申请/专利权人：中国电子科技集团公司第五十四研究所

申请日：2023-12-22

公开（公告）日：2024-03-29

公开（公告）号：CN117792726A

主分类号：H04L9/40

分类号：H04L9/40;G06N3/08;G06N3/045

优先权：

专利状态码：在审-实质审查的生效

法律状态：2024.04.16#实质审查的生效;2024.03.29#公开

摘要：本发明公开了一种基于动态安全基线的异常流量检测方法，属于人工智能网络安全领域。本发明通过三个长短期记忆网络模型分别学习网络系统中流量的流量数、封包数、IP数，能够根据实时的输入数据预测输出，形成三个不同维度的动态基线。然后将预测的输出与实际的网络实时统计数据进行比较，将三个长短期记忆网络模型的比较结果进行加权融合，当加权融合值超出告警阈值时进行告警。本发明能够利用深度学习技术实现动态基线的自动构建，同时融合三个维度的流量特征提高异常流量检测的准确率。

主权项：1.一种基于动态安全基线的异常流量检测方法，其特征在于，包括以下步骤：步骤1、采集网络系统中安全的流量数据，提取其中的流量数、封包数与IP数，并通过移动时间窗口方法构建多个训练数据集与标签数据；步骤2、构建三个长短期记忆网络模型，分别用于对流量数、封包数与IP数进行数据预测；步骤3、将流量数、封包数与IP数的训练数据集分别进行词嵌入操作，之后输入至各自的长短期记忆网络模型中，得到各自的预测数据；步骤4、将流量数、封包数与IP数的预测数据分别与各自的标签数据进行对比，通过均方根误差函数计算流量数、封包数与IP数的预测结果损失，根据预测结果损失分别更新三个长短期记忆网络模型的内部参数，直至预测结果损失收敛，结束训练并保存长短期记忆网络模型的内部参数，完成深度学习训练；步骤5、设置告警阈值，之后采集网络系统中包含已知异常流量数据的多组流量数据输入至三个长短期记忆网络模型中，得到流量数、封包数与IP数的预测数据，将流量数、封包数与IP数的实际数据和预测数据做差，并将三组差值进行加权融合，当加权融合值超出告警阈值时进行告警；遍历所有加权系数，将告警准确率最高时对应的加权系数作为最终加权系数，完成基于动态安全基线的异常流量检测。

全文数据：

权利要求：

百度查询： 中国电子科技集团公司第五十四研究所 一种基于动态安全基线的异常流量检测方法

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD