WO2022011977A1 - 一种网络异常检测方法、系统、终端以及存储介质 - Google Patents

一种网络异常检测方法、系统、终端以及存储介质 Download PDF

Info

Publication number
WO2022011977A1
WO2022011977A1 PCT/CN2020/138820 CN2020138820W WO2022011977A1 WO 2022011977 A1 WO2022011977 A1 WO 2022011977A1 CN 2020138820 W CN2020138820 W CN 2020138820W WO 2022011977 A1 WO2022011977 A1 WO 2022011977A1
Authority
WO
WIPO (PCT)
Prior art keywords
network traffic
network
hidden state
artificial
gram
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2020/138820
Other languages
English (en)
French (fr)
Inventor
叶可江
林鹏
须成忠
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Institute of Advanced Technology of CAS
Original Assignee
Shenzhen Institute of Advanced Technology of CAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Institute of Advanced Technology of CAS filed Critical Shenzhen Institute of Advanced Technology of CAS
Publication of WO2022011977A1 publication Critical patent/WO2022011977A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present application belongs to the technical field of network security, and in particular, relates to a network abnormality detection method, system, terminal and storage medium.
  • network anomaly detection techniques can be divided into two categories:
  • Signature-based detection method Its principle is to analyze the known abnormal traffic data, extract a specific string pattern from it, and build an abnormal traffic fingerprint database based on this. When new network traffic is found, the traffic is compared with the fingerprints in the database one by one. Once fingerprints containing malicious traffic are found, the current traffic can be determined to be abnormal.
  • the fingerprint-based detection method is a relatively mature detection method. This method has high accuracy, but it requires experienced experts to extract fingerprints, and requires long-term maintenance of the fingerprint database. With more and more abnormal traffic, it becomes increasingly bloated. The fingerprint database will inevitably affect the speed of network anomaly detection; moreover, this method can only identify known malicious attacks, and cannot deal with unknown new attacks, such as 0-day vulnerability detection.
  • Anomaly-based detection method is the current mainstream research direction of ADS.
  • the core idea of this method is to establish a credible activity model for legitimate user behavior, and then use the model to calculate the probability that the new behavior satisfies the legitimate behavior. If the score is lower, the behavior may be abnormal.
  • the methods of building models often use knowledge such as mathematical statistics, data mining, and machine learning. This method can detect unknown network traffic, but how to build an effective model with low false alarm rate and low false negative rate has always been a challenge.
  • the present application provides a network anomaly detection method, system, terminal and storage medium, aiming to solve one of the above-mentioned technical problems in the prior art at least to a certain extent.
  • a network anomaly detection method comprising the following steps:
  • the technical solutions adopted in the embodiments of the present application further include: before the vector transformation of the network traffic data using the n-gram model further includes:
  • the network traffic is divided into m groups according to the five-tuple ⁇ source IP, destination IP, source port, destination port, transmission protocol>, and each group represents a bidirectional communication flow;
  • the vector transformation of network traffic by using the n-gram model includes:
  • a corresponding d-dimensional vector is respectively set to each element in the 1-gram, 2-gram, and 3gram hash byte tables;
  • the technical solutions adopted in the embodiments of the present application further include: the use of a long-short-term memory network and a bidirectional gated cyclic unit to perform spatiotemporal feature extraction on the vector matrix of the network traffic, and obtaining the hidden state of the network traffic includes:
  • the spatiotemporal feature extraction is performed on the first hidden states h 1 of the m*p network traffic data packets, respectively, to obtain the second hidden states h 2 of each network traffic data packet.
  • the technical solutions adopted in the embodiments of the present application further include: performing a one-dimensional convolution operation on the vector matrices of the m*p network traffic data packets respectively includes:
  • the technical solution adopted in the embodiment of the present application further includes: the step of extracting the spatiotemporal features of the first hidden states h 1 of the m*p network traffic data packets respectively includes:
  • the technical solutions adopted in the embodiments of the present application further include: extracting the artificial features of the network traffic by using an artificial feature extractor further includes:
  • Each network flow in the network flow is represented as a flow vector with a size of 1*80, and each column represents an eigenvalue.
  • the technical solution adopted in the embodiment of the present application further includes: performing spatiotemporal feature extraction on the artificial feature, and obtaining the hidden state of the artificial feature includes:
  • a network anomaly detection system comprising:
  • Vector conversion module used to perform vector conversion on network traffic by using the n-gram model to obtain a vector matrix of the network traffic;
  • the first spatiotemporal feature extraction module used for extracting spatiotemporal features from the vector matrix of the network traffic by using a long-short-term memory network and a bidirectional gated cyclic unit to obtain the hidden state of the network traffic;
  • Artificial feature extraction module for extracting the artificial features of the network traffic through an artificial feature extractor
  • the second spatiotemporal feature extraction module used for performing spatiotemporal feature extraction on the artificial feature to obtain the hidden state of the artificial feature;
  • Network traffic prediction module used to splicing the hidden state of the network traffic with the hidden state of the artificial feature, inputting the deep neural network to classify and predict the network traffic, and determining whether the network traffic is abnormal according to the prediction result .
  • a terminal includes a processor and a memory coupled to the processor, wherein,
  • the memory stores program instructions for implementing the network anomaly detection method
  • the processor is configured to execute the program instructions stored in the memory to control network anomaly detection.
  • a storage medium storing program instructions executable by a processor, where the program instructions are used to execute the network abnormality detection method.
  • the beneficial effects of the embodiments of the present application are: the network anomaly detection method, system, terminal and storage medium of the embodiments of the present application establish a combination table of network traffic by using the n-gram model, and for each combination Learning a vector representation in a low-dimensional space, and using fused features to model the model, that is, using a deep neural network to learn the intrinsic feature representation of network traffic on the basis of artificially designed features, which can better represent network traffic and increase The upper bound of the model prediction effect.
  • the embodiment of the present application uses one-dimensional convolution, bidirectional LSTM, bidirectional GRU and attention mechanism, which can better reflect the internal implicit relationship of data, so as to better learn the feature representation of network traffic, which can achieve better classification effect.
  • FIG. 1 is a flowchart of a network abnormality detection method according to an embodiment of the present application.
  • FIG. 2 is a schematic diagram of an original network traffic conversion method according to an embodiment of the present application.
  • Fig. 3 is the flow chart that the embodiment of the present application adopts n-gram model to carry out vector conversion to the network traffic data packet of standard input form;
  • FIG. 4 is a flow chart of performing a one-dimensional convolution operation on a vector matrix of each network traffic data packet according to an embodiment of the present application
  • FIG. 6 is a schematic structural diagram of a network anomaly detection system according to an embodiment of the present application.
  • FIG. 7 is a schematic structural diagram of a terminal according to an embodiment of the present application.
  • FIG. 8 is a schematic structural diagram of a storage medium according to an embodiment of the present application.
  • the embodiment of the present application uses the n-gram model to establish a combination table of network traffic, and learns a vector representation in a low-dimensional space for each combination, and each network data packet is processed by the n-gram model. After splitting and vector transformation, it is sent to a deep neural network to learn the vector space representation of network traffic and extract spatiotemporal features. At the same time, in order to supplement the hidden features that the neural network may not learn, the embodiment of the present application further improves the detection effect of the model by adding artificially designed feature representations.
  • FIG. 1 is a flowchart of a network abnormality detection method according to an embodiment of the present application.
  • the network anomaly detection method according to the embodiment of the present application includes the following steps:
  • S1 Collect raw network traffic, and execute S2 and S6 at the same time;
  • the network traffic collection method is specifically: using a network traffic capture technology such as Wireshark and TCPdump to capture network traffic data packets, and save the captured network traffic data packets as a pcp file.
  • a network traffic capture technology such as Wireshark and TCPdump
  • Figure 2 is a schematic diagram of the original network traffic conversion method, which specifically includes:
  • S21 Divide the original network traffic into m groups according to the five-tuple ⁇ source IP, destination IP, source port, destination port, transmission protocol>, and each group represents a bidirectional communication flow; wherein, the size of the m value can be determined according to the actual application make settings;
  • S22 Take the first p data packets in each group to obtain m*p data packets; wherein, if there is a group with less than p data packets, fill the group to make it reach p data packets; p The size of the value can be set according to the actual application;
  • S3 Use the n-gram model to perform vector transformation on the network traffic data packets in the form of standard input, and obtain the vector matrix of each network traffic data packet;
  • FIG. 3 is a flow chart of vector conversion of network traffic data packets in the form of standard input using the n-gram model, which specifically includes:
  • FIG. 4 it is a flow chart of performing a one-dimensional convolution operation on the vector matrix of each network traffic data packet, which specifically includes:
  • S42 Perform a row-direction one-dimensional convolution operation on the i-th (0 ⁇ i ⁇ p) network traffic data packet, and each convolution kernel can obtain a feature map, then a total of 3r feature maps are obtained;
  • S43 Perform a maximum pooling operation on the 3r feature maps respectively to obtain 3r values, and splicing the 3r values to obtain the first hidden state h i1 of the i-th network traffic data packet.
  • S5 Perform spatiotemporal feature extraction on the first hidden states h 1 of m*p network traffic data packets, respectively, to obtain second hidden states h 2 of each network traffic data packet, and execute S9;
  • the two-way LSTM structure, the two-way GRU structure and the attention mechanism are used to extract the spatiotemporal features of the network traffic data packets, as shown in Figure 5, which is a flowchart of the spatiotemporal feature extraction, which specifically includes:
  • S51 send the first hidden state h i1 of the i-th network traffic data packet into a bidirectional long-short-term memory network (Bi-LSTM) to learn the first hidden state s i1 of each time step;
  • Bi-LSTM bidirectional long-short-term memory network
  • S52 send all the first hidden states s i1 to the bidirectional gated recurrent unit (Bi-GRU) to learn the second hidden states h i2 of each time step;
  • S6 perform artificial feature extraction on the original network traffic through an artificial feature extractor to obtain an artificial feature representation of the original network traffic
  • the manual feature extraction method of the original network traffic specifically includes: using the traffic feature extraction tool CICFlowMeter to extract 80 manually designed network traffic features from the pcap file; representing each network flow in the original network traffic as a size is a 1*80 traffic vector, each column represents an eigenvalue.
  • the conversion method of artificial feature representation is specifically:
  • each network flow vector is combined with its previous w-1 network flow vectors to obtain a flow vector representation with a size of w*80.
  • a bidirectional LSTM structure, bi-directional, and attention mechanisms GRU artificial structure characterized in packet temporal feature extraction, hidden state flow vector h '2 hidden state and a second network traffic data 2 h temporal characteristics
  • the extraction process is the same and will not be repeated here.
  • Step 900 splicing the second hidden state h 2 of the network traffic data packet and the hidden state h′ 2 of the traffic vector to obtain the final third hidden state h 3 , and inputting the third hidden state h 3 into the deep neural network for network Classification prediction of traffic, according to the prediction result to determine whether the network traffic data is abnormal;
  • the network anomaly detection method of the embodiment of the present application uses fused features to model the model, that is, uses a deep neural network to learn the intrinsic feature representation of network traffic on the basis of artificially designed features, so that the network can be better represented. traffic, thereby increasing the upper bound of the model's predictive effect.
  • the embodiment of this application proposes a new byte combination embedding method, which learns the vector representation of 1-gram, 2-gram and 3-gram for network traffic, and splices them horizontally, so as to better represent network traffic .
  • the embodiment of this application uses one-dimensional convolution, bidirectional LSTM, bidirectional GRU and attention mechanism, which can better reflect the internal implicit relationship of data, so as to better learn the feature representation of network traffic, so as to achieve better classification effect.
  • FIG. 6 is a schematic structural diagram of a network anomaly detection system according to an embodiment of the present application.
  • the network anomaly detection system of the embodiment of the present application includes:
  • Traffic collection module used to collect original network traffic; in the embodiment of the present application, the network traffic collection method is specifically: using Wireshark, TCPdump and other network traffic capture technologies to capture network traffic data packets, and save the captured network traffic data packets as pacp file.
  • Traffic conversion module used to convert the original network traffic into network traffic data packets in the form of standard input; the traffic conversion method specifically includes:
  • the original network traffic is divided into m groups according to the five-tuple ⁇ source IP, destination IP, source port, destination port, transmission protocol>, and each group represents a bidirectional communication flow; the value of m can be set according to the actual application.
  • Vector conversion module It is used to perform vector conversion on network traffic data packets in the form of standard input by using the n-gram model to obtain a vector matrix of each network traffic data packet; wherein, the vector conversion methods specifically include:
  • Convolution calculation module used to perform a one-dimensional convolution operation on the vector matrix of m*p network traffic data packets, respectively, to obtain the first hidden state h 1 of each network traffic data packet; wherein, the embodiment of the present application uses a Dimensional convolution computes a vertical scan of a vector matrix of network traffic packets, and compresses the data using a max pooling technique. Specifically include:
  • each convolution kernel can obtain a feature map, and a total of 3r feature maps are obtained;
  • a first temporal feature extraction module a second hidden states for a first hidden state m * p network traffic packets h 1 respectively temporal feature extraction, to give the respective network data packet traffic h 2; wherein the application of the present embodiment
  • the example uses the bidirectional LSTM structure, the bidirectional GRU structure and the attention mechanism to extract the spatiotemporal features of the network traffic data packets, including:
  • Manual feature extraction module It is used to perform manual feature extraction on the original network traffic through an artificial feature extractor to obtain the artificial feature representation of the original network traffic; wherein, the manual feature extraction method of the original network traffic specifically includes: using the traffic feature extraction tool CICFlowMeter from 80 hand-designed network traffic features are extracted from the pcap file; each network flow in the original network traffic is represented as a traffic vector with a size of 1*80, and each column represents a feature value.
  • Artificial feature conversion module It is used to convert the artificial feature representation of the original network traffic into an artificial feature data packet in the form of standard input; wherein, the conversion method of the artificial feature representation is specifically:
  • each network flow vector is combined with its previous w-1 network flow vectors to obtain a flow vector representation with a size of w*80.
  • the second spatiotemporal feature extraction module is used to extract spatiotemporal features from the artificial feature data packets in the form of standard input, and obtain the hidden state h′ 2 of each traffic vector; wherein, the hidden state h′ 2 of the traffic vector and the network traffic data
  • the spatiotemporal feature extraction process of the second hidden state h 2 is the same, which will not be repeated here.
  • FIG. 7 is a schematic structural diagram of a terminal according to an embodiment of the present application.
  • the terminal 50 includes a processor 51 and a memory 52 coupled to the processor 51 .
  • the memory 52 stores program instructions for implementing the above-mentioned network abnormality detection method.
  • the processor 51 is configured to execute program instructions stored in the memory 52 to control network anomaly detection.
  • the processor 51 may also be referred to as a CPU (Central Processing Unit, central processing unit).
  • the processor 51 may be an integrated circuit chip with signal processing capability.
  • the processor 51 may also be a general purpose processor, digital signal processor (DSP), application specific integrated circuit (ASIC), off-the-shelf programmable gate array (FPGA) or other programmable logic device, discrete gate or transistor logic device, discrete hardware component .
  • DSP digital signal processor
  • ASIC application specific integrated circuit
  • FPGA off-the-shelf programmable gate array
  • a general purpose processor may be a microprocessor or the processor may be any conventional processor or the like.
  • FIG. 8 is a schematic structural diagram of a storage medium according to an embodiment of the present application.
  • the storage medium of this embodiment of the present application stores a program file 61 capable of implementing all the above methods, wherein the program file 61 may be stored in the above-mentioned storage medium in the form of a software product, and includes several instructions to make a computer device (which may It is a personal computer, a server, or a network device, etc.) or a processor that executes all or part of the steps of the methods of the various embodiments of the present invention.
  • a computer device which may It is a personal computer, a server, or a network device, etc.
  • a processor that executes all or part of the steps of the methods of the various embodiments of the present invention.
  • the aforementioned storage medium includes: U disk, removable hard disk, Read-Only Memory (ROM, Read-Only Memory), Random Access Memory (RAM, Random Access Memory), magnetic disk or optical disk and other media that can store program codes, or Computers, servers, mobile phones, tablets and other terminal equipment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请涉及一种网络异常检测方法、系统、终端以及存储介质。包括：采用n-gram模型对网络流量进行向量转换，得到所述网络流量的向量矩阵；采用长短时记忆网络及双向门控循环单元对所述网络流量的向量矩阵进行时空特征提取，得到所述网络流量的隐状态；通过人工特征提取器提取所述网络流量的人工特征，并对所述人工特征进行时空特征提取，得到所述人工特征的隐状态；将所述网络流量的隐状态与所述人工特征的隐状态进行拼接后，输入深度神经网络进行所述网络流量的分类预测，根据所述预测结果判定网络流量是否异常。本申请使用融合的特征进行模型的建模，能够更好地表示网络流量，增加了模型预测效果的上限，可以达到更好的分类效果。

