[发明专利]一种对抗性网络的恶意数据流检测方法及系统

权利要求书

1.一种对抗性网络的恶意数据流检测方法，其特征在于，所述方法包括：

获取历史访问数据，根据已知的网络恶意数据类型的特征，分析提取历史访问数据中恶意数据的特征向量；

其中，提取历史访问数据中恶意数据的特征向量之前，先进行预处理，将长度统一化为指定长度，每一位数据归一化到[0,1]，再将样本转换为64*64的二维向量；

基于所述恶意数据的特征向量，构建噪声模拟网络恶意数据模型，应用该模型可随机生成已知的各种类型的网络恶意数据以及多种网络恶意数据复合；

所述多种网络恶意数据复合包括同时具备若干种网络恶意数据的特征，或者连续输出若干种网络恶意数据，或变异网络恶意数据特征；

将所述噪声模拟网络恶意数据模型作为对抗性网络的生成器，所述生成器的输出流量不间断地与真实网络恶意数据流量一并送入判别器；

其中，生成器的输出流量先通过掩模操作提取出弱相关位，在弱相关位进行扰动生成具有攻击性的对抗性样本；

所述判别器根据两端输入的生成器输出流量和真实网络恶意数据流量，得出判别结果；如果判别结果为真时，表明生成器输出流量与真实网络恶意数据流量在特征向量上非常接近，判别器将相似度信息反馈给生成器；如果判别结果为假时，表明生成器输出流量与真实网络恶意数据流量在特征向量上差别很大，判别器将差别度信息、真实网络恶意数据流量的特征向量一并反馈给生成器；

生成器根据判别器的反馈结果调整噪声模拟网络恶意数据模型的参数，再次生成新的输出流量；

当判别器得到的判别结果为真的比率大于预先设置的阈值时，表明所述噪声模拟网络恶意数据模型训练完毕；

将所述噪声模拟网络恶意数据模型接入机器学习模块，由所述噪声模拟网络恶意数据模型不间断随机生成网络恶意数据流量，供机器学习模块自我学习；

所述机器学习模块借助所述噪声模拟网络恶意数据模型，不间断丰富各种网络恶意数据特征向量样本，对真实网络流量进行恶意数据流检测，并将检测结果反馈给管理员，管理员可以定时根据检测结果调整所述噪声模拟网络恶意数据模型的参数，启动所述噪声模拟网络恶意数据模型的更新机制；

所述变异网络恶意数据特征包括对已知的网络恶意数据特征向量做扩展，以及修改若干恶意数据的字段；

所述判别器还会将判别的结果反馈给管理员，供管理员实时调整所述噪声模拟网络恶意数据模型的参数；

所述噪声模拟网络恶意数据模型的更新机制，是指再次将所述噪声模拟网络恶意数据模型作为生成器，将生成器的输出流量送入所述判别器。

2.一种对抗性网络的恶意数据流检测系统，其特征在于，所述系统包括：

获取单元，用于获取历史访问数据，根据已知的网络恶意数据类型的特征，分析提取历史访问数据中恶意数据的特征向量；其中，提取历史访问数据中恶意数据的特征向量之前，先进行预处理，将长度统一化为指定长度，每一位数据归一化到[0,1]，再将样本转换为64*64的二维向量；

构建单元，用于基于所述恶意数据的特征向量，构建噪声模拟网络恶意数据模型，应用该模型可随机生成已知的各种类型的网络恶意数据以及多种网络恶意数据复合；

所述多种网络恶意数据复合包括同时具备若干种网络恶意数据的特征，或者连续进行若干种网络恶意数据，或变异网络恶意数据特征；

生成器，用于将所述噪声模拟网络恶意数据模型作为对抗性网络的生成器，所述生成器的输出流量不间断地与真实网络恶意数据流量一并送入判别器；其中，生成器的输出流量先通过掩模操作提取出弱相关位，在弱相关位进行扰动生成具有攻击性的对抗性样本；

判别器，用于根据两端输入的生成器输出流量和真实网络恶意数据流量，得出判别结果；如果判别结果为真时，表明生成器输出流量与真实网络恶意数据流量在特征向量上非常接近，判别器将相似度信息反馈给生成器；如果判别结果为假时，表明生成器输出流量与真实网络恶意数据流量在特征向量上差别很大，判别器将差别度信息、真实网络恶意数据流量的特征向量一并反馈给生成器；

所述生成器根据判别器的反馈结果调整噪声模拟网络恶意数据模型的参数，再次生成新的输出流量；

当判别器得到的判别结果为真的比率大于预先设置的阈值时，表明所述噪声模拟网络恶意数据模型训练完毕；

机器学习模块，用于接入所述噪声模拟网络恶意数据模型，由所述噪声模拟网络恶意数据模型不间断随机生成网络恶意数据流量，供机器学习模块自我学习；

所述机器学习模块借助所述噪声模拟网络恶意数据模型，不间断丰富各种网络恶意数据特征向量样本，对真实网络流量进行恶意数据流检测，并将检测结果反馈给管理员，管理员可以定时根据检测结果调整所述噪声模拟网络恶意数据模型的参数，启动所述噪声模拟网络恶意数据模型的更新机制；

所述变异网络恶意数据特征包括对已知的网络恶意数据特征向量做扩展，以及修改若干恶意数据的字段；

所述判别器还会将判别的结果反馈给管理员，供管理员实时调整所述噪声模拟网络恶意数据模型的参数；

所述噪声模拟网络恶意数据模型的更新机制，是指再次将所述噪声模拟网络恶意数据模型作为生成器，将生成器的输出流量送入所述判别器。