[发明专利]图神经网络构建方法、基于图神经网络的异常流量检测方法

权利要求书

1.一种图神经构建方法，其特征在于：包括：

S10：获取原始流量数据中具有相关性以及时序性的特征；

S20：将步骤S10中的特征转化为图结构数据；

S30：构建深度图神经网络模型。

2.根据权利要求1所述的图神经构建方法，其特征在于：步骤S10之前还包括步骤S00：通过会话还原技术对原始流量数据进行处理，形成以会话为基本单位的数据。

3.根据权利要求2所述的图神经构建方法，其特征在于：步骤S00中对原始流量数据进行处理的过程从时间窗口与会话状态两方面进行。

4.根据权利要求1所述的图神经构建方法，其特征在于：步骤S10中获取原始流量数据中具有相关性以及时序性的特征包括：

S101：获取原始流量数据中具有相关性的特征；

S102：获取原始流量数据中具有时序性的特征。

5.根据权利要求4所述的图神经构建方法，其特征在于：获取原始流量数据中具有相关性的特征的过程包括：

S1011：选取与流量判别相关的数据；

S1012：按照数据的表现形式，对选取的与流量判别相关的数据进行差异化的特征向量化处理。

6.根据权利要求4或5所述的图神经构建方法，其特征在于：获取原始流量数据中具有时序性的特征的过程包括：对不同表现形式的数据进行区分处理，分别进行循环神经网络训练，学习得到具有时序性的特征。

7.根据权利要求6所述的图神经构建方法，其特征在于：采用双向GRU模型来进行时序数据的处理，可同时接受不同类型的数据的处理，计算公式为：

r_t＝σ(W_r·[h_t-1,e_t|n_t|x_t])

z_t＝σ(W_z·[h_t-1,e_t|n_t|x_t])

其中，r_t与z_t分别代表重置门和更新门，记忆了当前时刻的状态，h_t属于更新记忆阶段，分别进行了遗忘和记忆两个步骤，e_t表示第一类型的数据输入，n_t表示第二类型的数据输入，x_t表示第三类型的数据输入。

8.根据权利要求1所述的图神经构建方法，其特征在于：图神经网络模型包括：

图卷积网络，用于聚合节点自身的特征和邻居特征来获得新的节点表示；

图池化网络，用于对数据进一步过滤；以及

全连接层，用于连接所有的特征，并将连接后的输出值交给分类器，进而对数据分类。

9.根据权利要求8所述的图神经构建方法，其特征在于：图卷积网络包括三层图卷积层，图池化网络包括三层池化层以及全局池化层。

10.一种基于图神经网络的异常流量检测方法，其特征在于：通过权利要求1至8中任意一项所述的深度图神经网络模型进行异常流量的检测。