Description

一种网络异常检测方法、系统、终端以及存储介质 技术领域
本申请属于网络安全技术领域，特别涉及一种网络异常检测方法、系统、终端以及存储介质。
背景技术
根据中国互联网络信息中心(CNNIC)的第45次中国互联网络发展状况统计报告，截止2020年3月，我国网民规模突破九亿，互联网普及率达64.5％。但随着网络技术的蓬勃发展，网络安全事件也层出不穷。据深信服科技报告，恶意软件在2019年表现非常活跃，病毒感染、勒索软件、网络攻击等恶意行为层出不穷。当前网络安全威胁非常严峻，如果能在网络入侵的早期发现这些异常的网络流量，并对其进行拦截，就可以有效减少网络入侵事件的发生，增加信息系统的稳定性。网络异常检测系统，正是被用于解决这个问题的，它的目的是识别出网络流量中不符合正常行为模式的网络流量。
目前，网络异常检测技术可以分为两类：
一、基于指纹的(Signature-based)检测方法：它的原理是分析已知异常的流量数据，从中提取出特定的字符串模式，以此为基础建立异常流量指纹数据库。当发现新的网络流量时将该流量与数据库中的指纹一一对比，一旦发现含有恶意流量的指纹，即可判定当前流量为异常。基于指纹的检测方法是一种比较成熟的检测方法，这种方法准确率高，但是它需要经验丰富的专家来提取指纹，且需要长期维护指纹数据库，随着异常流量越来越多，日益臃肿的指纹数据库必然会影响网络异常检测的速度；再者，该方法只能识别已知的恶意攻击，无法应对未知的新攻击，例如0day漏洞检测等。
二、基于异常的(Anomaly-based)检测方法：基于异常的检测方法是当前ADS的主流研究方向。该方法的核心思想是为合法的用户行为建立可信的活动模型，然后将该模型用于计算新行为满足合法行为的概率，如果得分越低，说明该行为有可能是异常行为。建立模型的方法往往使用了数理统计、数据挖掘、机器学习等知识。该方法可以检 测未知的网络流量，但是如何建立一个有效的、误警率低、漏报率低的模型，一直是一个挑战。
基于异常的检测方法，目前也存在大量的研究工作。但为了使用机器学习等方法训练分类器，必须先将网络流量转换成一组向量表示，而这部分目前往往是由人工实现的。大部分的研究工作基于人工设定的流量特征数据集，这显然不能特征设计的好坏决定了分类器的上限。也有部分工作尝试使用原始数据建模，但所使用的流量嵌入方式多为字节级别的one-hot编码，存在一定的缺陷，不能很好地反应数据的内部隐含关系。
发明内容
本申请提供了一种网络异常检测方法、系统、终端以及存储介质，旨在至少在一定程度上解决现有技术中的上述技术问题之一。
为了解决上述问题，本申请提供了如下技术方案：
一种网络异常检测方法，包括以下步骤：
采用n-gram模型对网络流量进行向量转换，得到所述网络流量的向量矩阵；
采用长短时记忆网络及双向门控循环单元对所述网络流量的向量矩阵进行时空特征提取，得到所述网络流量的隐状态；
通过人工特征提取器提取所述网络流量的人工特征，并对所述人工特征进行时空特征提取，得到所述人工特征的隐状态；
将所述网络流量的隐状态与所述人工特征的隐状态进行拼接后，输入深度神经网络进行所述网络流量的分类预测，根据所述预测结果判定网络流量是否异常。
本申请实施例采取的技术方案还包括：所述采用n-gram模型对网络流量数据进行向量转换前还包括：
将所述网络流量转换成标准输入形式的网络流量数据包；具体为：
将所述网络流量按照五元组<源IP，目标IP，源端口，目标端口，传输协议>分成m个组，每一组代表一个双向通信流；
取每个组中的前p个数据包，得到m*p个数据包；
取每个数据包的前q个字节，得到m*p*q个字节；
将m个组中前p个数据包的前q字节进行拼接，形成一个m*p*q的张量。
本申请实施例采取的技术方案还包括：所述采用n-gram模型对网络流量进行向量转换包括：
设置长度为256的1-gram哈希字节表，并设置长度为l 1的2-gram哈希字节表和长度为l 2的3-gram哈希字节表；
将每个2-gram和3-gram的字节组合分别映射到2-gram哈希字节表和3-gram哈希字节表中，相同位置的组合使用共享的嵌入表示；
对所述1-gram、2-gram、3gram哈希字节表中的每项元素分别设置一个对应的d维向量；
将所述m*p*q的张量中的q个字节分别经过所述1-gram、2-gram、3gram哈希字节表进行向量转换，得到v 1,v 1,v 3，并将v 1,v 1,v 3进行拼接，得到输出维度为m*p*n*3d的张量，其中n＝p+p/2+p/3。
本申请实施例采取的技术方案还包括：所述采用长短时记忆网络及双向门控循环单元对所述网络流量的向量矩阵进行时空特征提取，得到所述网络流量的隐状态包括：
对所述m*p个网络流量数据包的向量矩阵分别进行一维卷积操作，得到各个网络流量数据包的第一隐状态h 1；
对所述m*p个网络流量数据包的第一隐状态h 1分别进行时空特征提取，得到各个网络流量数据包的第二隐状态h 2。
本申请实施例采取的技术方案还包括：所述对所述m*p个网络流量数据包的向量矩阵分别进行一维卷积操作包括：
分别设置尺寸为3*3d、4*3d和5*3d的卷积核，每种卷积核使用的数量为r，所述卷积核总数为3r；
对第i个(0<i≤p)网络流量数据包进行行方向的一维卷积操作，得到3r个特征图；
对所述3r个特征图分别进行最大池化操作，得到3r个值，将所述3r个值进行拼接，得到第i个网络流量数据包的第一隐状态h i1。
本申请实施例采取的技术方案还包括：所述对所述m*p个网络流量数据包的第一隐状态h 1分别进行时空特征提取包括：
将第i个网络流量数据包的第一隐状态h i1送进双向的长短时记忆网络中学习每一个时间步的第一隐状态s i1；
将所有的第一隐状态s i1送进双向门控循环单元学习每一个时间步的第二隐状态h i2；
根据第二隐状态h i2计算每一个时间步的注意力权重:e i＝tanh(Wh i2+b)，
Figure PCTCN2020138820-appb-000001
对所有第二隐状态h i2进行加权求和，得到第i个网络流量数据包的第二隐状态:h 2＝∑ iα i*h i2。
本申请实施例采取的技术方案还包括：所述通过人工特征提取器提取所述网络流量的人工特征还包括：
使用流量特征提取工具从所述网络流量中提取80个手工设计的网络流量特征；
将所述网络流量中的每一条网络流分别表示成一个尺寸为1*80的流量向量，每一列代表一个特征值。
本申请实施例采取的技术方案还包括：所述对所述人工特征进行时空特征提取，得到所述人工特征的隐状态包括：
将所述网络流量的人工特征转换成标准输入形式的人工特征数据包；
将所述标准输入形式的人工特征数据包进行时空特征提取，得到每条流量向量的隐状态h′ 2。
本申请实施例采取的另一技术方案为：一种网络异常检测系统，包括：
向量转换模块：用于采用n-gram模型对网络流量进行向量转换，得到所述网络流量的向量矩阵；
第一时空特征提取模块：用于采用长短时记忆网络及双向门控循环单元对所述网络流量的向量矩阵进行时空特征提取，得到所述网络流量的隐状态；
人工特征提取模块：用于通过人工特征提取器提取所述网络流量的人工特征；
第二时空特征提取模块：用于对所述人工特征进行时空特征提取，得到所述人工特征的隐状态；
网络流量预测模块：用于将所述网络流量的隐状态与所述人工特征的隐状态进行拼接后，输入深度神经网络进行所述网络流量的分类预测，根据所述预测结果判定网络流量是否异常。
本申请实施例采取的又一技术方案为：一种终端，所述终端包括处理器、与所述处理器耦接的存储器，其中，
