[发明专利]融合深度神经网络和层级注意力机制的恶意流量更新方法

说明书

本发明提出了一种融合深度神经网络和层级注意力机制的恶意流量更新方法，包括以下步骤：S1，获取原始流量数据，对获取的所述原始流量数据进行预处理；S2，通过时序处理特征向量捕获每个流量数据之间的特征信息；S3，分配得到注意力向量；S4，对其流量数据进行特征融合；并对融合的特征进行线性变换；S5，将流量数据进行分类；S6，对其迭代更新。本发明能够对恶意流量进行检测，增强性能。

技术领域

本发明涉及一种恶意流量监测技术领域，特别是涉及一种融合深度神经网络和层级注意力机制的恶意流量监测系统。

背景技术

随着计算机网络的不断发展，它正在不断改变人们的生活、学习和工作方式，但是目前面临着各种安全威胁，并且这种威胁变得越来越严重。于是人们提出了网络安全，其包括为防止和监视计算机网络和可以通过网络访问资源而进行的未经授权访问、滥用、修改或拒绝的策略和实践。网络安全主要包括其承载者信息的保密性，完整性和可用性(Confidentiality Integrity Availability,CIA)。任何一种试图破坏CIA 或绕过设定网络安全机制的活动都可以视为网络入侵。目前安全领域针对安全攻击检测办法一般采用入侵检测系统(Intrusion Detection System,IDS)，它是监视网络或系统是否存在恶意活动或违反策略的设备或软件应用程序。通常将任何入侵活动或违规行为报告给管理员，或使用安全信息和事件管理系统集中收集。IDS通常会检查特定网络的所有传入和传出数据包，以确定每个数据包是否具有入侵迹象。精心设计的IDS以及其中相关的功能部件，可以识别大多数入侵活动的特征，并通过写入安全日志或发出警告来自动响应它们。

根据入侵检测系统的技术分类可以分为两类：滥用检测和异常检测。滥用检测又称为基于规则的入侵检测。在滥用检测中，入侵过程模型在被观察系统中保留下的踪迹是决策的基础，因此实现根据经验规则或者专家知识定义某些非法的特征行为，然后将观察对象与之进行比较做出是否具有此种非法行为系统的判别。滥用检测基于已知的系统缺陷和入侵模式，它能够准确地检测到某些特定的攻击，但却过度依赖事先定义好的安全策略。

异常检测又称为基于行为的入侵检测。与滥用检测不同的是，在异常检测中，观察到的不是已知入侵行为，而是研究的正常通信过程中异常现象。异常检测通过检测系统的行为或使用情况的变化来完成。在建立异常检测的模型之前，首先必须建立统计概率模型，明确所观察对象的正常情况，然后决定在何种程度上将一个行为标为“异常”，并给出相应的具体措施。异常检测只能识别出，那些与正常过程有较大偏差的行为，而无法知道具体入侵情况。由于各种网络环境的适应性不强，很难获得精确的判定准则，异常检测经常会出现虚警情况。但尽管误报率可能很高，但它可以检测未知攻击。当前，网络结构越来越复杂，入侵方法也随着多样化和复杂化的趋势而发展，给入侵检测系统带来了更多的挑战。

从机器学习的兴起，关于机器学习学习的许多研究开发了具有机器智能的入侵检测技术。比如支持向量机(Support Vector Machine,SVM)，人工神经网络(ArtificialNeural Network,ANN)，XGBoost，遗传学算法(Genetic Algorithm,GA)和集成学习在入侵检测领域都取得了不错的成绩。但是因为机器学习算法只能作为一个分类器使用，具有许多的局限性，而当入侵变得越来越复杂和多样化。于是需要更好学习方法，尤其在自动提取入侵特征和分析。

因深度学习的广泛研究研究与应用，尤其在自然语言处理、图像处理和语音处理，以及天气预报方面取得了巨大的成功。使用深度学习建立的模型具有高度非线性的结构，能够出色处理复杂数据集的能力。并且近年来并行计算以及其硬件的发展，为深度学习算法推广和应用带来了新契机。