[发明专利]一种对抗性网络的恶意数据流检测方法及系统

说明书

本发明提供一种对抗性网络的恶意数据流检测方法及系统，可以基于历史访问数据，分析构建一个噪声模拟网络恶意数据模型，首先使用真实网络恶意数据流量训练所述噪声模拟网络恶意数据模型，模型自身还有不断复合、变异网络恶意数据的能力。同时，通过修改网络恶意数据对抗性样本弱相关位，保留了对抗性样本的可执行性和攻击性，更好地用于深度学习训练。当噪声模拟网络恶意数据模型训练完毕后，在接入机器学习模块，作为机器学习模块的模拟恶意数据源，不间断地恶意数据训练机器学习模块，帮助提升机器学习模块检测的能力。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种对抗性网络的恶意数据流检测方法及系统。

背景技术

现有的统计分析和机器学习虽然能检测恶意软件、恶意代码、恶意行为等，但还存在两个不足：一是，训练过程中恶意数据不足，远远少于正常数据，数据的不足和不平衡会导致检测模型失衡，导致检测稳定性差；二是，随着技术的发展，恶意攻击者的恶意数据手段也在不断改变，然而却无法提前将它们用于模型训练，导致模型无法检测未知的恶意数据。所以急需一种可以自我生成可使用的恶意数据，增强训练数据，提升检测模型性能的方法和系统。

发明内容

本发明的目的在于提供一种对抗性网络的恶意数据流检测方法及系统，可以基于历史访问数据，分析构建一个噪声模拟网络恶意数据模型，首先使用真实网络恶意数据流量训练所述噪声模拟网络恶意数据模型，模型自身还有不断复合、变异网络恶意数据的能力。同时，通过修改网络恶意数据对抗性样本弱相关位，保留了对抗性样本的可执行性和攻击性，更好地用于深度学习训练。当噪声模拟网络恶意数据模型训练完毕后，在接入机器学习模块，作为机器学习模块的模拟恶意数据源，不间断地恶意数据训练机器学习模块，帮助提升机器学习模块检测的能力。

第一方面，本申请提供一种对抗性网络的恶意数据流检测方法，所述方法包括：

获取历史访问数据，根据已知的网络恶意数据类型的特征，分析提取历史访问数据中恶意数据的特征向量；

其中，提取历史访问数据中恶意数据的特征向量之前，先进行预处理，将长度统一化为指定长度，每一位数据归一化到[0,1]，再将样本转换为64*64的二维向量；

基于所述恶意数据的特征向量，构建噪声模拟网络恶意数据模型，应用该模型可随机生成已知的各种类型的网络恶意数据以及多种网络恶意数据复合；

所述多种网络恶意数据复合包括同时具备若干种网络恶意数据的特征，或者连续输出若干种网络恶意数据，或变异网络恶意数据特征；

将所述噪声模拟网络恶意数据模型作为对抗性网络的生成器，所述生成器的输出流量不间断地与真实网络恶意数据流量一并送入判别器；

其中，生成器的输出流量先通过掩模操作提取出弱相关位，在弱相关位进行扰动生成具有攻击性的对抗性样本；

所述判别器根据两端输入的生成器输出流量和真实网络恶意数据流量，得出判别结果；如果判别结果为真时，表明生成器输出流量与真实网络恶意数据流量在特征向量上非常接近，判别器将相似度信息反馈给生成器；如果判别结果为假时，表明生成器输出流量与真实网络恶意数据流量在特征向量上差别很大，判别器将差别度信息、真实网络恶意数据流量的特征向量一并反馈给生成器；

生成器根据判别器的反馈结果调整噪声模拟网络恶意数据模型的参数，再次生成新的输出流量；

当判别器得到的判别结果为真的比率大于预先设置的阈值时，表明所述噪声模拟网络恶意数据模型训练完毕；

将所述噪声模拟网络恶意数据模型接入机器学习模块，由所述噪声模拟网络恶意数据模型不间断随机生成网络恶意数据流量，供机器学习模块自我学习；