[发明专利]网络入侵检测方法和装置

权利要求书

1.一种网络入侵检测方法，其特征在于，包括：

获取待检测流量的特征向量；

根据线性分类器对所述特征向量进行识别，确定所述待检测流量是否需要采用深度神经网络进行检测；

若是，则采用所述深度神经网络对所述特征向量进行检测，确定所述待检测流量属于的网络入侵类别，其中，所述深度神经网络是对训练数据进行训练后生成的，所述训练数据包括：正常样本的特征向量和攻击样本的特征向量，所述攻击样本包括：原始攻击样本，以及，对所述原始攻击样本添加噪声后的样本；

其中，根据预先确定的样本库和规则库，对所述原始攻击样本添加噪声，得到添加噪声后的攻击样本，所述样本库中包括大量有标签的数据样本，所述数据样本包括正常样本和攻击样本，规则库根据安全专家对攻击变种和逃逸的理解，人为编写噪声添加的规则，以根据所述规则从所述样本库中选择样本，将选择的样本作为添加噪声的素材添加至原始攻击样本中得到添加噪声后的攻击样本；所述添加噪声后的攻击样本的个数与对应的原始攻击样本所属类别的已有攻击样本数量成反比。

2.根据权利要求1所述的方法，其特征在于，还包括：

收集原始样本，所述原始样本包括：正常样本和原始攻击样本；

对所述正常样本、原始攻击样本和添加噪声后的攻击样本分别进行特征提取，得到正常样本的特征向量和攻击样本的特征向量，所述攻击样本包括原始攻击样本和添加噪声后的攻击样本；

将所述正常样本的特征向量和攻击样本的特征向量作为训练数据，对所述训练数据进行训练，生成所述深度神经网络。

3.根据权利要求2所述的方法，其特征在于，对应每个原始攻击样本，相应的添加噪声后的攻击样本的个数为多个。

4.根据权利要求1所述的方法，其特征在于，所述深度神经网络包括：多层自编码网络。

5.一种网络入侵检测装置，其特征在于，包括：

获取模块，用于获取待检测流量的特征向量；

检测模块，用于采用深度神经网络对所述特征向量进行检测，确定所述待检测流量属于的网络入侵类别，其中，所述深度神经网络是对训练数据进行训练后生成的，所述训练数据包括：正常样本的特征向量和攻击样本的特征向量，所述攻击样本包括：原始攻击样本，以及，对所述原始攻击样本添加噪声后的样本；

训练模块，用于根据预先确定的样本库和规则库，对所述原始攻击样本添加噪声，得到添加噪声后的攻击样本，所述样本库中包括大量有标签的数据样本，所述数据样本包括正常样本和攻击样本，规则库根据安全专家对攻击变种和逃逸的理解，人为编写噪声添加的规则，以根据所述规则从所述样本库中选择样本，将选择的样本作为添加噪声的素材添加至原始攻击样本中得到添加噪声后的攻击样本；所述添加噪声后的攻击样本的个数与对应的原始攻击样本所属类别的已有攻击样本数量成反比；

所述装置还包括：

分类模块，用于根据线性分类器对所述特征向量进行识别，确定所述待检测流量是否需要采用深度神经网络进行检测，以便在需要采用深度神经网络进行检测时，触发所述检测模块执行。

6.根据权利要求5所述的装置，其特征在于，

所述训练模块，还用于收集原始样本，所述原始样本包括：正常样本和原始攻击样本；对所述正常样本、原始攻击样本和添加噪声后的攻击样本分别进行特征提取，得到正常样本的特征向量和攻击样本的特征向量，所述攻击样本包括原始攻击样本和添加噪声后的攻击样本；将所述正常样本的特征向量和攻击样本的特征向量作为训练数据，对所述训练数据进行训练，生成所述深度神经网络。

7.根据权利要求6所述的装置，其特征在于，对应每个原始攻击样本，相应的添加噪声后的攻击样本的个数为多个。

8.根据权利要求5所述的装置，其特征在于，所述深度神经网络包括：多层自编码网络。