CN117640238A - 基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法 - Google Patents

基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法 Download PDF

Info

Publication number
CN117640238A
CN117640238A CN202311702151.7A CN202311702151A CN117640238A CN 117640238 A CN117640238 A CN 117640238A CN 202311702151 A CN202311702151 A CN 202311702151A CN 117640238 A CN117640238 A CN 117640238A
Authority
CN
China
Prior art keywords
flow
cnn
input
layer
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311702151.7A
Other languages
English (en)
Inventor
王嘉勋
廖年冬
樊和均
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Changsha University of Science and Technology
Original Assignee
Changsha University of Science and Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Changsha University of Science and Technology filed Critical Changsha University of Science and Technology
Priority to CN202311702151.7A priority Critical patent/CN117640238A/zh
Publication of CN117640238A publication Critical patent/CN117640238A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/0464—Convolutional networks [CNN, ConvNet]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Molecular Biology (AREA)
  • Data Mining & Analysis (AREA)
  • Computational Linguistics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Evolutionary Computation (AREA)
  • Biophysics (AREA)
  • Biomedical Technology (AREA)
  • Artificial Intelligence (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Image Analysis (AREA)

Abstract

本发明公开发表了一种基于E‑GraphSAGE和多尺度注意力CNN的入侵检测方法，该方法属于网络安全领域。本方法对网络流量数据进行数据缺失值处理，数值化，标准化，构建流量信息交互图，降低模型的训练负担。将处理好的数据和流量信息交互图输入到E‑GraphSAGE以聚合流量的邻居特征，结果转化图像格式输入到具有注意力机制的多尺度CNN中，通过计算机视觉的方法得到分类结果。本方法可以有效的检测异常信息，降低误报的出现，提高检测的准确率。

