端1000一个组件的位置改变，用户与终端1000接触的存在或不存在，终端1000方位或加速/减速和终端1000的温度变化。传感器组件1014可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件1014还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件1014还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件1016被配置为便于终端1000和其他设备之间有线或无线方式的通信。终端1000可以接入基于通信标准的无线网络，如Wi-Fi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件1016经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件1016还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC 模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB) 技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，终端1000可以被一个或多个应用专用集成电路 (ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器1004，上述指令可由终端1000的处理器820执行以完成上述方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

一种非临时性计算机可读存储介质，当所述存储介质中的指令由终端1000 的处理器执行时，使得终端1000能够执行上述各个方法实施例提供的方法。

应当理解的是，在本文中提及的“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (10)

1.基于深度神经网络DNN的入侵检测方法，其特征在于，所述方法包括：

获取网络数据的每一维特征的数据分布；

根据数据分布进行数据采样，得到训练数据集；

利用所述训练数据集对n个深度神经网络进行分类训练，得到n个DNN分类器，其中，n为大于或等于2的整数；

采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

根据所述集成模型对网络数据进行检测。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取所述训练数据集的标签信息；

根据所述标签信息对训练数据集进行分类，得到k个子数据集；其中，k为大于或等于2的整数；

所述利用所述训练数据集对n个深度神经网络进行分类训练包括：

向n个深度神经网络的每一个输入k个子数据集中的其中一个或者多个；

利用对应输入的子数据集对n个深度神经网络进行分类训练。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

根据预设类别对所述训练数据集的全部或者部分数据进行标签化处理。

4.根据权利要求1所述的方法，其特征在于，所述n个深度神经网络具有不同的网络结构和结束条件。

5.根据权利要求1所述的方法，其特征在于，所述获取网络流量的每一维特征的数据分布包括：

通过深度神经网络构建生成模型，所述生成模型用于学习网络流量的每一维特征的数据分布；

利用所述生成模型获取网络流量的每一维特征的数据分布。

6.一种基于深度神经网络DNN的入侵检测装置，其特征在于，包括：

第一获取模块，用于获取网络数据的每一维特征的数据分布；

采样模块，用于根据所述数据分布进行数据采样，得到训练数据集；

训练模块，用于利用所述训练数据集对n个深度神经网络进行分类训练，得到n个DNN分类器，其中，n为大于或等于2的整数；

集成模块，用于采用多分类AdaBoost集成算法对n个DNN分类器进行集成，得到集成模型；

检测模块，用于根据所述集成模型对网络数据进行检测。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第二获取模块，用于获取所述训练数据集的标签信息；

分类模块，用于根据所述标签信息对训练数据集进行分类，得到k个子数据集；其中，k为大于或等于2的整数；

所述训练模块，用于向n个深度神经网络的每一个输入k个子数据集中的其中一个或者多个；利用对应输入的子数据集对n个深度神经网络进行分类训练。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

处理模块，用于根据预设类别对所述训练数据集的全部或者部分数据进行标签化处理。

9.根据权利要求6所述的装置，其特征在于，

所述第一获取模块，用于通过深度神经网络构建生成模型，所述生成模型用于学习网络流量的每一维特征的数据分布；利用所述生成模型获取网络流量的每一维特征的数据分布。

10.一种计算机可读存储介质，其特征在于，所述可读存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现如权利要求1至5任一所述的方法。

Images