所述存储器存储有用于实现所述网络异常检测方法的程序指令；
所述处理器用于执行所述存储器存储的所述程序指令以控制网络异常检测。
本申请实施例采取的又一技术方案为：一种存储介质，存储有处理器可运行的程序指令，所述程序指令用于执行所述网络异常检测方法。
相对于现有技术，本申请实施例产生的有益效果在于：本申请实施例的网络异常检测方法、系统、终端及存储介质通过使用n-gram模型建立网络流量的组合表，并对每一个组合学习一个低维空间中的向量表示，并使用融合的特征进行模型的建模，即在人工设计的特征基础上使用深度神经网络学习网络流量的内在特征表示，能够更好地表示网络流量，增加了模型预测效果的上限。同时，本申请实施例使用一维卷积、双向LSTM、双向GRU和注意力机制，能够更好的反应数据的内部隐含关系，从而更好地学习到网络流量的特征表示，可以达到更好的分类效果。
附图说明
图1是本申请实施例的网络异常检测方法的流程图；
图2为本申请实施例的原始网络流量转换方式示意图；
图3为本申请实施例采用n-gram模型对标准输入形式的网络流量数据包进行向量转换的流程图；
图4为本申请实施例对每个网络流量数据包的向量矩阵进行一维卷积操作的流程图；
图5为本申请实施例时空特征提取的流程图；
图6是本申请实施例的网络异常检测系统的结构示意图；
图7为本申请实施例的终端结构示意图；
图8为本申请实施例的存储介质的结构示意图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本申请，并不用于限定本申请。
为了解决现有技术的不足，本申请实施例使用n-gram模型建立网络流量的组合表，并对每一个组合学习一个低维空间中的向量表示，每一个网络数据包通过n-gram模型进行拆分并进行向量转换后，送入深度神经网络学习网络流量的向量空间表示，提取时空特 征。同时，为了补充神经网络可能没有学习到的隐含特征，本申请实施例通过加入人工设计的特征表示，进一步提高模型的检测效果。
具体的，请参阅图1，是本申请实施例的网络异常检测方法的流程图。本申请实施例的网络异常检测方法包括以下步骤：
S1：采集原始网络流量，并同时执行S2和S6；
本申请实施例中，网络流量采集方式具体为：使用Wireshark、TCPdump等网络流量捕获技术捕获网络流量数据包，并将捕获到的网络流量数据包保存为pacp文件。
S2：将原始网络流量转换成标准输入形式的网络流量数据包；
本步骤中，请一并参阅图2，为原始网络流量转换方式示意图，其具体包括：
S21：将原始网络流量按照五元组<源IP，目标IP，源端口，目标端口，传输协议>分成m个组，每一组代表一个双向通信流；其中，m值的大小可根据实际应用进行设定；
S22：取每个组中的前p个数据包，得到m*p个数据包；其中，如果存在不足p个数据包的组，则对该组进行填充，使其达到p个数据包；p值的大小可根据实际应用进行设定；
S23：取每个数据包的前q个字节，得到m*p*q个字节；其中，如果存在不足q个字节的数据包，则对该数据包进行0x00字节的填充，使其达到q个字节；q值的大小可根据实际应用进行设定；
S24：将m个组中前p个数据包的前q字节进行拼接，形成一个m*p*q的张量。
S3：采用n-gram模型对标准输入形式的网络流量数据包进行向量转换，得到每个网络流量数据包的向量矩阵；
本步骤中，请一并参阅图3，为采用n-gram模型对标准输入形式的网络流量数据包进行向量转换的流程图，其具体包括：
S31：设置长度为256的1-gram哈希字节表，并设置长度为l 1的2-gram哈希字节表和长度为l 2的3-gram哈希字节表；
S32：将每个2-gram和3-gram的字节组合分别映射到2-gram哈希字节表和3-gram哈希字节表中，相同位置的组合使用共享的嵌入表示；
S33：对1-gram、2-gram、3gram字节表中的每项元素设置一个对应的d维向量，该d维向量的值先随机初始化；
S34：将m*p*q的张量中的q个字节分别经过1-gram、2-gram、3gram字节表进行向量转换，得到v 1,v 1,v 3，并将v 1,v 1,v 3进行拼接，得到输出维度为m*p*n*3d的张量，其中n＝p+p/2+p/3。
S4：对m*p个网络流量数据包的向量矩阵分别进行一维卷积操作，得到各个网络流量数据包的第一隐状态h 1；
本步骤中，通过使用一维卷积对网络流量数据包的向量矩阵进行纵向扫描计算，并使用最大池化技术压缩数据。具体如图4所示，为对每个网络流量数据包的向量矩阵进行一维卷积操作的流程图，其具体包括：
S41：分别设置尺寸为3*3d、4*3d和5*3d的3种卷积核，每种卷积核使用的数量为r，即卷积核总数为3r；
S42：对第i个(0<i≤p)网络流量数据包进行行方向的一维卷积操作，每个卷积核可得到一个特征图，则共得到3r个特征图；
S43：对3r个特征图分别进行最大池化操作，得到3r个值，将3r个值进行拼接，得到第i个网络流量数据包的第一隐状态h i1。
S5：对m*p个网络流量数据包的第一隐状态h 1分别进行时空特征提取，得到各个网络流量数据包的第二隐状态h 2，并执行S9；
本步骤中，使用双向的LSTM结构、双向的GRU结构以及注意力机制对网络流量数据包进行时空特征提取，具体如图5所示，为时空特征提取的流程图，其具体包括：
S51：将第i个网络流量数据包的第一隐状态h i1送进双向的长短时记忆网络(Bi-LSTM)中学习每一个时间步的第一隐状态s i1；
S52：将所有的第一隐状态s i1送进双向门控循环单元(Bi-GRU)学习每一个时间步的第二隐状态h i2；
S53：根据第二隐状态h i2计算每一个时间步的注意力权重:e i＝tanh(Wh i2+b)，
Figure PCTCN2020138820-appb-000002
S54：对所有第二隐状态h i2进行加权求和，得到第i个网络流量数据包的第二隐状态:h 2＝∑ iα i*h i2。
S6：通过人工特征提取器对原始网络流量进行人工特征提取，得到原始网络流量的人工特征表示；
本步骤中，原始网络流量的人工特征提取方式具体包括：使用流量特征提取工具CICFlowMeter从pcap文件中提取80个手工设计的网络流量特征；将原始网络流量中的每一条网络流分别表示成一个尺寸为1*80的流量向量，每一列代表一个特征值。
S7：将原始网络流量的人工特征表示转换成标准输入形式的人工特征数据包；
本步骤中，人工特征表示的转换方式具体为：
首先，对原始网络流量中每一条网络流的每一个特征分别进行归一化操作，将属性值映射到0-1之间：
Figure PCTCN2020138820-appb-000003
然后，设定窗口长度w，将每一条网络流向量与其前w-1条网络流向量进行组合，得到尺寸为w*80的流量向量表示。
S8：将标准输入形式的人工特征数据包进行时空特征提取，得到每条流量向量的隐状态h′ 2；
本步骤中，使用双向的LSTM结构、双向的GRU结构以及注意力机制对人工特征数据包进行时空特征提取，流量向量的隐状态h′ 2与网络流量数据的第二隐状态h 2的时空特征提取过程相同，此处将不再赘述。
步骤900：将网络流量数据包的第二隐状态h 2与流量向量的隐状态h′ 2进行拼接，得到最终的第三隐状态h 3，将第三隐状态h 3输入深度神经网络进行网络流量的分类预测，根据预测结果判定网络流量数据是否异常；
本步骤中，将h 3送进深度神经网络后，首先计算网络流量不同类别的输出预测值：u＝Wh 3+b；然后对预测值u进行Softmax分类，得到网络流量的预测标签：