Description

基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法
技术领域
本发明涉及网络异常检测技术领域，具体涉及一种采用E-GraphSAGE和多尺度注意力CNN的入侵检测方法及系统。
背景技术
网络技术的迅猛发展使社会更加互联和依赖于网络。然而，随之而来的是网络攻击者为了谋取个人或组织的利益，不断采用各种手段进行攻击，使得网络环境变得极为危险和复杂。入侵检测系统被认为是识别和处理此类网络攻击的关键技术之一。传统的入侵检测方法主要是使用机器学习的方法。近年来，随着深度学习出现，其不断提高入侵检测系统对异常流量的识别能力，然而绝大部分的方法仅仅是针对单条流量，但并没有对多条流量进行关联得到多流量汇聚特征，并进一步的发掘特征的深度含义，从而有效提高入侵检测系统识别的能力。为了解决以上问题，提供了一种新颖的入侵检测方法来提高入侵检测的识别效率和能力。
发明内容
为实现上述目的，本发明提供一种基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法，以解决多流量汇聚特征能力以及特征潜力挖掘不足的问题，最终提高流量识别能力。
基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法包括步骤：
S1:对网络流量数据集进行数据预处理，包括数据缺失值进行删除，对标签型数据进行独热编码，标准化等操作；
S2:流量信息交互图构建；
S3将处理好的数据划分为训练集和测试集
S4:E-GraphSAGE根据流量信息交互图聚合训练数据的邻居特征，然后将结果转为图像格式输入到多尺度注意力CNN中,多尺度注意力CNN是一种在多尺度的思想中添加注意力机制的CNN结构；
S5:将预处理后的测试集输入到训练完成的网络中，得到最终的分类结果；
优选的，所述数据集为澳大利亚新南威尔士大学的网络与系统安全实验室提供的网络入侵检测数据集，类别种类为10个(9个攻击类别，1个正常类别)；
优选的，步骤S2包括：
S201:提取网络流量数据集每条流量的目的端口号，源端口号，源ip地址，目的ip地址；
S202：S201的输出作为202的输入，为每一条流量构建源套接字二元组和目的套接字二元组，源套接字二元组为源发送ip和源端口号，目的套接字二元组为源发送ip和目的ip端口；
S203:S202的输出作为S203的输入，根据所有流量的源套接字和目的套接字二元组进行关系映射，构建流量信息交互图，每一个独特的元组为一个流量信息交互图的一个网络节点。
优选的，步骤S4包括：
S401:步骤S3的训练集作为S401的输入，利用E-GraphSAGE其强大的图处理功能进行邻居信息聚合，并转为图像形式；
S402:S401的输出作为S402的输入，多尺度注意力CNN前两层的卷积层分别具有16个3×3的卷积核，和32个3×3的卷积核；
S403:S402的输出作为S403的输入，多尺度注意力CNN的第三层为步长为2，窗口大小2×2的最大池化层；
S404:S403的输出作为S404的输入，多尺度注意力CNN的第四层为多尺度和注意力模块，具体操作为对输入分别进行3×3、5×5和7×7的卷积核，并在每一种尺度的卷积层后使用注意力机制对所得特征进行权重分配，以进一步提高模型对输入数据的特征抽取和分析能力；
S405:S404的输出作为S405输入，通过多尺度注意力CNN的第5层为卷积核大小为3×3，通道数为16的卷积层，第6层具有256个神经元的全连接层，第7层则是具有类别数神经元的全连接层。
S406:S405的输出作为S405的输入，多尺度注意力CNN第8层为Softmax将数据取值范围变为(0,1)，并进行分类。
优选的，所述S401具体包括：
S4011:初始化流量信息交互图每一个节点的特征hv＝{1,...,1}，其中v表示第v个节点；
S4012:根据流量信息交互图对输入流量进行K跳邻域信息汇聚并进行节点嵌入；
S4013:根据节点嵌入信息和流量特征得到最终的输出特征；
本发明的有益效果：
研究了一种自动汇聚邻居特征并深度挖掘其隐含特征的入侵检测方法。方法从图的角度挖掘流量之间的隐藏关系，并使用计算机视觉的方法采用CNN进行特征的进一步提取，避免了手工提取特征。通过在CNN中添加注意力和多尺度提升模型的区分能力，并更好地捕捉流量中的关键信息，从而提高对复杂场景的理解和分类性能。
附图说明
图1是本发明的整体流程图；
图2是样例数据的网络结构；
图3是图2汇聚邻居信息的过程图；
图4是入侵检测方法的框架图；
图5是注意力机制的流程图。
具体实施方式
下面将通过附图和实施方式对本发明进行进一步的详细说明。显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。根据本发明的实施例，对于本领域普通技术人员在没有进行创造性劳动的前提下所能获得的所有其他实施例，均纳入本发明的保护范围。以下将详细的描述一部分特定的实施细节。
本发明的入侵检测系统是从图的角度提出一种将E-GraphSage和具有强大特征提取能力CNN的结构的结合方法，避免了手动提取特征的问题。使用E-GraphSage可以有效的将汇聚流量的邻居信息进行特征汇聚。结果转为图像的格式，采用多尺度注意力CNN进行进一步挖掘特征的空间信息。最后使用全连接层和softmax层进行有效的分类。这种方法能够有效地对网络流量进行分类，具备较强的实用性。
优选的实施和训练方式，如图1所示，包括：
步骤1：本发明将数据集进行四种操作：缺失值删除，独热编码，标准化操作，流量信息交互图构建。具体实施步骤为缺失值删除，独热编码，标准化，流量信息交互图构建。
删除缺失值是为了消除无法进行训练的数据，防止具有缺失值的数据流量对模型造成负面影响。
进行独热编码操作是为了将类别标签转为为模型可以理解的数字类型，避免模型将类别标签视为有序变量。
标准化则是确保所有数据具有相同的数据尺度，提高模型的收敛速度。
流量信息交互图构建是为了得到网络通信结构图。
步骤2：将数据划分为训练集和测试集，主要是采用分层抽样进行划分，训练集和测试集的数据比例为7:3
步骤3：处理好的训练数据将首先输入到E-GraphSAGE中进行邻居信息汇聚功能。
图2和图3显示了E-GraphSAGE的采样和聚合邻居信息过程，包括步骤：
(301)根据根据流量信息交互图初始化每一个节点特征，通常初始化为其中节点特征的维度与流量特征的维度相同，/>表示第0层聚合特征层中节点v的特征；
(302)根据流量信息交互图将邻居流量进行采样并进行汇聚操作：
其中表示在第k-1的聚合特征层中与节点v相连的流量信息，AGG为平均汇聚方法，平均聚合函数的作用是对于节点的邻域进行采样后，简单地计算邻域内流量特征的平均值；
(303)根据网络信息交互图的将流量信息和邻居节点信息进行收集和集合:
其中，||表示拼接操作，为了有效的将多节点信息结合，采用可训练的矩阵W进行相乘，并使用激活函数进行节点嵌入
(304)传统的做法是在最后的第K层聚合特征层后进行每一个流量的特征嵌入,计算方式为流量两个节点特征的拼接，但在均值聚合过程中，原始流量特征可能被稀释，并且在最终的边嵌入中未能得到充分的表征。具体。为了解决这个问题，除了将流量的两个节点特征进行拼接外，额外拼接流量本身的特征来保证自身特征不被稀释：
其中zuv表示一条流量经过E-GraphSage后的最终特征，表示在第K层聚合特征层节点u的嵌入特征；
步骤4：通过步骤3得到的聚合邻居信息流量特征，我们将输入到多尺度注意力CNN中进行第二轮的空间特征提取。多尺度注意力CNN是由Squeeze-and-ExcitationAttention Usage(SE)和多尺度所构成的CNN网络,一共有7层架构,依次是2个卷积层，多尺度注意力模块，卷积层，以及两个全连接层，最后一个softmax。具体的实现步骤可以分为以下几个步骤：
(401)步骤3的输出将转化为图像的形式作为输入，图像流量数据首先经过卷积核大小为(3×3)，通道数为16的卷积层中，然后经过卷积核大小(3×3),通道数目为32的卷积层。最终图像的通道数依次变化过程为1->16->32，其卷积过程如下：
(402)(401)的输出作为(402)的输入，将经过步长为2的2×2的最大池化层降低参数数量。
(403)(402)的输出作为(403)的输入，分别经过卷积核大小为(3×3)，(5×5)，(7×7)的卷积层，并且各自通过各自的注意力机制。其中注意力机制SE可以自适应的调整每一个通道重要性程度。如图5所示，SE首先首先采用全局平均池化的做法进行挤压，将特征图调整为单个数值，得到一个长度为通道数的向量，然后通过一个两层的神经网络进行“激励”，输出同样大小的向量，最终与每一个通道的特征图相乘，调整每一个特征图的重要性程度，得到最终的输出；
(404)(403)的输出为(404)的输入。输入数据将经过卷积核大小为(3×3)，通道数为16的卷积层进行特惠总能在提取，最后将进行展平依次输入到神经元数目为256,类别数目的全连接层。
(405)(404)的输出作为(405)的输入，使用softmax将输出数据控制为(0-1)之间最终实现分类，公式如下：
其中表示第i个类别的分类概率。模型的所有参数都是通过交叉熵损失进行训练得到，公式如下：
其中N表示样本数，K表示类别数，y表示真实标签。
在实际的操作中，各个模型参数设置，训练测试样本比例的设置和其他参数可以根据经验进行设置，通过不同参数数值的组合，选用测试效果最好的作为最佳的参数方案。
对所提出的入侵检测方法将使用准确率，召回率，精确度，F1得分进行性能评估，公式如下：
其中TP，TN，FP，FN分别代表模型正确地预测了正例的个数，模型正确地预测了负例的个数，模型错误地将负例预测为正例的个数，和模型错误地将正例预测为负例的个数。
通过使用测试集对模型进行评估，通过与其他模型进行对比，各个模型在4个指标的结果如下表所示：
Model Accuracy(％) Precision(％) Recall(％) F1(％)
Proposed 99.50 99.50 99.54 99.51
E-GraphSage 99.42 99.41 99.46 99.43.
LSTM 99.20 60.20 65.89 62.75
Logistic Regression 99.37 93.23 97.17 95.11
SVM 99.30 95.35 98.11 96.68
可以看出所提出E-GraphSage-MSACNN模型在测试集上四种指标均优于其他模型，通过E-GraphSage和E-GraphSage-MSACNN的对比可以看出通过添加MSACNN进行进一步的特征提取可以有效的挖掘出数据隐藏的空间信息，使模型的检测效率更进一步，具有较高的实用性。
以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (5)

