CN117333717A - 基于网络信息技术的安全监控方法及系统 - Google Patents

Abstract

本发明公开了一种基于网络信息技术的安全监控方法及系统。其首先对原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像，接着，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列，然后，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量，接着，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵，最后，将所述分类特征矩阵进行优化后通过分类器以得到用于表示原始流量数据包是否属于异常流量的分类结果。这样，可以准确地进行异常流量的识别检测。

Description

基于网络信息技术的安全监控方法及系统

技术领域

本申请涉及智能化监控领域，且更为具体地，涉及一种基于网络信息技术的安全监控方法及系统。

背景技术

随着互联网的普及和网络技术的迅速发展，网络安全问题日益突出，网络攻击事件也层出不穷，给网络安全带来了严峻的挑战。因此，如何有效地监控和检测网络流量，及时发现并防范网络攻击事件，成为了网络安全领域的重要问题。

入侵检测系统（IDS）是网络安全领域中常用的一种技术，它可以通过监视网络流量和识别异常的流量模式来检测攻击。IDS可以实时监控网络流量，并根据预定义的规则或行为模式来识别异常流量或攻击行为，从而及时报告并采取相应的措施。然而，尽管IDS在网络安全领域中得到了广泛应用，但它仍然存在一些缺陷和局限性。

具体来说，传统的IDS系统通常是基于预定义的规则或行为模式进行流量检测，因此对于新型的攻击手段或流量模式可能无法及时进行识别和检测，使得IDS系统对于异常流量检测的准确性和实时性受到很大的限制。

因此，期望一种优化的基于网络信息技术的安全监控方案。

发明内容

为了解决上述技术问题，提出了本申请。本申请的实施例提供了一种基于网络信息技术的安全监控方法及系统。其首先对原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像，接着，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列，然后，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量，接着，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵，最后，将所述分类特征矩阵进行优化后通过分类器以得到用于表示原始流量数据包是否属于异常流量的分类结果。这样，可以准确地进行异常流量的识别检测。

根据本申请的一个方面，提供了一种基于网络信息技术的安全监控方法，其包括：

获取由网络IDS系统采集的预定时间段的原始流量数据包；

对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像；

对所述PNG流量图像进行图像分块处理以得到流量图像块的序列；

将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量；

将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵；以及

将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量。

在上述的基于网络信息技术的安全监控方法中，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列，包括：

对所述PNG流量图像进行均匀的图像分块处理以得到流量图像块的序列，其中，每个所述流量图像块具有相同的尺寸。

在上述的基于网络信息技术的安全监控方法中，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量，包括：

使用所述ViT模型的所述嵌入层分别对所述流量图像块的序列中各个流量图像块进行嵌入化以得到流量图像块嵌入向量的序列；以及

将所述流量图像块嵌入向量的序列通过所述ViT模型以得到所述多个流量图像块特征向量。

在上述的基于网络信息技术的安全监控方法中，使用所述ViT模型的所述嵌入层分别对所述流量图像块的序列中各个流量图像块进行嵌入化以得到流量图像块嵌入向量的序列，包括：

将所述流量图像块的序列中各个流量图像块的二维像素值矩阵展开为一维像素值向量以得到一维像素值向量的序列；以及

使用所述嵌入层分别对所述一维像素值向量的序列中的各个一维像素值向量进行全连接编码以得到所述流量图像块嵌入向量的序列。

在上述的基于网络信息技术的安全监控方法中，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵，包括：

将所述多个流量图像块特征向量进行矩阵化以得到所述二维特征矩阵；

将所述二维特征矩阵分别沿着水平方向和垂直方向进行池化以得到第一向池化向量和第二向池化向量；

对所述第一向池化向量和所述第二向池化向量进行关联编码以得到双向关联矩阵；

将所述双向关联矩阵输入Sigmoid激活函数以得到注意力特征矩阵；以及

融合所述二维特征矩阵和所述注意力特征矩阵以得到分类特征矩阵。

在上述的基于网络信息技术的安全监控方法中，还包括训练步骤，用于对所述包含嵌入层的ViT模型、所述双向注意力机制模块和所述分类器进行训练；

其中，所述训练步骤：

获取由网络IDS系统采集的预定时间段的训练原始流量数据包；

对所述训练原始流量数据包进行预处理以将所述训练原始流量数据包转化为训练PNG流量图像；

对所述训练PNG流量图像进行图像分块处理以得到训练流量图像块的序列；

将所述训练流量图像块的序列通过所述包含嵌入层的ViT模型以得到多个训练流量图像块特征向量；

将所述多个训练流量图像块特征向量排列为训练二维特征矩阵后通过所述双向注意力机制模块以得到训练分类特征矩阵；

将所述训练分类特征矩阵通过所述分类器以得到分类损失函数值；

基于所述分类损失函数值并通过梯度下降的方向传播来对所述包含嵌入层的ViT模型、所述双向注意力机制模块和所述分类器进行训练，其中，在所述训练的每一轮迭代中，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整。

在上述的基于网络信息技术的安全监控方法中，在所述训练的每一轮迭代中，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整，包括：基于所述训练分类特征矩阵展开后得到的训练分类特征向量以如下迭代公式进行权重矩阵的迭代调整；

其中，所述迭代公式为：

，/>，/>，其中，/>和/>分别是上次和本次迭代的权重矩阵，/>是待分类的训练分类特征向量，/>是第一特征向量，/>是第二特征向量，/>是第二特征向量的转置向量，/>和/>分别表示特征向量/>和/>的全局均值，且/>是偏置矩阵，/>是最大值函数，/>表示矩阵乘法，/>表示矩阵加法，/>表示按位置点乘，/>表示迭代调整后的权重矩阵。

在上述的基于网络信息技术的安全监控方法中，将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量，包括：

将所述分类特征矩阵按照行向量或列向量展开为分类特征向量；

使用所述分类器的多个全连接层对所述分类特征向量进行全连接编码以得到编码分类特征向量；以及

将所述编码分类特征向量通过所述分类器的Softmax分类函数以得到所述分类结果。

根据本申请的另一个方面，提供了一种基于网络信息技术的安全监控系统，其包括：

数据包获取模块，用于获取由网络IDS系统采集的预定时间段的原始流量数据包；

预处理模块，用于对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像；

图像分块处理模块，用于对所述PNG流量图像进行图像分块处理以得到流量图像块的序列；

ViT编码模块，用于将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量；

双向注意力编码模块，用于将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵；以及

分类模块，用于将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量。

在上述的基于网络信息技术的安全监控系统中，所述图像分块处理模块，用于：

对所述PNG流量图像进行均匀的图像分块处理以得到流量图像块的序列，其中，每个所述流量图像块具有相同的尺寸。

在上述的基于网络信息技术的安全监控系统中，所述ViT编码模块，用于：

使用所述ViT模型的所述嵌入层分别对所述流量图像块的序列中各个流量图像块进行嵌入化以得到流量图像块嵌入向量的序列；以及

将所述流量图像块嵌入向量的序列通过所述ViT模型以得到所述多个流量图像块特征向量。

与现有技术相比，本申请提供的基于网络信息技术的安全监控方法及系统，其首先对原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像，接着，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列，然后，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量，接着，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵，最后，将所述分类特征矩阵进行优化后通过分类器以得到用于表示原始流量数据包是否属于异常流量的分类结果。这样，可以准确地进行异常流量的识别检测。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员而言，在没有做出创造性劳动的前提下，还可以根据这些附图获得其他的附图。以下附图并未刻意按实际尺寸等比例缩放绘制，重点在于示出本申请的主旨。

图1为根据本申请实施例的基于网络信息技术的安全监控方法的应用场景图。

图2为根据本申请实施例的基于网络信息技术的安全监控方法的流程图。

图3为根据本申请实施例的基于网络信息技术的安全监控方法的架构示意图。

图4为根据本申请实施例的基于网络信息技术的安全监控方法的子步骤S140的流程图。

图5为根据本申请实施例的基于网络信息技术的安全监控方法的子步骤S141的流程图。

图6为根据本申请实施例的基于网络信息技术的安全监控方法的子步骤S150的流程图。

图7为根据本申请实施例的基于网络信息技术的安全监控方法的子步骤S160的流程图。

图8为根据本申请实施例的基于网络信息技术的安全监控系统的框图。

具体实施方式

下面将结合附图对本申请实施例中的技术方案进行清楚、完整地描述，显而易见地，所描述的实施例仅仅是本申请的部分实施例，而不是全部的实施例。基于本申请实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，也属于本申请保护的范围。

如本申请和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其他的步骤或元素。

虽然本申请对根据本申请的实施例的系统中的某些模块做出了各种引用，然而，任何数量的不同模块可以被使用并运行在用户终端和/或服务器上。所述模块仅是说明性的，并且所述系统和方法的不同方面可以使用不同模块。

本申请中使用了流程图用来说明根据本申请的实施例的系统所执行的操作。应当理解的是，前面或下面操作不一定按照顺序来精确地执行。相反，根据需要，可以按照倒序或同时处理各种步骤。同时，也可以将其他操作添加到这些过程中，或从这些过程移除某一步或数步操作。

下面，将参考附图详细地描述根据本申请的示例实施例。显然，所描述的实施例仅仅是本申请的一部分实施例，而不是本申请的全部实施例，应理解，本申请不受这里描述的示例实施例的限制。

如上所述，IDS可以实时监控网络流量，并根据预定义的规则或行为模式来识别异常流量或攻击行为，从而及时报告并采取相应的措施。然而，尽管IDS在网络安全领域中得到了广泛应用，但它仍然存在一些缺陷和局限性。具体来说，传统的IDS系统通常是基于预定义的规则或行为模式进行流量检测，因此对于新型的攻击手段或流量模式可能无法及时进行识别和检测，使得IDS系统对于异常流量检测的准确性和实时性受到很大的限制。因此，期望一种优化的基于网络信息技术的安全监控方案。

相应地，考虑到由于网络IDS监控网络流量，能够通过监控网络流量和识别不寻常的流量模式来检测异常流量或攻击，因此，在实际进行基于网络信息技术的安全监控过程中，关键在于对于IDS系统采集的原始流量数据包进行分析，以此来进行异常流量的检测。但是，由于采集的原始流量数据常常出现格式不统一、长度不统一、数据缺失等情况，因此，难以对于所述原始流量数据中的隐含特征信息进行有效且充分地捕捉提取。因此，在此过程中，难点在于如何进行所述原始流量数据包的隐含特征分布信息进行充分表达，以此来及时准确地进行异常流量的识别检测，从而保证网络的安全性。

近年来，深度学习以及神经网络已经广泛应用于计算机视觉、自然语言处理、文本信号处理等领域。深度学习以及神经网络的发展为挖掘所述原始流量数据包的隐含特征分布信息提供了新的解决思路和方案。

具体地，在本申请的技术方案中，首先，获取由网络IDS系统采集的预定时间段的原始流量数据包。然后，考虑到由于所述原始流量数据包中的数据可能大小、格式都不统一，并且还会存在着数据缺失等问题，因此，进一步对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像，以便于后续进行所述原始流量数据包的特征提取和分类。应可以理解，PNG格式是一种无损压缩的图像格式，可以保留原始数据的完整性，同时也具有较小的文件大小，便于存储和传输。特别地，在将所述原始流量数据包转化为PNG流量图像的过程中，可以对数据进行流量切分、数据清洗、长度统一、格式转换及数据集划分等预处理，从而提高后续特征提取和分类的准确性和实时性。同时，将所述原始流量数据包转化为图像的形式，还可以利用图像处理和机器学习等技术进行特征提取和分类，从而实现对异常流量的实时检测和预警。

进一步地，使用在图像的隐含特征提取方面具有优异表现的卷积神经网络模型来进行所述PNG流量图像的特征挖掘，但是由于卷积运算的固有局限性，纯CNN的方法很难学习明确的全局和远程语义信息交互。并且，还考虑到由于在网络流量监控中，所述PNG流量图像通常具有较高的分辨率和较大的文件大小，其中还包含了大量的无用信息，而所述PNG流量图像中关于原始流量数据包的异常流量隐含特征为小尺度的细微特征信息，难以进行捕捉提取。

基于此，为了能够提高所述PNG流量图像中关于原始流量数据包的隐含小尺度细微特征的表达能力，以此来提高对于异常流量的检测精准度，在本申请的技术方案中，进一步对所述PNG流量图像进行图像分块处理以得到流量图像块的序列后，将所述流量图像块的序列通过包含嵌入层的ViT模型中进行编码，以提取出所述PNG流量图像中关于原始流量数据包的局部隐含上下文关联特征信息，从而得到多个流量图像块特征向量。应可以理解，在对于所述PNG流量图像进行图像分块处理后的各个流量图像块中关于原始流量数据包的小尺度隐含特征不再是小尺度的特征信息，有利于后续进行异常流量的检测。同时将图像划分为多个小块，每个小块包含的信息更加集中，以减小图像的文件大小，方便存储和传输。特别地，所述嵌入层通过可学习嵌入矩阵将所述各个流量图像块线性投影为一维嵌入向量。嵌入化的实现过程是先分别将各个所述流量图像块中所有像素位置的像素值排列为一维向量，然后使用全连接层对该一维向量进行全连接编码以实现嵌入化。并且，这里，所述ViT模型可以像Transformer一样直接通过自注意机制处理所述各个流量图像块，以此来分别提取出所述各个流量图像块中基于所述PNG流量图像整体的关于所述原始流量数据包的隐含上下文语义关联特征信息。

然后，考虑到由于所述原始流量数据包的流量数据特征信息复杂多样，因此，为了能够提高对于异常流量的检测精准度，在本申请的技术方案中，进一步将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵。这样，能够充分利用上下文信息来增强所述原始流量数据包的流量数据特征响应和抑制背景特征响应。具体地，所述双向注意力模块分别从水平方向和垂直方向对整个二维特征矩阵的注意力权重校准并获取复杂特征关系,从而能够从空间的全局特征中获取局部特征信息，继而能够进一步提高分类准确性和实时性，从而更好地实现网络安全监控的目的。

接着，进一步再将所述分类特征矩阵通过分类器中进行分类处理，以得到用于表示原始流量数据包是否属于异常流量的分类结果。也就是，在本申请的技术方案中，所述分类器的标签包括原始流量数据包属于异常流量(第一标签)，以及，原始流量数据包不属于异常流量(第二标签)，其中，所述分类器通过软最大值函数来确定所述分类特征矩阵属于哪个分类标签。值得注意的是，这里的所述第一标签p1和所述第二标签p2并不包含人为设定的概念，实际上在训练过程当中，计算机模型并没有“原始流量数据包是否属于异常流量”这种概念，其只是有两种分类标签且输出特征在这两个分类标签下的概率，即p1和p2之和为一。因此，原始流量数据包是否属于异常流量的分类结果实际上是通过分类标签转化为符合自然规律的二分类的类概率分布，实质上用到的是标签的自然概率分布的物理意义，而不是“原始流量数据包是否属于异常流量”的语言文本意义。应可以理解，在本申请的技术方案中，所述分类器的分类标签为原始流量数据包是否属于异常流量的检测评估标签，因此，在得到所述分类结果后，可基于所述分类结果来进行异常流量的识别检测，从而保证网络的安全性。

特别地，在本申请的技术方案中，在将所述多个流量图像块特征向量排列的二维特征矩阵通过双向注意力机制模块得到所述分类特征矩阵时，是将所述二维特征矩阵通过双向注意力机制得到的注意力特征矩阵与所述二维特征矩阵融合来得到所述分类特征矩阵。并且，考虑到所述二维特征矩阵是表达所述PNG流量图像的每个图像分块的上下文关联的图像特征语义，因此所述二维特征矩阵可以看作为每个图像分块的特征片段组合式分布，而所述双向注意力机制在行和列方向上强化了所述二维特征矩阵的局部特征空间分布，这样，如果将每个图像分块的特征片段作为单维度特征表示，则特征排列和双向注意力机制会带来所述分类特征矩阵的分布维度关联密集的特征表示，这也会在所述分类特征矩阵通过分类器进行分类回归训练时，引起分类器的权重矩阵的训练效率降低。

基于此，本申请的申请人在将所述训练分类特征矩阵通过分类器进行分类回归的训练时，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整，具体表示为：

，/>，/>，其中，/>和/>分别是上次和本次迭代的权重矩阵，其中在首次迭代时，采用不同的初始化策略设置/>和/>，（例如，/>设置为单位矩阵而/>设置为待分类的训练分类特征向量的均值对角矩阵），/>是待分类的训练分类特征向量，/>是第一特征向量，/>是第二特征向量，是第二特征向量的转置向量，/>和/>分别表示特征向量/>和/>的全局均值，且/>是偏置矩阵，例如初始设置为单位矩阵，/>是最大值函数，/>表示矩阵乘法，/>表示矩阵加法，表示按位置点乘，/>表示迭代调整后的权重矩阵。

也就是，考虑到在进行基于所述训练分类特征向量的密集预测任务时，需要将权重矩阵的高分辨率表示与所述训练分类特征向量/>的全局上下文进行集成，因此通过在迭代过程中最大化权重空间的分布边界，来基于迭代关联表示资源认知地（resource-aware）实现渐进集成（progressive integrity），从而提高权重矩阵的训练效果，提升模型整体的训练效率。

图1为根据本申请实施例的基于网络信息技术的安全监控方法的应用场景图。如图1所示，在该应用场景中，首先，获取由网络IDS系统采集的预定时间段的原始流量数据包（例如，图1中所示意的D），然后，将所述原始流量数据包输入至部署有基于网络信息技术的安全监控算法的服务器中（例如，图1中所示意的S），其中，所述服务器能够使用所述基于网络信息技术的安全监控算法对所述原始流量数据包进行处理以得到用于表示原始流量数据包是否属于异常流量的分类结果。

图2为根据本申请实施例的基于网络信息技术的安全监控方法的流程图。图3为根据本申请实施例的基于网络信息技术的安全监控方法的架构示意图。如图2和图3所示，根据本申请实施例的基于网络信息技术的安全监控方法，包括步骤：S110，获取由网络IDS系统采集的预定时间段的原始流量数据包；S120，对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像；S130，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列；S140，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量；S150，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵；以及，S160，将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量。

