[发明专利]一种时空感知的网络流量异常行为检测方法及电子装置

权利要求书

1.一种时空感知的网络流量异常行为检测方法，其步骤包括：

1)提取网络流量的流特征、长度特征与时间特征，并依据所述流特征，得到空间特征；

2)根据空间特征、长度特征与时间特征，获取分类特征；

3)依据分类特征对网络流量进行分类，得到所述网络流量的异常行为检测结果。

2.如权利要求1所述的方法，其特征在于，提取网络流量的流特征、长度特征与时间特征之前，对网络流量进行预处理；所述预处理包括：将原始文件分割为＜源IP地址，源端口号，目的IP地址，目的端口号，协议的五元组和去除无效数据，其中原始文件是由所述网络流量的数据包组成；分割原始文件的方法包括：使用SplitCap；无效数据包括：以太网头部的MAC地址、类型和IP头部的版本和区分服务字段。

3.如权利要求1所述的方法，其特征在于，得到空间特征的方法包括：将所述流特征输入一个由两个卷积层、两个池化层与一个全连接层组成的一维卷积神经网络。

4.如权利要求3所述的方法，其特征在于，所述一维卷积神经网络的激活函数包括：ReLU；防止所述一维卷积神经网络过拟合的方法包括：使用dropout操作；所述池化层包括：最大池化层。

5.如权利要求1所述的方法，其特征在于，所述长度特征的每一维度包括：当前数据包的长度。

6.如权利要求1所述的方法，其特征在于，所述时间特征的每一维度包括：当前数据包与前一个数据包之间的时间间隔，其中第一个数据包与前一个数据包之间的间隔为0。

7.如权利要求1所述的方法，其特征在于，获取分类特征的方法包括：将空间特征、长度特征与时间特征输入一个改进的LSTM网络，其中通过使用门控结构控制细胞状态和细胞隐藏状态对LSTM网络进行改进，其步骤包括：

1)根据t-1时刻的细胞状态C_t-1与时间间隔Δ_t，得到调整后细胞状态其中时间间隔Δ_t为t时刻数据包与t-1时刻数据包的时间间隔，T_t(·)为时间感知函数，W_d与b_d为LSTM网络参数；

2)创建候选细胞状态其中x_t为t时刻细胞的输入，h_t-1为t-1时刻的细胞隐藏状态，L_t(·)为长度感知函数，W_c与U_c为LSTM网络参数；

3)依据调整后细胞状态与候选细胞状态共同更新，得到t时刻的细胞状态其中f_t为遗忘门输入，i_t为输入门输入；

4)根据细胞状态C_t，计算t时刻的细胞隐藏状态h_t＝o_t*tanh(C_t)，其中o_t为输出门输出。

8.如权利要求1所述的方法，其特征在于，依据分类特征对网络流量进行分类的方法包括：使用Softmax分类器。

9.一种存储介质，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1-8中任一所述方法。

10.一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行如权利要求1-8中任一所述方法。