[发明专利]基于生成对抗网络的半监督网络流量异常检测方法

权利要求书

1.一种基于生成对抗网络的半监督网络流量异常检测方法，其特征在于，包括：

步骤1，对网络流量数据进行流量计算，形成网络流量特征记录；

步骤2，对网络流量特征记录中的非数值型特征进行独热编码处理，对网络特征流量记录中的数值型特征进行归一化处理，得到网络流特征数据；

步骤3，将网络流特征数据输入特征聚合模块，对流特征向量进行多维度的特征空间映射至低维度的特征空间，得到聚合网络流量特征；

步骤4，聚合网络流量特征映射到卷积空间，将聚合网络流量特征卷积压缩进入隐藏空间，得到聚合网络流量特征的隐藏特征向量；

步骤5，将隐藏特征向量对隐藏空间进行反卷积回溯，经过维度扩张后形成重构回溯空间；

步骤6，将重构回溯空间进行卷积压缩进入隐藏空间，重构回溯空间压缩后得到新的隐藏特征向量；

步骤7，计算步骤4得到的隐藏特征向量和步骤6得到的新的隐藏特征向量之间的欧式距离，若欧式距离＞阈值，则该网络流量是异常流量，若欧式距离≤阈值，则该网络流量是正常流量。

2.根据权利要求1所述的基于生成对抗网络的半监督网络流量异常检测方法，其特征在于，步骤2中对数值型特征使用最值归一化处理，具体为：将数值型特征的最大值和最小值成比例映射入[0,1]范围中，公式如下：

其中，为x经过最值归一化处理后的值，x为原始值，min(x)为数值型特征的最小值，max(x)为数值型特征的最大值。

3.根据权利要求1所述的基于生成对抗网络的半监督网络流量异常检测方法，其特征在于，步骤3中的特征聚合模块包括一层编码器，所述编码器的神经元参数为77*32，将流特征向量映射为32维的特征向量。

4.根据权利要求1所述的基于生成对抗网络的半监督网络流量异常检测方法，其特征在于，步骤4中的卷积空间包括两个卷积维度压缩模块和一个反卷积升维模块。

5.根据权利要求4所述的基于生成对抗网络的半监督网络流量异常检测方法，其特征在于，所述卷积维度压缩模块包括四层卷积网络层，前三层卷积网络层的网络结构相同，卷积核的大小为4、BatchNorm1d和LeakyRelu，第四层卷积网络层的卷积核大小为4，卷积维度压缩模块输出batch*100*1的隐藏特征向量。

6.根据权利要求4所述的基于生成对抗网络的半监督网络流量异常检测方法，其特征在于，所述反卷积升维模块包括四层反卷积网络层，前三层反卷积网络层的网络结构相同，卷积核的大小依次为4、BatchNorm1d和LeakyRelu，第四层反卷积网络层的卷积核是反卷积层加上Tanh函数，反卷积升维模块输出batch*1*32的回溯空间。

7.根据权利要求1所述的基于生成对抗网络的半监督网络流量异常检测方法，其特征在于，步骤7中的欧式距离使用归一化均方误差计算，公式为：

其中，y_i代表第i个样本的特征值，代表第i个样本的最大特征值，代表第i个样本的最小特征值，表示第i号样本特征的均值，表示第i号样本特征的最小值，表示第i号样本特征的最大值，n表示样本的总数。