Figure PCTCN2020138820-appb-000004
Figure PCTCN2020138820-appb-000005
基于上述，本申请实施例的网络异常检测方法通过使用融合的特征进行模型的建模，即在人工设计的特征基础上使用深度神经网络学习网络流量的内在特征表示，从而能够更好地表示网络流量，从而增加了模型预测效果的上限。同时，本申请实施例提出一种新的字节组合嵌入方法，对网络流量学习1-gram、2-gram和3-gram的向量表示，并将其进行横向拼接，从而更好地表示网络流量。另外，本申请实施例使用一维卷积、双向LSTM、双向GRU和注意力机制，能够更好的反应数据的内部隐含关系，从而更好地学习到网络流量的特征表示，以达到更好的分类效果。
请参阅图6，是本申请实施例的网络异常检测系统的结构示意图。本申请实施例的网络异常检测系统包括：
流量采集模块：用于采集原始网络流量；本申请实施例中，网络流量采集方式具体为：使用Wireshark、TCPdump等网络流量捕获技术捕获网络流量数据包，并将捕获到的网络流量数据包保存为pacp文件。
流量转换模块：用于将原始网络流量转换成标准输入形式的网络流量数据包；其中，流量转换方式具体包括：
将原始网络流量按照五元组<源IP，目标IP，源端口，目标端口，传输协议>分成m个组，每一组代表一个双向通信流；其中，m值的大小可根据实际应用进行设定；
取每个组中的前p个数据包，得到m*p个数据包；其中，如果存在不足p个数据包的组，则对该组进行填充，使其达到p个数据包；p值的大小可根据实际应用进行设定；
取每个数据包的前q个字节，得到m*p*q个字节；其中，如果存在不足q个字节的数据包，则对该数据包进行0x00字节的填充，使其达到q个字节；q值的大小可根据实际应用进行设定；
将m个组中前p个数据包的前q字节进行拼接，形成一个m*p*q的张量。
向量转换模块：用于采用n-gram模型对标准输入形式的网络流量数据包进行向量转换，得到每个网络流量数据包的向量矩阵；其中，向量转换方式具体包括：
设置长度为256的1-gram哈希字节表，并设置长度为l 1的2-gram哈希字节表和长度为l 2的3-gram哈希字节表；
将每个2-gram和3-gram的字节组合分别映射到2-gram哈希字节表和3-gram哈希字节表中，相同位置的组合使用共享的嵌入表示；
对1-gram、2-gram、3gram字节表中的每项元素设置一个对应的d维向量，该d维向量的值先随机初始化；
将m*p*q的张量中的q个字节分别经过1-gram、2-gram、3gram字节表进行向量转换，得到v 1,v 1,v 3，并将v 1,v 1,v 3进行拼接，得到输出维度为m*p*n*3d的张量，其中n＝p+p/2+p/3。
卷积计算模块：用于对m*p个网络流量数据包的向量矩阵分别进行一维卷积操作，得到各个网络流量数据包的第一隐状态h 1；其中，本申请实施例通过使用一维卷积对网 络流量数据包的向量矩阵进行纵向扫描计算，并使用最大池化技术压缩数据。具体包括：
分别设置尺寸为3*3d、4*3d和5*3d的3种卷积核，每种卷积核使用的数量为r，即卷积核总数为3r；
对第i个(0<i≤p)网络流量数据包进行行方向的一维卷积操作，每个卷积核可得到一个特征图，则共得到3r个特征图；
对3r个特征图分别进行最大池化操作，得到3r个值，将3r个值进行拼接，得到第i个网络流量数据包的第一隐状态h i1。
第一时空特征提取模块：用于对m*p个网络流量数据包的第一隐状态h 1分别进行时空特征提取，得到各个网络流量数据包的第二隐状态h 2；其中，本申请实施例使用双向的LSTM结构、双向的GRU结构以及注意力机制对网络流量数据包进行时空特征提取，具体包括：
将第i个网络流量数据包的第一隐状态h i1送进双向的长短时记忆网络(Bi-LSTM)中学习每一个时间步的第一隐状态s i1；
将所有的第一隐状态s i1送进双向门控循环单元(Bi-GRU)学习每一个时间步的第二隐状态h i2；
根据第二隐状态h i2计算每一个时间步的注意力权重:e i＝tanh(Wh i2+b)，
Figure PCTCN2020138820-appb-000006
对所有第二隐状态h i2进行加权求和，得到第i个网络流量数据包的第二隐状态:h 2＝∑ iα i*h i2。
人工特征提取模块：用于通过人工特征提取器对原始网络流量进行人工特征提取，得到原始网络流量的人工特征表示；其中，原始网络流量的人工特征提取方式具体包括：使用流量特征提取工具CICFlowMeter从pcap文件中提取80个手工设计的网络流量特征；将原始网络流量中的每一条网络流分别表示成一个尺寸为1*80的流量向量，每一列代表一个特征值。
人工特征转换模块：用于将原始网络流量的人工特征表示转换成标准输入形式的人工特征数据包；其中，人工特征表示的转换方式具体为：
首先，对原始网络流量中每一条网络流的每一个特征分别进行归一化操作，将属性值映射到0-1之间：
Figure PCTCN2020138820-appb-000007
然后，设定窗口长度w，将每一条网络流向量与其前w-1条网络流向量进行组合，得到尺寸为w*80的流量向量表示。
第二时空特征提取模块：用于将标准输入形式的人工特征数据包进行时空特征提取，得到每条流量向量的隐状态h′ 2；其中，流量向量的隐状态h′ 2与网络流量数据的第二隐状态h 2的时空特征提取过程相同，此处将不再赘述。
网络流量预测模块：用于将网络流量数据包的第二隐状态h 2与流量向量的隐状态h′ 2进行拼接，得到最终的第三隐状态h 3，将隐状态h 3输入深度神经网络进行网络流量的分类预测，根据预测结果判定网络流量是否异常；其中，将h 3送进深度神经网络后，首先计算网络流量不同类别的输出预测值：u＝Wh 3+b；然后对预测值u进行Softmax分类，得到网络流量的预测标签：
Figure PCTCN2020138820-appb-000008
请参阅图7，为本申请实施例的终端结构示意图。该终端50包括处理器51、与处理器51耦接的存储器52。
存储器52存储有用于实现上述网络异常检测方法的程序指令。
处理器51用于执行存储器52存储的程序指令以控制网络异常检测。
其中，处理器51还可以称为CPU(CentralProcessingUnit，中央处理单元)。处理器51可能是一种集成电路芯片，具有信号的处理能力。处理器51还可以是通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
请参阅图8，为本申请实施例的存储介质的结构示意图。本申请实施例的存储介质存储有能够实现上述所有方法的程序文件61，其中，该程序文件61可以以软件产品的形式存储在上述存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施方式方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，RandomAccessMemory)、磁碟或者光盘等各种可以存储程序代码的介质，或者是计算机、服务器、手机、平板等终端设备。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本申请中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本申请所示的这些实施例，而是要符合与本申请所公开的原理和新颖特点相一致的最宽的范围。

Claims (11)

  1. 一种网络异常检测方法，其特征在于，包括以下步骤：
    采用n-gram模型对网络流量进行向量转换，得到所述网络流量的向量矩阵；
    采用长短时记忆网络及双向门控循环单元对所述网络流量的向量矩阵进行时空特征提取，得到所述网络流量的隐状态；
    通过人工特征提取器提取所述网络流量的人工特征，并对所述人工特征进行时空特征提取，得到所述人工特征的隐状态；
    将所述网络流量的隐状态与所述人工特征的隐状态进行拼接后，输入深度神经网络进行所述网络流量的分类预测，根据所述预测结果判定所述网络流量是否异常。
  2. 根据权利要求1所述的网络异常检测方法，其特征在于，所述采用n-gram模型对网络流量数据进行向量转换前还包括：
    将所述网络流量转换成标准输入形式的网络流量数据包；具体为：
    将所述网络流量按照五元组<源IP，目标IP，源端口，目标端口，传输协议>分成m个组，每一组代表一个双向通信流；
    取每个组中的前p个数据包，得到m*p个数据包；
    取每个数据包的前q个字节，得到m*p*q个字节；
    将m个组中前p个数据包的前q字节进行拼接，形成一个m*p*q的张量。
  3. 根据权利要求2所述的网络异常检测方法，其特征在于，所述采用n-gram模型对网络流量进行向量转换包括：
    设置长度为256的1-gram哈希字节表，并设置长度为l 1的2-gram哈希字节表和长度为l 2的3-gram哈希字节表；
    将每个2-gram和3-gram的字节组合分别映射到2-gram哈希字节表和3-gram哈希字节表中，相同位置的组合使用共享的嵌入表示；
    对所述1-gram、2-gram、3gram哈希字节表中的每项元素分别设置一个对应的d维向量；
    将所述m*p*q的张量中的q个字节分别经过所述1-gram、2-gram、3gram哈希字节表进行向量转换，得到v 1,v 1,v 3，并将v 1,v 1,v 3进行拼接，得到输出维度为m*p*n*3d的张量，其中n＝p+p/2+p/3。
  4. 根据权利要求3所述的网络异常检测方法，其特征在于，所述采用长短时记忆网络及双向门控循环单元对所述网络流量的向量矩阵进行时空特征提取，得到所述网络流量的隐状态包括：
    对所述m*p个网络流量数据包的向量矩阵分别进行一维卷积操作，得到各个网络流量数据包的第一隐状态h 1；
    对所述m*p个网络流量数据包的第一隐状态h 1分别进行时空特征提取，得到各个网络流量数据包的第二隐状态h 2。
  5. 根据权利要求4所述的网络异常检测方法，其特征在于，所述对所述m*p个网络流量数据包的向量矩阵分别进行一维卷积操作包括：
    分别设置尺寸为3*3d、4*3d和5*3d的卷积核，每种卷积核使用的数量为r，所述卷积核总数为3r；
    对第i个(0<i≤p)网络流量数据包进行行方向的一维卷积操作，得到3r个特征图；
    对所述3r个特征图分别进行最大池化操作，得到3r个值，将所述3r个值进行拼接，得到第i个网络流量数据包的第一隐状态h i1。
  6. 根据权利要求5所述的网络异常检测方法，其特征在于，所述对所述m*p个网络流量数据包的第一隐状态h 1分别进行时空特征提取包括：
    将第i个网络流量数据包的第一隐状态h i1送进双向的长短时记忆网络中学习每一个时间步的第一隐状态s i1；
    将所有的第一隐状态s i1送进双向门控循环单元学习每一个时间步的第二隐状态h i2；
    根据第二隐状态h i2计算每一个时间步的注意力权重:e i＝tanh(Wh i2+b)，
    Figure PCTCN2020138820-appb-100001
    对所有第二隐状态h i2进行加权求和，得到第i个网络流量数据包的第二隐状态:h 2＝∑ iα i*h i2。
  7. 根据权利要求1所述的网络异常检测方法，其特征在于，所述通过人工特征提取器提取所述网络流量的人工特征还包括：
    使用流量特征提取工具从所述网络流量中提取80个手工设计的网络流量特征；
    将所述网络流量中的每一条网络流分别表示成一个尺寸为1*80的流量向量，每一列代表一个特征值。
  8. 根据权利要求7所述的网络异常检测方法，其特征在于，所述对所述人工特征进行时空特征提取，得到所述人工特征的隐状态包括：
    将所述网络流量的人工特征转换成标准输入形式的人工特征数据包；
    将所述标准输入形式的人工特征数据包进行时空特征提取，得到每条流量向量的隐状态h′ 2。
  9. 一种网络异常检测系统，其特征在于，包括：
    向量转换模块：用于采用n-gram模型对网络流量进行向量转换，得到所述网络流量的向量矩阵；
    第一时空特征提取模块：用于采用长短时记忆网络及双向门控循环单元对所述网络流量的向量矩阵进行时空特征提取，得到所述网络流量的隐状态；
    人工特征提取模块：用于通过人工特征提取器提取所述网络流量的人工特征；
    第二时空特征提取模块：用于对所述人工特征进行时空特征提取，得到所述人工特征的隐状态；
    网络流量预测模块：用于将所述网络流量的隐状态与所述人工特征的隐状态进行拼接后，输入深度神经网络进行所述网络流量的分类预测，根据所述预测结果判定网络流量是否异常。
  10. 一种终端，其特征在于，所述终端包括处理器、与所述处理器耦接的存储器，其中，
    所述存储器存储有用于实现权利要求1-8任一项所述的网络异常检测方法的程序指令；
    所述处理器用于执行所述存储器存储的所述程序指令以控制网络异常检测。
  11. 一种存储介质，其特征在于，存储有处理器可运行的程序指令，所述程序指令用于执行权利要求1至8任一项所述网络异常检测方法。
PCT/CN2020/138820 2020-07-15 2020-12-24 一种网络异常检测方法、系统、终端以及存储介质 Ceased WO2022011977A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202010680957.0A CN111885035B (zh) 2020-07-15 2020-07-15 一种网络异常检测方法、系统、终端以及存储介质
CN202010680957.0 2020-07-15

