[发明专利]基于GAN压缩算法的DGA域名威胁检测系统及其训练方法

权利要求书

1.基于GAN压缩算法的DGA域名威胁检测系统，其特征在于：其包括域名编码器、生成器、判别器和域名解析器，

域名编码器：对根域名进行编码生成一路域名向量至生成器和判别器；

生成器：生成器接收由高斯分布模型随机产生的100维数据并输出15维域名向量；生成器中有两个输入，一个随机生成的变量，一个是经过编码的根域名，训练时根域名会随机从根域名列表中取，两个输入相乘后送入生成器网络，

判别器：判别器接收由15维真实DGA域名向量和生成器生成的15维域名向量构成的30维域名向量，将其拆分为两个15维向量进行判别；判别器的网络采用双层LSTM网络来判断输入的域名向量的真假，即将域名向量进行分类，输出的是分类后的标签，

域名解析器：对生成器输出15维域名向量进行域名解析以得到二级域名的编码。

2.根据权利要求1所述的基于GAN压缩算法的DGA域名威胁检测系统，其特征在于：生成器网络结构与判别器保持一致。

3.根据权利要求2所述的基于GAN压缩算法的DGA域名威胁检测系统，其特征在于：生成器和判别器均4层神经网络构成，即输入层、两层隐含层和输出层。

4.根据权利要求1所述的基于GAN压缩算法的DGA域名威胁检测系统，其特征在于：分类标签包括正常域名DGA域名、生成器生成的域名。

5.基于GAN压缩算法的DGA域名威胁检测系统的训练方法，采用权利要求1所述的基于GAN压缩算法的DGA域名威胁检测系统，其特征在于：训练方法包括以下步骤：

步骤1，给定一个预训练的生成器G’，通过蒸馏的方法获取一个较小的的生成器G，

步骤2，从生成器中提取许多子生成器，并评估其性能，无需重新训练；

步骤3，根据给定的压缩率目标和性能目标，选择最佳子生成器，进行微调，并获得最终的压缩模型；其具体压缩步骤如下：

步骤3-1，构造合适的损失函数：

其中，V(G,D)表示真实样本和生成样本的差异程度；表示固定生成器G，最大地判别出样本来自于真实数据还是生成的数据；是在固定判别器D的条件下得到生成器G，G最小化真实样本与生成样本的差异；

步骤3-2，在损失函数中加入第二项，统一非配对和配对学习的损失：

其中，E是数学期望，G(x)表示数据集因子x在较小生成器G下形成的预测值，y是配对数据集中的真实值，G’(x)表示数据集因子x在给定的预训练生成器下产生的预训练值；

步骤3-3，继承判别器：使用预训练判别器D’预训练的权重并与压缩生成器一起对判别器进行微调，预训练的判别器以指导生成器D的训练；其中

L_cGAN＝E_x，y[logD(x，y)]+E_x[log(1-D(x，G(x)))]

初始化的判别器D使用来自预训练判别器D’的权重。

步骤3-4，中间特征蒸馏：通过匹配输出层的logits将知识从D’模型转移到D模型，最后完整的损失函数为：

L＝L_cGAN+λ_reconL_％recon+λ_distillL_distill

其中，超参数λ_recon和λ_distill控制后两项的权重。

步骤3-5，完成生成器构建以压缩GAN的运算量，提高训练速度。

6.根据权利要求5所述的基于GAN压缩算法的DGA域名威胁检测系统的训练方法，其特征在于：步骤1中通过权重共享的所有可能通道数，在每个训练步骤中选择不同的通道数ck。

7.根据权利要求5所述的基于GAN压缩算法的DGA域名威胁检测系统的训练方法，其特征在于：步骤3-5采用卷积分解和层敏感性、NAS自动裁剪通道、解耦训练和结构搜索等方法完成生成器构建。