更具体地，在步骤S110中，获取由网络IDS系统采集的预定时间段的原始流量数据包。网络IDS监控网络流量，能够通过监控网络流量和识别不寻常的流量模式来检测异常流量或攻击，因此，在实际进行基于网络信息技术的安全监控过程中，关键在于对于IDS系统采集的原始流量数据包进行分析，以此来进行异常流量的检测。

更具体地，在步骤S120中，对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像。由于所述原始流量数据包中的数据可能大小、格式都不统一，并且还会存在着数据缺失等问题，因此，进一步对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像，以便于后续进行所述原始流量数据包的特征提取和分类。应可以理解，PNG格式是一种无损压缩的图像格式，可以保留原始数据的完整性，同时也具有较小的文件大小，便于存储和传输。

更具体地，在步骤S130中，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列。从而提高后续特征提取和分类的准确性和实时性。

相应地，在一个具体示例中，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列，包括：对所述PNG流量图像进行均匀的图像分块处理以得到流量图像块的序列，其中，每个所述流量图像块具有相同的尺寸。

更具体地，在步骤S140中，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量。为了能够提高所述PNG流量图像中关于原始流量数据包的隐含小尺度细微特征的表达能力，以此来提高对于异常流量的检测精准度，在本申请的技术方案中，进一步对所述PNG流量图像进行图像分块处理以得到流量图像块的序列后，将所述流量图像块的序列通过包含嵌入层的ViT模型中进行编码，以提取出所述PNG流量图像中关于原始流量数据包的局部隐含上下文关联特征信息，从而得到多个流量图像块特征向量。

相应地，在一个具体示例中，如图4所示，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量，包括：S141，使用所述ViT模型的所述嵌入层分别对所述流量图像块的序列中各个流量图像块进行嵌入化以得到流量图像块嵌入向量的序列；以及，S142，将所述流量图像块嵌入向量的序列通过所述ViT模型以得到所述多个流量图像块特征向量。

相应地，在一个具体示例中，如图5所示，使用所述ViT模型的所述嵌入层分别对所述流量图像块的序列中各个流量图像块进行嵌入化以得到流量图像块嵌入向量的序列，包括：S1411，将所述流量图像块的序列中各个流量图像块的二维像素值矩阵展开为一维像素值向量以得到一维像素值向量的序列；以及，S1412，使用所述嵌入层分别对所述一维像素值向量的序列中的各个一维像素值向量进行全连接编码以得到所述流量图像块嵌入向量的序列。

更具体地，在步骤S150中，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵。为了能够提高对于异常流量的检测精准度，在本申请的技术方案中，进一步将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵。这样，能够充分利用上下文信息来增强所述原始流量数据包的流量数据特征响应和抑制背景特征响应。具体地，所述双向注意力模块分别从水平方向和垂直方向对整个二维特征矩阵的注意力权重校准并获取复杂特征关系,从而能够从空间的全局特征中获取局部特征信息，继而能够进一步提高分类准确性和实时性，从而更好地实现网络安全监控的目的。

相应地，在一个具体示例中，如图6所示，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵，包括：S151，将所述多个流量图像块特征向量进行矩阵化以得到所述二维特征矩阵；S152，将所述二维特征矩阵分别沿着水平方向和垂直方向进行池化以得到第一向池化向量和第二向池化向量；S153，对所述第一向池化向量和所述第二向池化向量进行关联编码以得到双向关联矩阵；S154，将所述双向关联矩阵输入Sigmoid激活函数以得到注意力特征矩阵；S155，融合所述二维特征矩阵和所述注意力特征矩阵以得到分类特征矩阵。

更具体地，在步骤S160中，将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量。在得到所述分类结果后，可基于所述分类结果来进行异常流量的识别检测，从而保证网络的安全性。

应可以理解，分类器的作用是利用给定的类别、已知的训练数据来学习分类规则和分类器，然后对未知数据进行分类（或预测）。逻辑回归（logistics）、SVM等常用于解决二分类问题，对于多分类问题（multi-class classification），同样也可以用逻辑回归或SVM，只是需要多个二分类来组成多分类，但这样容易出错且效率不高，常用的多分类方法有Softmax分类函数。

相应地，在一个具体示例中，如图7所示，将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量，包括：S161，将所述分类特征矩阵按照行向量或列向量展开为分类特征向量；S162，使用所述分类器的多个全连接层对所述分类特征向量进行全连接编码以得到编码分类特征向量；以及，S163，将所述编码分类特征向量通过所述分类器的Softmax分类函数以得到所述分类结果。