Publications (1)

Publication Number Publication Date
WO2022011977A1 true WO2022011977A1 (zh) 2022-01-20

Family

ID=73154474

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2020/138820 Ceased WO2022011977A1 (zh) 2020-07-15 2020-12-24 一种网络异常检测方法、系统、终端以及存储介质

Country Status (2)

Country Link
CN (1) CN111885035B (zh)
WO (1) WO2022011977A1 (zh)

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114548271A (zh) * 2022-02-15 2022-05-27 中国银行股份有限公司 网络异常检测方法及装置
CN114640502A (zh) * 2022-02-17 2022-06-17 南京航空航天大学 一种基于流量指纹和图数据特征的安卓恶意软件检测方法及检测系统
CN115021987A (zh) * 2022-05-24 2022-09-06 桂林电子科技大学 一种基于arn的物联网入侵检测方法
CN115293415A (zh) * 2022-07-28 2022-11-04 三峡大学 计及时间演变和空间相关的多风电场短期功率预测方法
CN115348215A (zh) * 2022-07-25 2022-11-15 南京信息工程大学 一种基于时空注意力机制的加密网络流量分类方法
CN116208506A (zh) * 2023-02-01 2023-06-02 哈尔滨工业大学 一种基于时空关联网站指纹的加密流量网站识别方法
CN116471196A (zh) * 2023-06-19 2023-07-21 宏景科技股份有限公司 运维监控网络维护方法、系统及设备
CN116684911A (zh) * 2023-05-08 2023-09-01 宁波大学 一种基于模型检测的网络流量时空特征挖掘方法
CN116894115A (zh) * 2023-06-12 2023-10-17 国网湖北省电力有限公司经济技术研究院 一种电网基建档案自动归档方法
CN117278262A (zh) * 2023-09-13 2023-12-22 武汉卓讯互动信息科技有限公司 基于深度神经网络的ddos安全防御系统
CN117376205A (zh) * 2023-11-03 2024-01-09 国网宁夏电力有限公司信息通信公司 电力通信网异常检测方法、装置、电子设备及存储介质
CN117375893A (zh) * 2023-09-22 2024-01-09 南京中新赛克科技有限责任公司 一种基于r-GRU网络的工业互联网跨域访问请求潜在风险判别方法及判别系统
CN118413858A (zh) * 2024-04-24 2024-07-30 中国石油大学(华东) 一种基于时空序列的网络流量预测方法及系统
CN119740181A (zh) * 2025-03-06 2025-04-01 安徽省产权交易中心有限责任公司 基于混合神经网络的ddos攻击监测系统
CN120017350A (zh) * 2025-02-11 2025-05-16 中国联合网络通信集团有限公司 异常流量检测方法、装置、设备、介质及程序产品

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112671600A (zh) * 2020-12-09 2021-04-16 中国科学院深圳先进技术研究院 网络流的特征提取方法、网络流异常检测方法及相关装置
CN113556317B (zh) * 2021-06-07 2022-10-11 中国科学院信息工程研究所 基于网络流结构特征融合的异常流量检测方法及装置
CN114915496B (zh) * 2022-07-11 2023-01-10 广州番禺职业技术学院 基于时间权重和深度神经网络的网络入侵检测方法和装置
CN115511890B (zh) * 2022-11-23 2023-04-07 深圳市吉斯凯达智慧科技有限公司 异型网络接口大流量数据的分析系统
CN118869552B (zh) * 2024-09-26 2025-02-07 卓望数码技术（深圳）有限公司 智能流量清洗方法、装置、计算机设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150205826A1 (en) * 2013-03-11 2015-07-23 International Business Machines Corporation Caching of deep structures for efficient parsing
CN106951783A (zh) * 2017-03-31 2017-07-14 国家电网公司 一种基于深度神经网络的伪装入侵检测方法及装置
CN108173708A (zh) * 2017-12-18 2018-06-15 北京天融信网络安全技术有限公司 基于增量学习的异常流量检测方法、装置及存储介质
CN110851782A (zh) * 2019-11-12 2020-02-28 南京邮电大学 一种基于轻量级时空深度学习模型的网络流量预测方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109241738A (zh) * 2018-07-09 2019-01-18 四川大学 一种基于深度学习的勒索软件检测技术
CN111382439A (zh) * 2020-03-28 2020-07-07 玉溪师范学院 基于多模态深度学习的恶意软件检测方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150205826A1 (en) * 2013-03-11 2015-07-23 International Business Machines Corporation Caching of deep structures for efficient parsing
CN106951783A (zh) * 2017-03-31 2017-07-14 国家电网公司 一种基于深度神经网络的伪装入侵检测方法及装置
CN108173708A (zh) * 2017-12-18 2018-06-15 北京天融信网络安全技术有限公司 基于增量学习的异常流量检测方法、装置及存储介质
CN110851782A (zh) * 2019-11-12 2020-02-28 南京邮电大学 一种基于轻量级时空深度学习模型的网络流量预测方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
QIU YUAN;CHANG XIANGMAO;QIU QIAN;PENG CHENG;SU SHANTING: "Stream Data Anomaly Detection Method Based on Long Short-Term Memory Network and Sliding Window", JOURNAL OF COMPUTER APPLICATIONS, vol. 40, no. 5, 3 December 2019 (2019-12-03), pages 1335 - 1339, XP055886935, ISSN: 1001-9081, DOI: 10.11772/j.issn.1001-9081.2019111970 *

