申请/专利权人：山西大学

申请日：2024-01-31

公开（公告）日：2024-04-09

公开（公告）号：CN117857211A

主分类号：H04L9/40

分类号：H04L9/40

优先权：

专利状态码：在审-实质审查的生效

法律状态：2024.04.26#实质审查的生效;2024.04.09#公开

摘要：本发明属于网络安全的技术领域，具体涉及为一种基于重构误差时序表示的网络流量异常检测方法。该网络流量检测方法采用采用深度学习中的卷积自编码器模块和异常检测模块实现网络流量的异常检测。首先使用阻尼增量统计算法提取流量的统计特征；然后利用卷积自编码器模块得到网络流量的重构误差，由于阻尼增量统计可以提取到流级别的上下文信息，因此重构误差可用于表示流量间的时序关系；之后，通过源IP聚合机制对重构误差进行划分，得到时序信息的细粒度表示；最后，通过异常检测模块完成对流量的异常检测。实验结果表明，本发明在真实世界数据集上取得了较好的结果。因此，本发明可用于对网络流量进行异常检测，维护网络空间安全。

主权项：1.一种基于重构误差时序表示的网络流量异常检测方法，其主要通过网络流量异常检测模型来实现，网络流量异常检测模型包括有数据预处理模块，其特征在于：网络流量异常检测模型还包括有时序特征提取模块和异常检测模块，网络流量异常检测方法包括以下步骤：步骤1、数据预处理：在数据预处理模块中，使用tshark工具捕获网络数据包得到pcap文件，并对pcap文件进行解析得到一组元信息，使用阻尼增量统计算法对该组元信息进行特征提取得到一组统计特征，将该组统计特征使用z值归一化处理，得到100维统计特征；步骤2、网络流量异常检测模型的构建与训练：模型构建，其中时序特征提取模块由卷积自编码器模块和RMSE聚合模块组成，且卷积自编码器模块采用PyTorch搭建，RMSE聚合模块为采用Python实现，异常检测模块采用Scikit-learn搭建；模型训练，分别对卷积自编码器模块和异常检测模块设定CAE和IF的训练轮次，将步骤1得到的100维统计特征输入到卷积自编码器模块中进行训练得到100维统计特征的重构误差，将该重构误差输入到RMSE聚合模块中使用源IP聚合机制得到该重构误差的细粒度划分，并在细粒度划分后的重构误差上设定时间窗口W，得到时序特征；在异常检测模块中，使用时序特征对孤立森林算法进行训练；步骤3、网络流量异常检测模型的性能评价：采用精准率、召回率、F1分数的宏平均值作为模型的评价指标，若F1分数的宏平均值大于95％，执行步骤4，否则，执行步骤2继续模型训练；步骤4、网络流量的检测：从真实网络环境中采集网络流量，将该网络流量输入到数据预处理模块中执行步骤1，将得到100维统计特征输入到卷积自编码器模块中得到100维统计特征的重构误差，将该重构误差输入到RMSE聚合模块中使用源IP聚合机制得到该重构误差的细粒度划分，并在细粒度划分后的重构误差上设定时间窗口W，得到时序特征；在异常检测模块中，使用孤立森林算法对时序特征进行检测。

全文数据：

权利要求：

百度查询： 山西大学 一种基于重构误差时序表示的网络流量异常检测方法

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD