CN116821907B - 一种基于Drop-MAML的小样本学习入侵检测方法 - Google Patents

Abstract

本发明提出一种基于Drop‑MAML的小样本学习入侵检测方法，属于入侵检测技术领域。包括：S1.初始化元学习模型；S2.根据训练次数设置元学习模型总损失或对元学习模型进行参数调整；S3.根据待取出元任务编号确定取出元任务或更新元学习模型训练次数；S4.判断元任务是否符合丢弃策略，基于丢弃概率阈值和丢弃策略决策是否丢弃元任务；S5.深拷贝元学习模型，获得基学习器，将元任务划分为支持集和询问集，支持集迭代优化基学习器，询问集计算loss_i；S6.将loss_i累加到总损失sum‑loss中,执行S3。解决无法利用少量新型恶意攻击样本对模型参数进行充分调整，使模型无法适应新型恶意攻击识别问题。提升小样本场景攻击识别效果。

Description

一种基于Drop-MAML的小样本学习入侵检测方法

技术领域

本申请涉及入侵检测方法，尤其涉及一种基于Drop-MAML的小样本学习入侵检测方法，属于入侵检测技术领域。

背景技术

入侵检测系统(Intrusion Detection System，简称IDS)是一种安全技术，用于监测和识别计算机网络或系统中的潜在入侵行为。它通过监控和分析网络流量、日志和其他相关数据，识别和响应可能的安全威胁，以保护计算机网络和系统的安全性。入侵检测系统的核心是入侵检测算法，目前主流的入侵检测算法是基于机器学习和深度学习的入侵检测算法，依赖大量带标记的恶意攻击流量样本进行模型的训练，但在真实的入侵检测系统应用场景下，往往很难捕获大量带标记的恶意攻击样本，一方面，恶意攻击在真实网络环境中占比较小，另一方面，对于一些新型恶意攻击(如零日攻击)，很难第一时间捕获大量样本，这导致在面对新型恶意攻击时，不能及时有效地更新模型，造成大量的漏报和误报。

MAML是一种小样本学习算法，分为元训练和元测试阶段，元训练阶段对训练元任务进行学习，从而获得一个预训练模型，元测试阶段利用少量样本对预训练模型进行参数微调，从而适应新的任务场景。基于MAML的入侵检测算法在元训练阶段利用已知攻击的样本构建训练元任务，通过对训练元任务进行学习，获得预训练模型，在元测试阶段利用少量新型恶意攻击样本对预训练模型进行参数微调，从而有效识别新型恶意攻击。

基于MAML的入侵检测算法可能会在元训练阶段过度拟合已知攻击样本构成的训练元任务，当新型恶意攻击构成的目标任务和训练元任务特征分布差异过大时，无法利用少量新型恶意攻击样本对模型参数进行充分调整，使得模型无法适应新型恶意攻击的识别。

发明内容

在下文中给出了关于本发明的简要概述，以便提供关于本发明的某些方面的基本理解。应当理解，这个概述并不是关于本发明的穷举性概述。它并不是意图确定本发明的关键或重要部分，也不是意图限定本发明的范围。其目的仅仅是以简化的形式给出某些概念，以此作为稍后论述的更详细描述的前序。

鉴于此，为解决现有技术中无法利用少量新型恶意攻击样本对模型参数进行充分调整，使得模型无法适应新型恶意攻击的识别的技术问题，本发明提供一种基于Drop-MAML的小样本学习入侵检测方法，本发明在元训练阶段以一定策略和概率丢弃和目标任务相似度较低的训练元任务，从而有效解决过拟合问题，提升小样本场景下对新型恶意攻击的识别效果。