1.一种基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法，其特征在于，包括：
S1:对网络流量数据集进行数据预处理，包括数据缺失值进行删除，对标签型数据进行独热编码，标准化等操作；
S2:流量信息交互图构建；
S3:进行训练集和测试集的划分；
S4:E-GraphSAGE根据流量信息交互图聚合训练数据的邻居特征，然后将结果转为图像格式输入到多尺度注意力CNN中新型，进行模型的训练；
S5:将预处理后的测试集输入到训练完成的网络中，得到最终的分类结果。
2.根据权利要求1所述的基于E-GraphSAGE和多尺度注意力CNN网络入侵检测模型，其特征在于，所述数据集为为UNSW-NB15数据集，其中包含10个类别标签(1个正常标签，9个异常标签)。
3.根据权利要求1所述的基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法，其特征在于所述的步骤S2包括：
S201:提取网络流量数据集每条流量的目的端口号，源端口号，源ip地址，目的ip地址；
S202：S201的输出作为202的输入，为每一条流量构建源套接字二元组和目的套接字二元组，源套接字二元组为源发送ip和源端口号，目的套接字二元组为源发送ip和目的ip端口；
S203:S202的输出作为S203的输入，根据每一个流量的源套接字和目的套接字二元组进行映射，构建流量信息交互图。每一个独特的元组为一个流量信息交互图的一个网络节点。
4.根据权利1所述的一种基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法，其特征在于步骤S4包括：
S401:步骤S3的训练集作为S301的输入，利用E-GraphSAGE其强大的图处理功能进行邻居信息聚合；
S402:S401的输出转化为图像以作为S402的输入，多尺度注意力CNN前两层的卷积层分别具有16个3×3的卷积核，和32个3×3的卷积核；
S403:S402的输出作为S403的输入，多尺度注意力CNN的第三层为步长为2，窗口大小2×2的最大池化层；
S404:S403的输出作为S404的输入，多尺度注意力CNN的第四层为多尺度和注意力模块，具体操作为：输入数据同时传递到三个卷积层，其三个卷积层分别具有16个3×3、16个5×5和16个7×7大小的卷积核。随后在每一个卷积层后使用Squeeze-and-ExcitationAttention Usage(SE)注意力机制对所得特征通道进行权重分配，以进一步提高模型对输入数据的特征抽取和分析能力，并进行拼接；
S405:S404的输出作为S405输入，通过多尺度注意力CNN的第5层是包含16个大小为3×3卷积核的卷积层，第6层是具有256个神经元的全连接层，第7层则是具有类别数神经元的全连接层；
S406:S405的输出作为S406的输入，多尺度注意力CNN第8层为Softmax将数据取值范围变为(0,1)，并进行分类。
5.根据权利4所述的基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法，其特征在于，所述S401具体包括：
S4011:初始化流量信息交互图每一个节点的特征hv＝{1,...,1}，其中v表示第v个节点；
S4012:根据流量信息交互图对输入流量进行K跳邻域信息汇聚并进行节点嵌入；
S4013:根据节点嵌入信息和流量特征得到最终的输出特征。
CN202311702151.7A 2023-12-12 2023-12-12 基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法 Pending CN117640238A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311702151.7A CN117640238A (zh) 2023-12-12 2023-12-12 基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311702151.7A CN117640238A (zh) 2023-12-12 2023-12-12 基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法

Publications (1)

Publication Number Publication Date
CN117640238A true CN117640238A (zh) 2024-03-01

Family

ID=90023316

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311702151.7A Pending CN117640238A (zh) 2023-12-12 2023-12-12 基于E-GraphSAGE和多尺度注意力CNN的入侵检测方法

Country Status (1)

Country Link
CN (1) CN117640238A (zh)

Similar Documents

Publication Publication Date Title
CN109768985B (zh) 一种基于流量可视化与机器学习算法的入侵检测方法
CN112491796B (zh) 一种基于卷积神经网络的入侵检测及语义决策树量化解释方法
CN109962909B (zh) 一种基于机器学习的网络入侵异常检测方法
CN113518063B (zh) 基于数据增强和BiLSTM的网络入侵检测方法及系统
CN109492026B (zh) 一种基于改进的主动学习技术的电信欺诈分类检测方法
CN113806746B (zh) 基于改进cnn网络的恶意代码检测方法
CN109218223B (zh) 一种基于主动学习的鲁棒性网络流量分类方法及系统
CN112422531A (zh) 基于CNN和XGBoost的网络流量异常行为检测方法
CN114492768A (zh) 一种基于小样本学习的孪生胶囊网络入侵检测方法
CN114372493B (zh) 一种计算机线缆电磁泄漏特征分析方法
CN113194094B (zh) 一种基于神经网络的异常流量检测方法
CN111507385A (zh) 一种可扩展的网络攻击行为分类方法
CN114970694B (zh) 一种网络安全态势评估方法及其模型训练方法
CN116958586A (zh) 基于多尺度注意力胶囊网络的物联网设备识别方法及系统
CN116541698A (zh) 一种基于XGBoost的网络异常入侵检测方法和系统
CN116582300A (zh) 基于机器学习的网络流量分类方法及装置
CN112884121A (zh) 基于生成对抗深度卷积网络的流量识别方法
CN116506181A (zh) 一种基于异构图注意力网络的车联网入侵检测方法
CN115361195A (zh) 一种基于时空代价成本的大规模物联网流量多分类方法
CN114897085A (zh) 一种基于封闭子图链路预测的聚类方法及计算机设备
CN117633627A (zh) 一种基于证据不确定性评估的深度学习未知网络流量分类方法及系统
CN117726939A (zh) 一种基于多特征融合的高光谱图像分类方法
CN117034112A (zh) 一种基于样本增强与对比学习的恶意网络流量分类方法
CN116863418A (zh) 一种基于CA_MixNet的道路限行车辆种属划分方法
CN116566724A (zh) 用于检测DDoS攻击的检测方法及装置、存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination