[发明专利]一种基于SRU网络异常流量的检测方法及系统

说明书

本发明涉及一种基于SRU网络异常流量的检测方法及系统。通过对流量数据进行属性映射，使待检测数据符合模型数据格式需求；通过对流量数据进行编码转换、降维处理并通过使用SRU网络进行特征学习，并训练分类器实现异常流量分类。本发明解决现有的现有基于深度学习的异常流量检测算法训练速度慢的问题。

技术领域

本发明涉及流量分析和深度学习技术，具体涉及一种基于SRU网络异常流量的检测方法及系统。

背景技术

随着移动互联网、物联网在各领域的深入应用与快速发展，信息承载形式和工具更加丰富，互联网应用更加深入到人们生活的方方面面。随着信息化程度的深入，人们的安全意识也不断提高，信息与网络安全越来越受到广泛关注。处于各种不良动机所产生的异常流量，影响着各类应用的正常运行，用户面临着更多的新安全问题，更进一步甚至影响人们的日常工作。传统预防性网络安全技术有防火墙、病毒查杀[1]等，但对于一些新的入侵形式较难判断。随着应用场景越来越丰富，异常流量变得比以往更加复杂，传统预防技术只能在一定程度上有效。传统异常流量检测方多为静态方式[1]，在复杂动态的网络中较难校测异常和新的攻击类型，且传统方法特征提取不高、检测效率不高。文献[2]中提出了基于RNN变种LTSM的异常检测模型，但其训练速度仍存在限制，文献[3]中提出了基于GRU的异常检测机制，并证明比LSTM更适合作为RNN的记忆单元，并证明它是LSTM的有效简化和改进，但同样模型训练时间花费较高。SRU在网络结构上进行了优化，主要由遗忘门、重置门和记忆单元三部分组成。其计算方法为：

其中g(.)为激活函数。

RNN网络比较适合时间序列问题，但其结构限制了模型的训练速度，并且与CNN相比较，RNN也不能进行并行化处理。SRU网络结构的提出就是为了解决这个问题，SRU(simplerecurrent units)将大部分运算放到进行并行处理，只将有小量运算的步骤进行串行。LSTM和GRU等，都使用神经门（neural gate）控制信息流，缓解梯度消失（或爆炸）的问题。相比较，SRU中增加了在循环层之间增加了highway连接；在将RNN正则化时，SRU在标准的dropout外，增加了变分dropout，变分dropout在时间步长t与dropout使用相同的mask。

[1] 鲍捷, 牛颉, 张勇,等. 物联网异常流量检测算法研究[J]. 信息技术与网络安全, 2019(2).

[2] 王伟. 基于深度学习的网络流量分类及异常检测方法研究[D]. 2018.

[3] 唐睿，李祺. 基于深度学习的网络流量异常检测[EB/OL]. 北京：中国科技论文在线 [2020-03-30]. http://www.paper.edu.cn/releasepaper/content/202003-317.。

发明内容

本发明的目的在于提供一种基于SRU网络异常流量的检测方法及系统，解决现有的现有基于深度学习的异常流量检测算法训练速度慢的问题。

为实现上述目的，本发明的技术方案是：一种基于SRU网络异常流量的检测方法，包括：

数据采集：根据实际应用场景采集数据网络流量数据；

数据预处理：将采集的数据网络流量数据进行预处理；

SRU网络模型构建与训练：基于预处理数据，构建SRU网络模型，训练网络，提取并分析特征，对训练数据集进模型训练；

异常检测：SRU网络模型调用，异常检测输出。

在本发明一实施例中，所述数据预处理包括：将预处理数据整理成数据集；属性转换，将各类非数值型数据进行数值编码；属性归一化处理，将数据采用最小最大规范化方法归一化至[0,1]区间；优化不平衡数据。

在本发明一实施例中，所述SRU网络模型，包括：使用OHE独热编码对流量数据进行转换；对特征向量进行降维处理；使用SRU网络进行特征学习；训练进行异常检测的softmax分类器。