方案一、一种基于Drop-MAML的小样本学习入侵检测方法，包括以下步骤：

S1.初始化元学习模型，此时元学习模型训练次数epoch＝0；

S2.根据训练次数设置元学习模型总损失或对元学习模型进行参数调整；

S3.根据待取出元任务编号确定取出元任务或更新元学习模型训练次数；

S4.判断元任务是否符合丢弃策略，设置丢弃概率阈值P，基于丢弃概率阈值P和丢弃策略决策是否丢弃元任务；

具体为：判断元任务是否符合丢弃策略，若符合丢弃策略，设置丢弃概率阈值P，利用随机函数random()生成一个0到1的随机值，若随机值小于丢弃概率阈值P，则丢弃元任务，同时执行S6；否则执行S5；丢弃策略包括基于距离的丢弃策略和基于分类器的丢弃策略；

S5.深拷贝元学习模型，获得基学习器，将元任务T_i划分为支持集和询问集，利用支持集迭代优化基学习器，利用询问集计算基学习器在元任务Ti上的模型损失loss_i；

S6.将loss_i累加到总损失sum-loss中，迭代次数i＝i+1,执行S3。

优选的，根据训练次数设置元学习模型总损失或对元学习模型进行参数调整的方法是：

若元学习模型训练次数epoch<迭代次数M，则将总损失sum-loss设置为0，将迭代次数设置为0，同时执行S3；

若元学习模型训练次数epoch≥迭代次数M，则利用测试元任务中的小样本数据对元学习模型Meta-Learner进行参数调整。

优选的，根据训练元任务个数确定取出元任务或更新元学习模型训练次数的方法是：

若训练元任务个数＜n，则从训练元任务集{T₀,T₁……T_n-1}中取出元任务T_i，同时执行S4；

若训练元任务个数≥n，则利用总损失sum-loss计算平均损失avg-loss，利用平均损失avg-loss更新元学习模型，此时元学习模型训练次数epoch＝epoch+1，同时执行S2。

优选的，基于距离的丢弃策略的方法是：

S410.基于恶意攻击样本构建目标任务T-test，并将T-test划分为正负样本，正样本为正常流量，负样本为恶意流量，初始化迭代次数＝0；

S411.若迭代次数小于元任务T中样本数量，则从元任务T中取出样本(x_i,y_i)，其中，x_i表示样本特征，y_i表示样本标签，否则，执行S417；

S412.将y_i加入真实标签列表；

S413.计算样本特征x_i和所有正样本的平均距离distance0；

S414.计算样本特征x_i和所有负样本的平均距离distance1；

S415.比较distance0和distance1，若distance0<distance1,则样本特征x_i到正负样本的平均距离所预测的标签否则，/>

S416.将样本特征x_i到正负样本的平均距离所预测的标签加入预测标签列表，迭代次数i＝i+1，执行S411；

S417.利用真实标签列表和预测标签列表计算相似度，计算公式：similarity＝

equalcount/samplecount,equalcount为真实标签和预测标签相等的样本数量，samplecount为T中样本的总数量；

S418.若similarity<相似度阈值q，则符合丢弃策略，返回True，否则，返回False。

优选的，基于分类器的丢弃策略的方法是：

S420.基于恶意攻击样本构建目标任务T-test，利用目标任务T-test的数据训练一个分类器，初始化迭代次数＝0；

S421.若迭代次数小于元任务T中样本数量，则从元任务T中取出样本(x_i,y_i),否则，执行S424；

S422.将y_i加入真实标签列表；

S423.利用分类器对x_i进行分类，将分类结果加入预测标签列表，迭代次数i＝i+1，执行S421；

S424.计算分类器的识别准确率，accuracy＝rightcount/samplecount,其中rightcount为预测标签和真实标签一致的样本数量，samplecount为T中样本的总数量；

S425.若accuracy<q，则符合丢弃策略，返回True，否则，返回False。

方案二、一种电子设备，包括存储器和处理器，存储器存储有计算机程序，所述的处理器执行所述计算机程序时实现方案一所述的一种基于Drop-MAML的小样本学习入侵检测方法的步骤。

方案三、一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现方案一所述的一种基于Drop-MAML的小样本学习入侵检测方法。