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114548271A (zh) * 2022-02-15 2022-05-27 中国银行股份有限公司 网络异常检测方法及装置
CN114640502A (zh) * 2022-02-17 2022-06-17 南京航空航天大学 一种基于流量指纹和图数据特征的安卓恶意软件检测方法及检测系统
CN115021987B (zh) * 2022-05-24 2024-04-05 桂林电子科技大学 一种基于arn的物联网入侵检测方法
CN115021987A (zh) * 2022-05-24 2022-09-06 桂林电子科技大学 一种基于arn的物联网入侵检测方法
CN115348215A (zh) * 2022-07-25 2022-11-15 南京信息工程大学 一种基于时空注意力机制的加密网络流量分类方法
CN115348215B (zh) * 2022-07-25 2023-11-24 南京信息工程大学 一种基于时空注意力机制的加密网络流量分类方法
CN115293415A (zh) * 2022-07-28 2022-11-04 三峡大学 计及时间演变和空间相关的多风电场短期功率预测方法
CN116208506A (zh) * 2023-02-01 2023-06-02 哈尔滨工业大学 一种基于时空关联网站指纹的加密流量网站识别方法
CN116208506B (zh) * 2023-02-01 2023-07-21 哈尔滨工业大学 一种基于时空关联网站指纹的加密流量网站识别方法
CN116684911A (zh) * 2023-05-08 2023-09-01 宁波大学 一种基于模型检测的网络流量时空特征挖掘方法
CN116894115B (zh) * 2023-06-12 2024-05-24 国网湖北省电力有限公司经济技术研究院 一种电网基建档案自动归档方法
CN116894115A (zh) * 2023-06-12 2023-10-17 国网湖北省电力有限公司经济技术研究院 一种电网基建档案自动归档方法
CN116471196B (zh) * 2023-06-19 2023-10-20 宏景科技股份有限公司 运维监控网络维护方法、系统及设备
CN116471196A (zh) * 2023-06-19 2023-07-21 宏景科技股份有限公司 运维监控网络维护方法、系统及设备
CN117278262B (zh) * 2023-09-13 2024-03-22 武汉卓讯互动信息科技有限公司 基于深度神经网络的ddos安全防御系统
CN117278262A (zh) * 2023-09-13 2023-12-22 武汉卓讯互动信息科技有限公司 基于深度神经网络的ddos安全防御系统
CN117375893A (zh) * 2023-09-22 2024-01-09 南京中新赛克科技有限责任公司 一种基于r-GRU网络的工业互联网跨域访问请求潜在风险判别方法及判别系统
CN117375893B (zh) * 2023-09-22 2024-05-24 南京中新赛克科技有限责任公司 一种基于r-GRU网络的工业互联网跨域访问请求潜在风险判别方法及判别系统
CN117376205A (zh) * 2023-11-03 2024-01-09 国网宁夏电力有限公司信息通信公司 电力通信网异常检测方法、装置、电子设备及存储介质
CN118413858A (zh) * 2024-04-24 2024-07-30 中国石油大学(华东) 一种基于时空序列的网络流量预测方法及系统
CN120017350A (zh) * 2025-02-11 2025-05-16 中国联合网络通信集团有限公司 异常流量检测方法、装置、设备、介质及程序产品
CN119740181A (zh) * 2025-03-06 2025-04-01 安徽省产权交易中心有限责任公司 基于混合神经网络的ddos攻击监测系统
CN119740181B (zh) * 2025-03-06 2025-07-04 安徽省产权交易中心有限责任公司 基于混合神经网络的ddos攻击监测系统

Also Published As

Publication number Publication date
CN111885035A (zh) 2020-11-03
CN111885035B (zh) 2022-02-22

Similar Documents

Publication Publication Date Title
WO2022011977A1 (zh) 一种网络异常检测方法、系统、终端以及存储介质
US11334764B2 (en) Real-time detection method and apparatus for DGA domain name
CN109768985B (zh) 一种基于流量可视化与机器学习算法的入侵检测方法
CN107392121B (zh) 一种基于指纹识别的自适应设备识别方法及系统
CN111107102A (zh) 基于大数据实时网络流量异常检测方法
CN112235288B (zh) 一种基于gan的ndn网络入侵检测方法
CN113364787A (zh) 一种基于并联神经网络的僵尸网络流量检测方法
CN110798463B (zh) 基于信息熵的网络隐蔽信道的检测方法及装置
CN112804253A (zh) 一种网络流量分类检测方法、系统及存储介质
Lu et al. An efficient communication intrusion detection scheme in AMI combining feature dimensionality reduction and improved LSTM
CN116647378B (zh) 一种基于MMFSA和DSCA-BiLSTM的网络入侵检测方法
CN114826628B (zh) 一种数据处理方法、装置、计算机设备及存储介质
CN111600876B (zh) 一种基于mfopa算法的慢速拒绝服务攻击检测方法
CN116150688A (zh) 智能家居中轻量级的物联网设备识别方法与装置
CN118869368B (zh) 一种网络安全威胁双向阻断方法及系统
CN117896083A (zh) 网络入侵侦测系统及网络入侵侦测方法
CN112733954A (zh) 一种基于生成对抗网络的异常流量检测方法
CN113660267B (zh) 一种针对IoT环境的僵尸网络检测的系统、方法及存储介质
CN113382003B (zh) 一种基于两级过滤器的rtsp混合入侵检测方法
Hu et al. Security situation assessment model of ddos attack based on progressive fuzzy c clustering algorithm
CN115473734A (zh) 基于单分类和联邦学习的远程代码执行攻击检测方法
CN113542295A (zh) DDoS攻击检测方法、装置、设备及计算机程序产品
CN118264438A (zh) 一种针对域名生成算法的加密流量识别方法及系统
Lanting et al. Encrypted traffic classification based on fusion of vision transformer and temporal features
CN116260616A (zh) 一种软件定义网络环境下基于深度学习的入侵检测方法

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20944954

Country of ref document: EP

Kind code of ref document: A1

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20944954

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 20944954

Country of ref document: EP

Kind code of ref document: A1

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 04.07.2023)

122 Ep: pct application non-entry in european phase

Ref document number: 20944954

Country of ref document: EP

Kind code of ref document: A1