在一个具体示例中，所述基于网络信息技术的安全监控方法还包括训练步骤，用于对所述包含嵌入层的ViT模型、所述双向注意力机制模块和所述分类器进行训练；其中，所述训练步骤：获取由网络IDS系统采集的预定时间段的训练原始流量数据包；对所述训练原始流量数据包进行预处理以将所述训练原始流量数据包转化为训练PNG流量图像；对所述训练PNG流量图像进行图像分块处理以得到训练流量图像块的序列；将所述训练流量图像块的序列通过所述包含嵌入层的ViT模型以得到多个训练流量图像块特征向量；将所述多个训练流量图像块特征向量排列为二维特征矩阵后通过所述双向注意力机制模块以得到训练分类特征矩阵；将所述训练分类特征矩阵通过所述分类器以得到分类损失函数值；基于所述分类损失函数值并通过梯度下降的方向传播来对所述包含嵌入层的ViT模型、所述双向注意力机制模块和所述分类器进行训练，其中，在所述训练的每一轮迭代中，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整。

在本申请的技术方案中，在将所述多个流量图像块特征向量排列的二维特征矩阵通过双向注意力机制模块得到所述分类特征矩阵时，是将所述二维特征矩阵通过双向注意力机制得到的注意力特征矩阵与所述二维特征矩阵融合来得到所述分类特征矩阵。并且，考虑到所述二维特征矩阵是表达所述PNG流量图像的每个图像分块的上下文关联的图像特征语义，因此所述二维特征矩阵可以看作为每个图像分块的特征片段组合式分布，而所述双向注意力机制在行和列方向上强化了所述二维特征矩阵的局部特征空间分布，这样，如果将每个图像分块的特征片段作为单维度特征表示，则特征排列和双向注意力机制会带来所述分类特征矩阵的分布维度关联密集的特征表示，这也会在所述分类特征矩阵通过分类器进行分类回归训练时，引起分类器的权重矩阵的训练效率降低。基于此，本申请在将所述训练分类特征矩阵通过分类器进行分类回归的训练时，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整。

相应地，在一个具体示例中，在所述训练的每一轮迭代中，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整，包括：基于所述训练分类特征矩阵展开后得到的训练分类特征向量以如下迭代公式进行权重矩阵的迭代调整；

其中，所述迭代公式为：

，/>，/>，其中，/>和/>分别是上次和本次迭代的权重矩阵，其中在首次迭代时，采用不同的初始化策略设置/>和/>，（例如，/>设置为单位矩阵而/>设置为待分类的训练分类特征向量的均值对角矩阵），/>是待分类的训练分类特征向量，/>是第一特征向量，/>是第二特征向量，/>是第二特征向量的转置向量，/>和/>分别表示特征向量/>和/>的全局均值，且是偏置矩阵，例如初始设置为单位矩阵，/>是最大值函数，/>表示矩阵乘法，/>表示矩阵加法，/>表示按位置点乘，/>表示迭代调整后的权重矩阵。

也就是，考虑到在进行基于所述训练分类特征向量的密集预测任务时，需要将权重矩阵的高分辨率表示与所述训练分类特征向量/>的全局上下文进行集成，因此通过在迭代过程中最大化权重空间的分布边界，来基于迭代关联表示资源认知地（resource-aware）实现渐进集成（progressive integrity），从而提高权重矩阵的训练效果，提升模型整体的训练效率。

综上，基于本申请实施例的基于网络信息技术的安全监控方法，其首先对原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像，接着，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列，然后，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量，接着，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵，最后，将所述分类特征矩阵进行优化后通过分类器以得到用于表示原始流量数据包是否属于异常流量的分类结果。这样，可以准确地进行异常流量的识别检测。

图8为根据本申请实施例的基于网络信息技术的安全监控系统100的框图。如图8所示，根据本申请实施例的基于网络信息技术的安全监控系统100，包括：数据包获取模块110，用于获取由网络IDS系统采集的预定时间段的原始流量数据包；预处理模块120，用于对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像；图像分块处理模块130，用于对所述PNG流量图像进行图像分块处理以得到流量图像块的序列；ViT编码模块140，用于将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量；双向注意力编码模块150，用于将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵；以及，分类模块160，用于将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量。

这里，本领域技术人员可以理解，上述基于网络信息技术的安全监控系统100中的各个模块的具体功能和操作已经在上面参考图1到图7的基于网络信息技术的安全监控方法的描述中得到了详细介绍，并因此，将省略其重复描述。

如上所述，根据本申请实施例的基于网络信息技术的安全监控系统100可以实现在各种无线终端中，例如具有基于网络信息技术的安全监控算法的服务器等。在一个示例中，根据本申请实施例的基于网络信息技术的安全监控系统100可以作为一个软件模块和/或硬件模块而集成到无线终端中。例如，该基于网络信息技术的安全监控系统100可以是该无线终端的操作系统中的一个软件模块，或者可以是针对于该无线终端所开发的一个应用程序；当然，该基于网络信息技术的安全监控系统100同样可以是该无线终端的众多硬件模块之一。

替换地，在另一示例中，该基于网络信息技术的安全监控系统100与该无线终端也可以是分立的设备，并且该基于网络信息技术的安全监控系统100可以通过有线和/或无线网络连接到该无线终端，并且按照约定的数据格式来传输交互信息。

根据本申请的另一方面，还提供了一种非易失性的计算机可读存储介质，其上存储有计算机可读的指令，当利用计算机执行所述指令时可以执行如前所述的方法。

技术中的程序部分可以被认为是以可执行的代码和/或相关数据的形式而存在的“产品”或“制品”，通过计算机可读的介质所参与或实现的。有形的、永久的储存介质可以包括任何计算机、处理器、或类似设备或相关的模块所用到的内存或存储器。例如，各种半导体存储器、磁带驱动器、磁盘驱动器或者类似任何能够为软件提供存储功能的设备。

所有软件或其中的一部分有时可能会通过网络进行通信，如互联网或其他通信网络。此类通信可以将软件从一个计算机设备或处理器加载到另一个。例如：从视频目标检测设备的一个服务器或主机计算机加载至一个计算机环境的硬件平台，或其他实现系统的计算机环境，或与提供目标检测所需要的信息相关的类似功能的系统。因此，另一种能够传递软件元素的介质也可以被用作局部设备之间的物理连接，例如光波、电波、电磁波等，通过电缆、光缆或者空气等实现传播。用来载波的物理介质如电缆、无线连接或光缆等类似设备，也可以被认为是承载软件的介质。在这里的用法除非限制了有形的“储存”介质，其他表示计算机或机器“可读介质”的术语都表示在处理器执行任何指令的过程中参与的介质。

本申请使用了特定词语来描述本申请的实施例。如“第一/第二实施例”、“一实施例”、和/或“一些实施例”意指与本申请至少一个实施例相关的某一特征、结构或特点。因此，应强调并注意的是，本说明书中在不同位置两次或多次提及的“一实施例”或“一个实施例”或“一替代性实施例”并不一定是指同一实施例。此外，本申请的一个或多个实施例中的某些特征、结构或特点可以进行适当的组合。

此外，本领域技术人员可以理解，本申请的各方面可以通过若干具有可专利性的种类或情况进行说明和描述，包括任何新的和有用的工序、机器、产品或物质的组合，或对他们的任何新的和有用的改进。相应地，本申请的各个方面可以完全由硬件执行、可以完全由软件(包括固件、常驻软件、微码等)执行、也可以由硬件和软件组合执行。以上硬件或软件均可被称为“数据块”、“模块”、“引擎”、“单元”、“组件”或“系统”。此外，本申请的各方面可能表现为位于一个或多个计算机可读介质中的计算机产品，该产品包括计算机可读程序编码。

除非另有定义，这里使用的所有术语(包括技术和科学术语)具有与本发明所属领域的普通技术人员共同理解的相同含义。还应当理解，诸如在通常字典里定义的那些术语应当被解释为具有与它们在相关技术的上下文中的含义相一致的含义，而不应用理想化或极度形式化的意义来解释，除非这里明确地这样定义。

上面是对本发明的说明，而不应被认为是对其的限制。尽管描述了本发明的若干示例性实施例，但本领域技术人员将容易地理解，在不背离本发明的新颖教学和优点的前提下可以对示例性实施例进行许多修改。因此，所有这些修改都意图包含在权利要求书所限定的本发明范围内。应当理解，上面是对本发明的说明，而不应被认为是限于所公开的特定实施例，并且对所公开的实施例以及其他实施例的修改意图包含在所附权利要求书的范围内。本发明由权利要求书及其等效物限定。

Claims (10)

1.一种基于网络信息技术的安全监控方法，其特征在于，包括：

获取由网络IDS系统采集的预定时间段的原始流量数据包；

对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像；

对所述PNG流量图像进行图像分块处理以得到流量图像块的序列；

将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量；

将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵；

将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量。

2.根据权利要求1所述的基于网络信息技术的安全监控方法，其特征在于，对所述PNG流量图像进行图像分块处理以得到流量图像块的序列，包括：

对所述PNG流量图像进行均匀的图像分块处理以得到流量图像块的序列，其中，每个所述流量图像块具有相同的尺寸。

3.根据权利要求2所述的基于网络信息技术的安全监控方法，其特征在于，将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量，包括：

使用所述ViT模型的所述嵌入层分别对所述流量图像块的序列中各个流量图像块进行嵌入化以得到流量图像块嵌入向量的序列；以及

将所述流量图像块嵌入向量的序列通过所述ViT模型以得到所述多个流量图像块特征向量。

4.根据权利要求3所述的基于网络信息技术的安全监控方法，其特征在于，使用所述ViT模型的所述嵌入层分别对所述流量图像块的序列中各个流量图像块进行嵌入化以得到流量图像块嵌入向量的序列，包括：

将所述流量图像块的序列中各个流量图像块的二维像素值矩阵展开为一维像素值向量以得到一维像素值向量的序列；以及

使用所述嵌入层分别对所述一维像素值向量的序列中的各个一维像素值向量进行全连接编码以得到所述流量图像块嵌入向量的序列。

5.根据权利要求4所述的基于网络信息技术的安全监控方法，其特征在于，将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵，包括：

将所述多个流量图像块特征向量进行矩阵化以得到所述二维特征矩阵；

将所述二维特征矩阵分别沿着水平方向和垂直方向进行池化以得到第一向池化向量和第二向池化向量；

对所述第一向池化向量和所述第二向池化向量进行关联编码以得到双向关联矩阵；

将所述双向关联矩阵输入Sigmoid激活函数以得到注意力特征矩阵；以及

融合所述二维特征矩阵和所述注意力特征矩阵以得到分类特征矩阵。

6.根据权利要求5所述的基于网络信息技术的安全监控方法，其特征在于，将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量，包括：

将所述分类特征矩阵按照行向量或列向量展开为分类特征向量；

使用所述分类器的多个全连接层对所述分类特征向量进行全连接编码以得到编码分类特征向量；以及

将所述编码分类特征向量通过所述分类器的Softmax分类函数以得到所述分类结果。

7.根据权利要求6所述的基于网络信息技术的安全监控方法，其特征在于，还包括训练步骤，用于对所述包含嵌入层的ViT模型、所述双向注意力机制模块和所述分类器进行训练；

其中，所述训练步骤：

获取由网络IDS系统采集的预定时间段的训练原始流量数据包；

对所述训练原始流量数据包进行预处理以将所述训练原始流量数据包转化为训练PNG流量图像；

对所述训练PNG流量图像进行图像分块处理以得到训练流量图像块的序列；

将所述训练流量图像块的序列通过所述包含嵌入层的ViT模型以得到多个训练流量图像块特征向量；

将所述多个训练流量图像块特征向量排列为训练二维特征矩阵后通过所述双向注意力机制模块以得到训练分类特征矩阵；

将所述训练分类特征矩阵通过所述分类器以得到分类损失函数值；

基于所述分类损失函数值并通过梯度下降的方向传播来对所述包含嵌入层的ViT模型、所述双向注意力机制模块和所述分类器进行训练，其中，在所述训练的每一轮迭代中，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整。

8.根据权利要求7所述的基于网络信息技术的安全监控方法，其特征在于，在所述训练的每一轮迭代中，基于所述训练分类特征矩阵展开后得到的训练分类特征向量进行权重矩阵的迭代调整，包括：基于所述训练分类特征矩阵展开后得到的训练分类特征向量以如下迭代公式进行权重矩阵的迭代调整；

其中，所述迭代公式为：

，/>， />，其中，/>和/>分别是上次和本次迭代的权重矩阵，/>是待分类的训练分类特征向量，/>是第一特征向量，/>是第二特征向量，/>是第二特征向量的转置向量，/>和/>分别表示特征向量/>和/>的全局均值，且/>是偏置矩阵，/>是最大值函数，/>表示矩阵乘法，/>表示矩阵加法，/>表示按位置点乘，/>表示迭代调整后的权重矩阵。

9.一种基于网络信息技术的安全监控系统，其特征在于，包括：

数据包获取模块，用于获取由网络IDS系统采集的预定时间段的原始流量数据包；

预处理模块，用于对所述原始流量数据包进行预处理以将所述原始流量数据包转化为PNG流量图像；

图像分块处理模块，用于对所述PNG流量图像进行图像分块处理以得到流量图像块的序列；

ViT编码模块，用于将所述流量图像块的序列通过包含嵌入层的ViT模型以得到多个流量图像块特征向量；

双向注意力编码模块，用于将所述多个流量图像块特征向量排列为二维特征矩阵后通过双向注意力机制模块以得到分类特征矩阵；以及

分类模块，用于将所述分类特征矩阵通过分类器以得到分类结果，所述分类结果用于表示原始流量数据包是否属于异常流量。

10.根据权利要求9所述的基于网络信息技术的安全监控系统，其特征在于，所述图像分块处理模块，用于：

对所述PNG流量图像进行均匀的图像分块处理以得到流量图像块的序列，其中，每个所述流量图像块具有相同的尺寸。