CN114844696B - 一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质 - Google Patents

一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质 Download PDF

Info

Publication number
CN114844696B
CN114844696B CN202210462320.3A CN202210462320A CN114844696B CN 114844696 B CN114844696 B CN 114844696B CN 202210462320 A CN202210462320 A CN 202210462320A CN 114844696 B CN114844696 B CN 114844696B
Authority
CN
China
Prior art keywords
variance
monitoring
window
moving window
optimal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210462320.3A
Other languages
English (en)
Other versions
CN114844696A (zh
Inventor
孙静春
邓飞
安豆
李健
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xian Jiaotong University
Original Assignee
Xian Jiaotong University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xian Jiaotong University filed Critical Xian Jiaotong University
Priority to CN202210462320.3A priority Critical patent/CN114844696B/zh
Publication of CN114844696A publication Critical patent/CN114844696A/zh
Application granted granted Critical
Publication of CN114844696B publication Critical patent/CN114844696B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Algebra (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Pure & Applied Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质，包括以下过程，采用逻辑回归模型处理整体的网络攻击数据；对处理完的网络攻击数据，采用移动窗口来统计局部方差与总体方差的偏移量，得出窗口宽度与方差偏移量的曲线图；对曲线图采用切点理论，找出曲线的最佳切点，使风险池指标方差偏移量达到最小；以最佳切点为依据，确定出最佳窗口宽度；采用最佳移动窗口来进行局部监测，完成网络入侵动态监测。通过采用最佳移动窗口来进行局部监测，代替总体监测，到达监测准确的同时提高时效性。较之于传统的网络入侵监测方法，采用移动窗口来监测，达到监测局部代替整体监测的效果，保证准确性的同时提高了时效性。