本发明的有益效果如下：本发明以一定的策略评估元任务和目标任务的相似度，并以一定概率丢弃相似度较低的元任务，从而提升预训练模型对新型恶意攻击的适应能力，有效解决过拟合问题，提升小样本场景下对新型恶意攻击的识别效果。解决了现有技术中无法利用少量新型恶意攻击样本对模型参数进行充分调整，使得模型无法适应新型恶意攻击的识别的技术问题。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为一种基于Drop-MAML的小样本学习入侵检测方法流程示意图；

图2为基于距离的丢弃策略示意图；

图3为基于分类器的丢弃策略示意图。

具体实施方式

为了使本申请实施例中的技术方案及优点更加清楚明白，以下结合附图对本申请的示例性实施例进行进一步详细的说明，显然，所描述的实施例仅是本申请的一部分实施例，而不是所有实施例的穷举。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

实施例1、参照图1-图3说明本实施方式，一种基于Drop-MAML的小样本学习入侵检测方法，包括以下步骤：

S1.初始化元学习模型Meta-Learner，此时元学习模型Meta-Learner训练次数epoch＝0；

S2.根据训练次数设置元学习模型Meta-Learner总损失或对元学习模型Meta-Learner进行参数调整；

若元学习模型Meta-Learner训练次数epoch<迭代次数M，则将总损失sum-loss设置为0，将迭代次数设置为0，同时执行S3；

若元学习模型Meta-Learner训练次数epoch≥迭代次数M，则利用测试元任务中的小样本数据对元学习模型Meta-Learner进行参数调整；

具体的，在前M轮的迭代训练中，训练数据为训练任务集，训练任务集由已知恶意攻击的数据构成，M轮迭代训练后所得到的Meta-Learner是一个预训练模型，还需要根据捕获到的新型恶意攻击数据对预训练模型进行参数微调，此处的小样本数据指的就是捕获到的少量新型恶意攻击样本，参数微调是指，将少量新型恶意攻击样本输入预训练模型中，进行若干轮次迭代，使模型参数改变，适应对新型恶意攻击的识别。调整后的模型，可以直接用于识别新型恶意攻击。

具体的，M为元学习模型Meta-Learner训练次数阈值；该阈值范围通常为：100以上；理论上M越大，模型训练效果越好，但训练时间也越长，可视实际情况权衡训练时间和效果，确定M的值；

S3.根据待取出元任务编号确定取出元任务或更新元学习模型Meta-Learner训练次数；

待取出元任务编号i＜n，则从训练元任务集{T₀,T₁……T_n-1}中取出元任务T_i，同时执行S4；

待取出元任务编号i≥n，则利用总损失sum-loss计算平均损失avg-loss，利用平均损失avg-loss更新元学习模型，此时元学习模型训练次数epoch＝epoch+1，同时执行S2；

S4.判断元任务是否符合丢弃策略，设置丢弃概率阈值P，基于丢弃概率阈值P和丢弃策略决策是否丢弃元任务，具体为：判断元任务是否符合丢弃策略，若符合丢弃策略，设置丢弃概率阈值P，利用随机函数random()生成一个0到1的随机值，若随机值小于丢弃概率阈值P，则丢弃元任务，同时执行S6；否则执行S5；丢弃策略包括基于距离的丢弃策略和基于分类器的丢弃策略；

丢弃策略包括基于距离的丢弃策略和基于分类器的丢弃策略；

基于距离的丢弃策略的方法是：

S410.基于恶意攻击样本构建目标任务T-test，并将T-test划分为正负样本，正样本为正常流量，负样本为恶意流量，初始化迭代次数＝0；

S411.若迭代次数小于元任务T中样本数量，则从元任务T中取出样本(x_i,y_i)，其中，x_i表示样本特征，y_i表示样本标签，否则，执行S417；

S412.将样本标签y_i加入真实标签列表；

S413.计算样本特征x_i和所有正样本的平均距离distance0；

S414.计算样本特征x_i和所有负样本的平均距离distance1；

S415.比较distance0和distance1，若distance0<distance1,则样本特征x_i到正负样本的平均距离所预测的标签否则，/>

S416.将样本特征x_i到正负样本的平均距离所预测的标签加入预测标签列表，迭代次数i＝i+1，执行S411；

S417.利用真实标签列表和预测标签列表计算相似度，计算公式：similarity＝

equalcount/samplecount,equalcount为真实标签和预测标签相等的样本数量，samplecount为T中样本的总数量；

S418.若similarity<相似度阈值q，则符合丢弃策略，返回True，否则，返回False。

具体的，q为事先设定的相似度阈值，未达到相似度阈值会被判定为符合丢弃策略，q越大，丢弃策略越严格，具体设定视实际情况调整；

基于分类器的丢弃策略的方法是：

S420.基于恶意攻击样本构建目标任务T-test，利用目标任务T-test的数据训练一个分类器，初始化迭代次数＝0；

S421.若迭代次数小于元任务T中样本数量，则从元任务T中取出样本(x_i,y_i),否则，执行S424；

S422.将y_i加入真实标签列表；

S423.利用分类器对x_i进行分类，将分类结果加入预测标签列表，迭代次数i＝i+1，执行S421；

S424.计算分类器的识别准确率，accuracy＝rightcount/samplecount,其中rightcount为预测标签和真实标签一致的样本数量，samplecount为T中样本的总数量；

S425.若accuracy<q，则符合丢弃策略，返回True，否则，返回False。

S5.深拷贝元学习模型Meta-Learner，获得基学习器Base-Learner，将元任务T_i划分为支持集和询问集，利用支持集迭代优化基学习器Base-Learner，利用询问集计算基学习器在元任务Ti上的模型损失loss_i；

S6.将loss_i累加到总损失sum-loss中，取出的元任务的编号i＝i+1,执行S3。

具体的，S6的前一步，可能是S4和S5，从S4跳转而来代表元任务被丢弃，从S5跳转而来代表元任务未被丢弃，无论是S4还是S5跳转而来，都需要将loss累加到sum-loss中，只是在元任务被丢弃时，累加值为0，sum-loss不发生改变，loss累加后，该元任务处理完毕，需要取出下一个元任务，i代表的是取出的元任务的编号，i＝i+1，代表将取出的元任务编号+1，即取出下一个元任务。

实施例2、本发明的计算机装置可以是包括有处理器以及存储器等装置，例如包含中央处理器的单片机等。并且，处理器用于执行存储器中存储的计算机程序时实现上述的一种基于Drop-MAML的小样本学习入侵检测方法的步骤。

所称处理器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

实施例3、计算机可读存储介质实施例

本发明的计算机可读存储介质可以是被计算机装置的处理器所读取的任何形式的存储介质，包括但不限于非易失性存储器、易失性存储器、铁电存储器等，计算机可读存储介质上存储有计算机程序，当计算机装置的处理器读取并执行存储器中所存储的计算机程序时，可以实现上述的一种基于Drop-MAML的小样本学习入侵检测方法的步骤。

所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

尽管根据有限数量的实施例描述了本发明，但是受益于上面的描述，本技术领域内的技术人员明白，在由此描述的本发明的范围内，可以设想其它实施例。此外，应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本发明的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本发明的范围，对本发明所做的公开是说明性的，而非限制性的，本发明的范围由所附权利要求书限定。

Claims (5)

1.一种基于Drop-MAML的小样本学习入侵检测方法，其特征在于，包括以下步骤：

S1.初始化元学习模型，此时元学习模型训练次数epoch＝0；

S2.根据训练次数设置元学习模型总损失或对元学习模型进行参数调整，方法是：

若元学习模型训练次数epoch<迭代次数M，则将总损失sum-loss设置为0，将迭代次数设置为0，同时执行S3；

若元学习模型训练次数epoch≥迭代次数M，则利用测试元任务中的小样本数据对元学习模型Meta-Learner进行参数调整；

S3.根据待取出元任务编号确定取出元任务或更新元学习模型训练次数，方法是：

待取出元任务编号＜n，则从训练元任务集{T₀,T₁……T_n-1}中取出元任务T_i，同时执行S4；

待取出元任务编号≥n，则利用总损失sum-loss计算平均损失avg-loss，利用平均损失avg-loss更新元学习模型，此时元学习模型训练次数epoch＝epoch+1，同时执行S2；

S4.判断元任务是否符合丢弃策略，设置丢弃概率阈值P，基于丢弃概率阈值P和丢弃策略决策是否丢弃元任务，具体为：判断元任务是否符合丢弃策略，若符合丢弃策略，设置丢弃概率阈值P，利用随机函数random()生成一个0到1的随机值，若随机值小于丢弃概率阈值P，则丢弃元任务，同时执行S6；否则执行S5；丢弃策略包括基于距离的丢弃策略和基于分类器的丢弃策略，计算元任务和目标任务的相似度，以预设概率丢弃相似度低的元任务；

S5.深拷贝元学习模型，获得基学习器，将元任务T_i划分为支持集和询问集，利用支持集迭代优化基学习器，利用询问集计算基学习器在元任务Ti上的模型损失loss_i；

S6.将loss_i累加到总损失sum-loss中，取出的元任务的编号i＝i+1,执行S3。

2.根据权利要求1所述的一种基于Drop-MAML的小样本学习入侵检测方法，其特征在于，基于距离的丢弃策略的方法是：

S410.基于恶意攻击样本构建目标任务T-test，并将T-test划分为正负样本，正样本为正常流量，负样本为恶意流量，初始化迭代次数＝0；

S411.若迭代次数小于元任务T中样本数量，则从元任务T中取出样本(x_i,y_i)，其中，x_i表示样本特征，y_i表示样本标签，否则，执行S417；

S412.将样本标签y_i加入真实标签列表；

S413.计算样本特征x_i和所有正样本的平均距离distance0；

S414.计算样本特征x_i和所有负样本的平均距离distance1；

S415.比较distance0和distance1，若distance0<distance1,则样本特征x_i到正负样本的平均距离所预测的标签否则，/>

S416.将样本特征x_i到正负样本的平均距离所预测的标签加入预测标签列表，迭代次数i＝i+1，执行S411；

S417.利用真实标签列表和预测标签列表计算相似度，计算公式：similarity＝equalcount/samplecount,equalcount为真实标签和预测标签相等的样本数量，

samplecount为T中样本的总数量；

S418.若similarity<相似度阈值q，则符合丢弃策略，返回True，否则，返回False。

3.根据权利要求2所述的一种基于Drop-MAML的小样本学习入侵检测方法，其特征在于，基于分类器的丢弃策略的方法是：

S420.基于恶意攻击样本构建目标任务T-test，利用目标任务T-test的数据训练一个分类器，初始化迭代次数＝0；

S421.若迭代次数小于元任务T中样本数量，则从元任务T中取出样本(x_i,y_i),否则，执行S424；

S422.将y_i加入真实标签列表；

S423.利用分类器对x_i进行分类，将分类结果加入预测标签列表，迭代次数i＝i+1，执行S421；

S424.计算分类器的识别准确率，accuracy＝rightcount/samplecount，其中rightcount为预测标签和真实标签一致的样本数量，samplecount为T中样本的总数量；

S425.若accuracy<q，则符合丢弃策略，返回True，否则，返回False。

4.一种电子设备，其特征在于，包括存储器和处理器，存储器存储有计算机程序，所述的处理器执行所述计算机程序时实现权利要求1-3任一项所述的一种基于Drop-MAML的小样本学习入侵检测方法的步骤。

5.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1-3任一项所述的一种基于Drop-MAML的小样本学习入侵检测方法。