[发明专利]一种基于改进卷积神经网络的网络入侵检测方法

说明书

本发明公开了一种基于改进卷积神经网络网络入侵检测方法，提出一种新型双通道卷积神经网络架构，应用于网络入侵检测场景；双通道卷积神经网络是对传统卷积神经网络模型的改进，双通道的两个分支网络分别独立提取特征，弥补了传统单通道卷积神经网络中丢失的特征信息；在卷积神经网络的最后，将双通道卷积融合起来，通过主成分分析算法，将融合特征维度降低，加快训练速度，再输出到一个全接连层，最后通过softmax分类器输出多分类结果。本发明能很好的应用于网络入侵检测场景，检测速度快，准确率高。

技术领域

本发明属于网络信息安全技术领域，具体涉及一种基于改进卷积神经网络网络入侵检测方法。

背景技术

过去十年互联网应用的巨大增长，对信息网络安全的需求也急剧上升。网络入侵检测系统(Intrusion Detection System,IDS)在确保信息安全方面发挥着重要作用，关键技术是准确识别网络中的各种攻击。许多监督学习和无监督学习技术被提出，并运用于IDS中，以实现可靠的异常检测。深度学习是机器学习的一个重要领域，将神经元结构应用于学习任务的复杂模型结构。虽然机器学习被广泛应用在该领域中，但是大部分传统的机器学习算法属于浅层学习，并且经常强调特征的选取。这些方法不能有效地解决在真实网络应用环境中出现的大规模入侵数据分类问题。随着数据集的动态增长，多个分类任务将导致准确性降低。此外，浅层学习不适用于智能分析和大规模高维数据学习的预测要求。相比之下，深度学习可以从数据中提取更好的特征来创建更好的模型。

将卷积神经网络(Convolutional Neural Network，CNN)应用于IDS是一个比较新颖的研究领域。CNN是一个经典的深度学习算法。卷积神经网络不仅可以进行特征选择，而且可以对网络流量数据进行分类。相比于传统机器学习算法，CNN，自动学习更好的特征。网络流量数据越多，卷积神经网络学到有用的特征越多，分类效果越好。

现有的文献专注于利用增加CNN深度提高模型侦测网络入侵的准确率，忽视前面卷积步骤对特征信息提取还存在改进的空间。原因在于传统单通道CNN模型在对特征提取环节，存在特征信息丢失的情况。随着CNN深度的增加，训练时间也急剧增加。传统CNN模型的输入矩阵和卷积核(过滤器)进行点积运算，提取特征信息，但是输入矩阵的边缘相对于内部元素计算的次数较少，存在特征信息的丢失情况。

发明内容

发明目的：提供了一种基于改进卷积神经网络网络入侵检测方法，能很好的应用于网络入侵检测场景。

发明内容：本发明所述的一种基于改进卷积神经网络网络入侵检测方法，包括以下步骤：

(1)将经过预处理的数据输入双通道卷积神经网络，进行特征提取：以双通道为背景，计算上下两通道卷积输出；以双通道背景，计算上下两通道池化的输出；

(2)处理两通道末尾特征融合；

(3)将经过处理完的特征向量，进行PCA降维压缩；将经过PCA降维后的特征输入全连接层，最后经过softmax分类器，转化为网络入侵的多分类结果；

(4)根据新型双通道卷积神经网络架构，优化模型超参数：前向传递阶段，计算模型输出结果；反向传播阶段，调整模型权重。

进一步地，步骤(1)所述的双通道卷积神经网络上通道和下通道的结构一样，包含两层卷积和两层池化；所述上通道和下通道的卷积核设置不相同。

进一步地，所述步骤(1)实现过程如下：

卷积过程表示为,