Description

一种基于风险池最小化的网络入侵动态监测方法、系统、设备 和可读存储介质
技术领域
本发明属于信息安全技术领域，具体属于一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质。
背景技术
如今，信息网络已经成为现代生活的重要组成部分，所以的娱乐、经济和通信方面都离不开计算机网络。因此，有必要引入网络入侵检测方法来保护系统免受各种攻击。近年来，基于网络入侵检测方法的研究者，利用统计分析、数据挖掘、机器学习、神经网络、支持向量机等方法分析检测。但是，现有技术的检测方法均存在分析过程复杂、检测时间长的问题，且呈现动态监测的效果较少。
发明内容
为了解决现有技术中存在的问题，本发明提供一种基于风险池最小化的网络入侵动态监测方法，用以解决上述问题。
为实现上述目的，本发明提供如下技术方案：
一种基于风险池最小化的网络入侵动态监测方法，包括以下过程，
采用逻辑回归模型处理整体的网络攻击数据；
对处理完的网络攻击数据，采用移动窗口来统计局部方差与总体方差的偏移量，得出窗口宽度与方差偏移量的曲线图；
对曲线图采用切点理论，找出曲线的最佳切点，使风险池指标方差偏移量达到最小；
以最佳切点为依据，确定出最佳窗口宽度；
采用最佳移动窗口来进行局部监测，完成网络入侵动态监测。
优选的，对网络攻击数据进行处理的逻辑回归模型公式如下
Figure BDA0003622557540000021
式中，P(yi＝1)是yi＝1的概率，αj是Xi的线性模型的估计值，ε是随机变量误差值，e是常数。
优选的，移动窗口W的窗口宽度为t，窗口宽度t取值为[1，m]，取整数。
进一步的，处理完的网络攻击数据Y，Y＝[Y1,Y2,…,Yi,…,Ym]，Y为1*m维的数据集，其中Yi＝P(yi＝1)；
从网络攻击数据Y中的第i＝1个元素开始依次进行监测：
当i<t时，移动窗口W不移动，i＝i+1，窗口宽度增加1，依次把Yi纳入移动窗口W的监测范围，此时移动窗口W内的观测数据集为Hti＝(Yt1,Yt2,…,Yti),i＝1,2,…t-1；
当i>＝t，且i<＝m-t时，移动窗口W依次向下移动，窗口宽度t保持不变，此时移动窗口W内的观测数据集为Hti＝(Yt,i+1,Yt,i+2,…,Yt,i+t),i＝t,t+1,…,m-t；
当i>m-t时，移动窗口W依次向下移动，窗口宽度减小1，此时移动窗口W内的观测数据集为Hti＝(Yt,m-i+1,Yt,m-i+2,…,Yt,m),i＝m-t+1,m-t+2,…,m；
对每个Hti，统计出所对应的方差值VARti。
优选的，确定局部方差与总体方差的偏移量公式为
Figure BDA0003622557540000022
式中，VARti是局部方差，VARY是总体方差，m是移动窗口宽度。
优选的，确定最佳切点的公式如下
Figure BDA0003622557540000023
式中，t*是最优移动窗口宽度，
Figure BDA0003622557540000024
是最优移动窗口宽度时的方差偏移量，m是移动窗口宽度。
优选的，局部监测的准确率公式为：
Figure BDA0003622557540000031
式中，p为切割值，取值范围为[0,1]，依据p的取值确定局部监测代替总体监测的准确率。
一种基于风险池最小化的网络入侵动态监测系统，包括数据处理模块、计算模块和移动窗口模块；
所述数据处理模块采用逻辑回归模型处理整体的网络攻击数据；
所述计算模块用于确定移动窗口模块的最佳窗口宽度；
所述移动窗口模块用于进行局部监测，完成网络入侵动态监测。
一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如上述任意一项所述的一种基于风险池最小化的网络入侵动态监测方法的步骤。
一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现如上述任意一项所述的一种基于风险池最小化的网络入侵动态监测方法的步骤。
与现有技术相比，本发明具有以下有益的技术效果：
本发明提供一种基于风险池最小化的网络入侵动态监测方法，通过采用逻辑回归模型对整体的网络攻击数据进行降维处理，提高准确率；依次调整窗口宽度来统计局部方差与总体方差的偏移量，得出窗口宽度与方差偏移量的曲线图；对曲线图采用切点理论找出曲线的最佳切点，使风险池指标方差偏移量达到最小；以切点为依据，确定出最佳窗口宽度；通过采用最佳移动窗口来进行局部监测，代替总体监测，到达监测准确的同时提高时效性。该方法较之于传统的网络入侵监测方法，采用移动窗口来监测，达到监测局部代替整体监测的效果，在保证准确性的同时提高了时效性。
附图说明
图1为本发明一种基于风险池最小化的网络入侵动态监测方法。
图2为实施例中曲线图G+参考直线B+切点图。
图3为实施例中准确率曲线图。
具体实施方式
下面结合具体的实施例对本发明做进一步的详细说明，所述是对本发明的解释而不是限定。
一种基于风险池最小化的网络入侵动态监测方法，首先，采用采用逻辑回归模型来处理整体的网络攻击数据；其次，针对处理完的数据，采用移动窗口(依次调整窗口宽度)来统计局部方差与总体方差的偏移量，得出窗口宽度与方差偏移量的曲线图；第三，针对曲线图，采用切点理论，找出曲线的最佳切点(方差偏移量变化最大的点)，即使风险池指标方差偏移量达到最小；第四，以切点为依据，确定出最佳窗口宽度；第五，采用最佳移动窗口来进行局部监测，代替总体监测，到达监测准确的同时提高时效性。
逻辑回归：
针对网络入侵的流量数据X，X＝(X1,X2,…,Xi,…,Xn)T，Xi＝[xi1,xi2,…,xin]为X中的每一条网络流量记录，具体如下：
Figure BDA0003622557540000041
其中，X为m*n的多维矩阵。
针对已知的流量数据X，每条流量记录Xi都对应一个标志位Label，即该标志位Label为1或者0(为1，代表该记录为一条网络攻击流量；为0，代表该记录为一条正常流量记录)，则数据X可扩展为XT：
Figure BDA0003622557540000051
其中，yi即为每条流量记录Xi所对应一个标志位。
然后，采用逻辑回归模型来处理数据，即因变量取yi，解释变量取为Xi，yi与Xi之间的关系由概率P(yi＝1)来解释，因此概率P(yi＝1)定义如下：
Figure BDA0003622557540000052
其中，αj是Xi的线性模型的估计值，ε是随机变量误差值。
利用逻辑回归模型对(1)进行变换，yi可以如下表示：
Figure BDA0003622557540000053
其中，p为切割值，取值范围为[0，1]，这里可以通过p的取值来计算准确率。
在该发明专利中，利用公式(1)，可以得到逻辑回归分析后的数据集Y，Y＝[Y1,Y2,…,Yi,…,Ym]，Y为1*m维的数据集，其中Yi＝P(yi＝1)。
移动窗口：
设定一个观测移动窗口W，窗口宽度为t，使用该W来对数据集Y进行动态监测，该移动窗口W的宽度t取值为[1，m]，取整数。观测原则如下：
从数据集Y中的第i＝1个元素开始依次进行监测：
当i<t时，移动窗口W不移动，i＝i+1，窗口宽度增加1，依次把Yi纳入移动窗口W的监测范围，此时移动窗口W内的观测数据集为Hti＝(Yt1,Yt2,…,Yti),i＝1,2,…t-1；
当i>＝t，且i<＝m-t时，移动窗口W依次向下移动，窗口宽度t保持不变，此时移动窗口W内的观测数据集为Hti＝(Yt,i+1,Yt,i+2,…,Yt,i+t),i＝t,t+1,…,m-t；
当i>m-t时，移动窗口W依次向下移动，窗口宽度减小1，此时移动窗口W内的观测数据集为Hti＝(Yt,m-i+1,Yt,m-i+2,…,Yt,m),i＝m-t+1,m-t+2,…,m；
针对每个Hti，统计出所对应的方差值，记为VARti；再统计出数据集Y的方差值，记为VARY；然后可以计算得到每个移动窗口宽度下方差偏移量，即
Figure BDA0003622557540000061
然后根据移动窗口宽度t依次在[1，m]取值，可以得到方差偏移量与移动窗口宽度的点集D，D＝(t,EVARt)，通过点集D可以得到关于方差偏移量与移动窗口宽度的曲线图G。(此时，可以剔除异常点(1,EVAR1)，因为当t＝1时，方差VAR1i都为0，方差偏移无意义。所以，可以修正t的取值范围为[2，m]，此时移动窗口的总个数相应减少为m-1个。)
寻找切点及最佳移动窗口宽度：
针对数据集D，当t＝2及t＝m时所对应的两个点为(2,EVAR2)、(m,EVARm)，该两个点构成一条参考直线B，记为：
Figure BDA0003622557540000062
其中，E为纵坐标轴，t为横坐标轴。
接着，利用点到直线的距离公式，可以得到点集D中所有的点(t,EVARt)与直线B的距离，记为Lt。
然后，寻找曲线图G上与参考直线B的距离最大的点，即切点D*，为：
Figure BDA0003622557540000063
根据切点D*，可以确定出最优移动窗口宽度t*。在此情况下，风险池方差偏移达到最小状态。
局部监测：
采用窗口宽度为t*的移动窗口W来进行局部监测，代替总体监测。这里可以通过公式(2)，对p取值，然后通过计算移动窗口W范围内的准确率来代替整体准确率，到达局部监测代替总体监测、提高时间效率的效果。
实施例
本发明以CIC-IDS2017数据集中的PortScan攻击数据为例。CIC-IDS2017数据集中的PortScan攻击数据“Friday-WorkingHours-Afternoon-PortScan”一共有286469条数据(其中，Lable为BENIGN的数据为127539条，标记为“0”，Label为PortScan的数据为158930条，标记为“1”)，每条数据具有84个特征，即数据集X为286469*84维，再加上Label列，形成286469*85维的数据集XT。
利用逻辑回归模型，采用公式(1)，可以对XT中的每条数据进行逻辑回归分析，最后得到的数据集Y(286469*1维)。
设定一个观测移动窗口W，窗口宽度为t，使用该W来对数据集Y进行动态监测，该移动窗口W的宽度t取值为[2，286469]。在本实例中，为了简化说明，选取了131个窗口宽度来统计局部方法与整体方差的偏移量，具体如下：
表1移动窗口宽度与方法偏移量的点集表
Figure BDA0003622557540000071
Figure BDA0003622557540000081
由上表中的131个点，共同构成点集D，且由D可以画出关于方差偏移量与移动窗口宽度的曲线图G，如图2中的曲线。在由(10，2031.482245)和(15000，539.1692503)，可以得到参考直线B，如图2中的直线所示。
然后，在曲线G中寻找与直线B距离最大的点，即上图中的切点D*＝(17000，1187.2130)，在此位置，曲线G上的方差偏移量达到最小。
由此，可以确定移动窗口的最佳窗口宽度为：t*＝17000。
最后，利用利用t*＝17000的移动窗口来监测，得到其准确率曲线图，如图3所示，利用t*＝17000的移动窗口来监测，利用公式(2)来计算每个移动窗口内的准确率，可以得出其平均准确率为93％(此时，取p＝0.69)。接着，利用公式(2)，同样取p＝0.69，计算结果与原始的Label值进行比对，可以计算出整体准确率依然为93％。采用局部监测来代替总体监测，每次只用监测17000条记录就可以代替监测286469条记录，得到的监测准确率一样，时间效率得到明显提升。
下述为本发明的装置实施例，可以用于执行本发明方法实施例。对于装置实施例中未纰漏的细节，请参照本发明方法实施例。
本发明再一个实施例中，提供了一种计算机设备，该计算机设备包括处理器以及存储器，所述存储器用于存储计算机程序，所述计算机程序包括程序指令，所述处理器用于执行所述计算机存储介质存储的程序指令。处理器可能是中央处理单元(CentralProcessing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital SignalProcessor、DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable GateArray，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等，其是终端的计算核心以及控制核心，其适于实现一条或一条以上指令，具体适于加载并执行一条或一条以上指令从而实现相应方法流程或相应功能；本发明实施例所述的处理器可以用于一种基于风险池最小化的网络入侵动态监测方法的操作。
本发明再一个实施例中，本发明还提供了一种存储介质，具体为计算机可读存储介质(Memory)，所述计算机可读存储介质是计算机设备中的记忆设备，用于存放程序和数据。可以理解的是，此处的计算机可读存储介质既可以包括计算机设备中的内置存储介质，当然也可以包括计算机设备所支持的扩展存储介质。计算机可读存储介质提供存储空间，该存储空间存储了终端的操作系统。并且，在该存储空间中还存放了适于被处理器加载并执行的一条或一条以上的指令，这些指令可以是一个或一个以上的计算机程序(包括程序代码)。需要说明的是，此处的计算机可读存储介质可以是高速RAM存储器，也可以是非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。可由处理器加载并执行计算机可读存储介质中存放的一条或一条以上指令，以实现上述实施例中有关一种基于风险池最小化的网络入侵动态监测方法的相应步骤。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (6)

1.一种基于风险池最小化的网络入侵动态监测方法，其特征在于，包括以下过程，
采用逻辑回归模型处理整体的网络攻击数据；对网络攻击数据进行处理的逻辑回归模型公式如下
Figure FDA0003967840860000011
式中，P(yi＝1)是yi＝1的概率，αj是Xi的线性模型的估计值，ε是随机变量误差值，e是常数；
变换后yi如下表示
Figure FDA0003967840860000012
式中，p为切割值，取值范围为[0,1]，依据p的取值确定局部监测代替总体监测的准确率；
对处理完的网络攻击数据，采用移动窗口来统计局部方差与总体方差的偏移量；具体为
设定移动窗口W的窗口宽度为t，窗口宽度t取值为[1，m]，取整数；
处理完的网络攻击数据Y，Y＝[Y1,Y2,…,Yi,…,Ym]，Y为1*m维的数据集，其中Yi＝P(yi＝1)；
从网络攻击数据Y中的第i＝1个元素开始依次进行监测：
当i<t时，移动窗口W不移动，i＝i+1，窗口宽度增加1，依次把Yi纳入移动窗口W的监测范围，此时移动窗口W内的观测数据集为Hti＝(Yt1,Yt2,…,Yti),i＝1,2,…t-1；
当i>＝t，且i<＝m-t时，移动窗口W依次向下移动，窗口宽度t保持不变，此时移动窗口W内的观测数据集为Hti＝(Yt,i+1,Yt,i+2,…,Yt,i+t),i＝t,t+1,…,m-t；
当i>m-t时，移动窗口W依次向下移动，窗口宽度减小1，此时移动窗口W内的观测数据集为Hti＝(Yt,m-i+1,Yt,m-i+2,…,Yt,m),i＝m-t+1,m-t+2,…,m；
对每个Hti，统计出所对应的局部方差值VARti，再统计出数据集Y的总体方差值VARY；
依据局部方差值VARti和总体方差值VARY计算方差偏移量，得出窗口宽度与方差偏移量的曲线图；
对曲线图采用切点理论，找出曲线的最佳切点，使风险池指标方差偏移量达到最小；以最佳切点为依据，确定出最佳窗口宽度；
采用最佳移动窗口来进行局部监测，完成网络入侵动态监测。
2.根据权利要求1所述的一种基于风险池最小化的网络入侵动态监测方法，其特征在于，确定局部方差与总体方差的偏移量公式为
Figure FDA0003967840860000021
式中，VARti是局部方差，VARY是总体方差，m是移动窗口宽度。
3.根据权利要求1所述的一种基于风险池最小化的网络入侵动态监测方法，其特征在于，确定最佳切点的公式为
Figure FDA0003967840860000022
式中，t*是最优移动窗口宽度，
Figure FDA0003967840860000023
是最优移动窗口宽度时的方差偏移量，m是移动窗口宽度。
4.一种基于风险池最小化的网络入侵动态监测系统，其特征在于，包括数据处理模块、计算模块和移动窗口模块；
所述数据处理模块采用逻辑回归模型处理整体的网络攻击数据；对网络攻击数据进行处理的逻辑回归模型公式如下
Figure FDA0003967840860000024
式中，P(yi＝1)是yi＝1的概率，αj是Xi的线性模型的估计值，ε是随机变量误差值，e是常数；
变换后yi如下表示：
Figure FDA0003967840860000031
式中，p为切割值，取值范围为[0,1]，依据p的取值确定局部监测代替总体监测的准确率；
所述计算模块用于对处理完的网络攻击数据，采用移动窗口来统计局部方差与总体方差的偏移量；具体为：设定移动窗口W的窗口宽度为t，窗口宽度t取值为[1，m]，取整数；
处理完的网络攻击数据Y，Y＝[Y1,Y2,…,Yi,…,Ym]，Y为1*m维的数据集，其中Yi＝P(yi＝1)；
从网络攻击数据Y中的第i＝1个元素开始依次进行监测：
当i<t时，移动窗口W不移动，i＝i+1，窗口宽度增加1，依次把Yi纳入移动窗口W的监测范围，此时移动窗口W内的观测数据集为Hti＝(Yt1,Yt2,…,Yti),i＝1,2,…t-1；
当i>＝t，且i<＝m-t时，移动窗口W依次向下移动，窗口宽度t保持不变，此时移动窗口W内的观测数据集为Hti＝(Yt,i+1,Yt,i+2,…,Yt,i+t),i＝t,t+1,…,m-t；
当i>m-t时，移动窗口W依次向下移动，窗口宽度减小1，此时移动窗口W内的观测数据集为Hti＝(Yt,m-i+1,Yt,m-i+2,…,Yt,m),i＝m-t+1,m-t+2,…,m；
对每个Hti，统计出所对应的局部方差值VARti；再统计出数据集Y的总体方差值VARY；
依据局部方差值VARti和总体方差值VARY计算方差偏移量，得出窗口宽度与方差偏移量的曲线图；
对曲线图采用切点理论，找出曲线的最佳切点，使风险池指标方差偏移量达到最小；以最佳切点为依据，确定出最佳窗口宽度；
所述移动窗口模块用于依据计算模块确定的最佳窗口宽度进行局部监测，完成网络入侵动态监测。
5.一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-3任意一项所述的一种基于风险池最小化的网络入侵动态监测方法的步骤。
6.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-3任意一项所述的一种基于风险池最小化的网络入侵动态监测方法的步骤。
CN202210462320.3A 2022-04-28 2022-04-28 一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质 Active CN114844696B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210462320.3A CN114844696B (zh) 2022-04-28 2022-04-28 一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210462320.3A CN114844696B (zh) 2022-04-28 2022-04-28 一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质

Publications (2)

Publication Number Publication Date
CN114844696A CN114844696A (zh) 2022-08-02
CN114844696B true CN114844696B (zh) 2023-01-17

Family

ID=82568038

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210462320.3A Active CN114844696B (zh) 2022-04-28 2022-04-28 一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质

Country Status (1)

Country Link
CN (1) CN114844696B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116260636B (zh) * 2023-02-15 2024-03-12 昆明学院 一种基于移动窗口的数据流安全动态监测方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110602120A (zh) * 2019-09-19 2019-12-20 国网江苏省电力有限公司信息通信分公司 一种面向网络的入侵数据检测方法
US10911471B1 (en) * 2019-11-27 2021-02-02 The Florida International University Board Of Trustees Systems and methods for network-based intrusion detection
CN112580050A (zh) * 2020-12-25 2021-03-30 嘉应学院 一种基于语义分析及向量化大数据的xss入侵识别方法
CN113114691A (zh) * 2021-04-15 2021-07-13 西安交通大学 一种网络入侵检测方法、系统、设备和可读存储介质
CN113572742A (zh) * 2021-07-02 2021-10-29 燕山大学 基于深度学习的网络入侵检测方法
CN113793076A (zh) * 2021-05-14 2021-12-14 西安交通大学 一种风险池动态监测方法、系统、设备和可读存储介质

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110138766B (zh) * 2019-05-10 2020-06-12 福州大学 天牛须结合随机森林的网络入侵检测方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110602120A (zh) * 2019-09-19 2019-12-20 国网江苏省电力有限公司信息通信分公司 一种面向网络的入侵数据检测方法
US10911471B1 (en) * 2019-11-27 2021-02-02 The Florida International University Board Of Trustees Systems and methods for network-based intrusion detection
CN112580050A (zh) * 2020-12-25 2021-03-30 嘉应学院 一种基于语义分析及向量化大数据的xss入侵识别方法
CN113114691A (zh) * 2021-04-15 2021-07-13 西安交通大学 一种网络入侵检测方法、系统、设备和可读存储介质
CN113793076A (zh) * 2021-05-14 2021-12-14 西安交通大学 一种风险池动态监测方法、系统、设备和可读存储介质
CN113572742A (zh) * 2021-07-02 2021-10-29 燕山大学 基于深度学习的网络入侵检测方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
《Network Intrusion Logit Detection Model with IO Port Cross-classification》;孙静春;《International Journal of Pattern Recognitionand Artificial Intelligence》;20220401;第36卷(第5期);2250023 *
基于机器学习的移动终端高级持续性威胁检测技术研究;胡彬等;《计算机工程》;20170115(第01期);全文 *
基于深度学习的配电网无线通信入侵检测系统;刘文军等;《电子学报》;20200815(第08期);全文 *

Also Published As

Publication number Publication date
CN114844696A (zh) 2022-08-02

Similar Documents

Publication Publication Date Title
US11544618B2 (en) Automatic multi-threshold feature filtering method and apparatus
CN107423883B (zh) 待处理业务的风险识别方法及装置、电子设备
US10810458B2 (en) Incremental automatic update of ranked neighbor lists based on k-th nearest neighbors
CN114844696B (zh) 一种基于风险池最小化的网络入侵动态监测方法、系统、设备和可读存储介质
CN109726195B (zh) 一种数据增强方法及装置
CN106649877A (zh) 一种基于密度峰值的大数据挖掘方法及装置
WO2020143379A1 (zh) 异常数据的检测方法及其系统
CN111368887B (zh) 雷雨天气预测模型的训练方法及雷雨天气预测方法
EP4209959A1 (en) Target identification method and apparatus, and electronic device
US20180349470A1 (en) Multi-distance similarity analysis with tri-point arbitration
CN113743477B (zh) 一种基于差分隐私的直方图数据发布方法
CN113793076B (zh) 一种风险池动态监测方法、系统、设备和可读存储介质
CN106874332B (zh) 数据库访问方法和装置
CN114186518A (zh) 一种集成电路良率估算方法及存储器
CN108073464A (zh) 一种基于速度和加速度的时序数据异常点检测方法及装置
CN110765360B (zh) 文本话题处理方法、装置、电子设备及计算机存储介质
CN110968835A (zh) 一种近似分位数计算方法及装置
CN112131467A (zh) 一种数据预测方法、系统、介质及设备
CN111190800A (zh) 预测主机的批量运行时长的方法、系统、装置及存储介质
CN110837853A (zh) 一种快速分类模型构建方法
CN110969483A (zh) 一种识别商户位置的方法、装置及电子设备
CN111814908B (zh) 一种基于数据流的异常数据检测模型更新方法和装置
CN113852629B (zh) 基于自然邻的自适应加权核密度的网络连接异常识别方法及计算机存储介质
CN108229071A (zh) 基于ar模型与svdd算法的刀具性能退化评估方法及系统
CN114372689A (zh) 一种基于动态规划的路网运行特征变点识别方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant