[发明专利]一种改进分类的网络攻击检测方法及系统

权利要求书

1.一种改进分类的网络攻击检测方法，其特征在于，所述方法包括：

获取历史访问数据，对数据进行随机分组，创建若干个数据训练集；

确定分类器的待分类项，根据所述待分类项的特征，将所述若干个数据训练集输入分类器，统计在各类别下每个待分类项的各个特征属性的条件概率；

将各个分类项以及其条件概率输入分类器，输出待分类项与类别的映射关系；

训练好分类器之后，分析提取历史访问数据中的特征向量，输入分类器，得出历史访问数据中攻击数据与攻击类别的对应关系；

所述分类器为其中频率高于第一阈值的类别、或者频率低于第二阈值的类别的攻击数据打标；

基于打标的攻击数据、未打标的攻击数据的特征向量，分别构建第一噪声模拟网络攻击模型、第二噪声模拟网络攻击模型，应用两个模型随机生成已知的各种类型的网络攻击以及多种网络攻击复合；

所述多种网络攻击复合包括同时具备若干种网络攻击的特征，或者连续进行若干种网络攻击，或变异网络攻击特征；

所述第一噪声模拟网络攻击模型、第二噪声模拟网络攻击模型，按照一定策略交替作为对抗性网络的生成器，所述生成器的输出流量不间断地与真实网络攻击流量一并送入判别器；

所述判别器根据两端输入的生成器输出流量和真实网络攻击流量，得出判别结果；如果判别结果为真时，表明生成器输出流量与真实网络攻击流量在特征向量上非常接近，判别器将相似度信息反馈给生成器；如果判别结果为假时，表明生成器输出流量与真实网络攻击流量在特征向量上差别很大，判别器将差别度信息、真实网络攻击流量的特征向量一并反馈给生成器；

所述生成器根据判别器的反馈结果调整第一噪声模拟网络攻击模型、第二噪声模拟网络攻击模型的参数，再次生成新的输出流量；

当判别器得到的判别结果为真的比率在预先设置的阈值范围内时，表明第一噪声模拟网络攻击模型、第二噪声模拟网络攻击模型训练完毕；

所述第一噪声模拟网络攻击模型、第二噪声模拟网络攻击模型，按照一定策略交替接入机器学习模块，不间断随机生成网络攻击流量，供机器学习模块自我学习；

所述机器学习模块借助所述第一噪声模拟网络攻击模型、第二噪声模拟网络攻击模型，不间断丰富各种网络攻击特征向量样本，对真实网络流量进行网络攻击检测，并将检测结果反馈给管理员，管理员定时根据检测结果调整所述第一噪声模拟网络攻击模型、第二噪声模拟网络攻击模型的参数，启动更新机制。

2.根据权利要求1所述的方法，其特征在于，所述变异网络攻击特征包括对已知的网络攻击特征向量做扩展，以及修改若干攻击的字段。

3.根据权利要求1-2任一项所述的方法，其特征在于，所述分类器是随机森林分类器。

4.根据权利要求3所述的方法，其特征在于，所述更新机制，是指再次将一个噪声模拟网络攻击模型作为生成器，将生成器的输出流量送入所述判别器。