[发明专利]一种广义网络温度与深度学习结合的网络异常预警方法

说明书

本发明提出一种广义网络温度与深度学习结合的网络异常预警方法，该方法计算了新的网络特征PL_GNT，划分了不可直接观测的网络拥塞状态，设计了流量数值预测模型和网络拥塞状态分类模型，最后构造了攻击概率函数与组合条件发送警告信息。本发明引入PL_GNT与NHC对不可观测的网络状态进行划分更细粒度地描述了每一时刻网络的状况，提高了实时性；将可观测的特征数值映射不可直接观测得到的网络状态，提高了可解释性；通过使用深度学习方法，构造攻击概率函数，以拥塞状态与攻击概率条件组合的方式提供预警信息，进一步提高了预警精度。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种广义网络温度与深度学习结合的网络异常预警方法。

背景技术

近年来，网络接入设备数量与流量均呈指数态势增长，制造、金融、医疗、交通等领域也依托网络实现了深度的信息融合。但由此导致的安全事件也急剧增加，网络是否“安全可靠”已经成为用户关心的首要问题。入侵检测技术致力于发现网络中正在发生的异常行为，而预警技术致力于发掘网络中即将以较大概率出现的异常行为。网络安全技术的最终目标是防患未然，而入侵检测技术已相对成熟，此时应在其基础上将网络安全的边界外延，对网络异常预警方法的研究是高度契合网络安全技术发展方向的。

网络异常预警及相关技术，是网络安全体系中的一个关键环节。近年来，学者们对网络异常预警方法进行了广泛的研究。网络异常预警有三类方法：1)基于知识推理和意图识别进行多步攻击预测；2)基于数学模型计算的外推进行网络安全态势预测；3)基于机器学习方法对网络流量特征进行预测并由此实现预警。

第一类预警技术中，建立模型的对象是入侵检测系统(IDS)反馈的警报信息。该类技术将警报频率等同于攻击概率，推测攻击者最有可能的下一步动作；或利用警报信息将DDOS攻击的各个步骤抽象为隐状态，以此实现多步攻击预测。第二类预警技术中，建立模型的对象是抽象化得到的网络安全态势。网络安全态势抽象化方法包括层次分析法、粗粒化方法或构建网络安全态势评估指标体系。常用的预测手段有灰色预测法，移动自平均法，神经网络等。第三类预警技术中，建立模型的对象是网络流量特征的数值。该类方法通过深度学习手段来获取时空特性，常用的深度学习方法有CNN神经网路、RNN神经网路、LSTM神经网络等。

然而上述三类预警方法各自存在一些局限性和问题，比如：1)依靠知识推理和意图识别进行多步攻击预测可以描述攻击步骤，但构建攻击图和推理过程选用耗费大量时间，实时性较差；2)外推网络安全态势可以提高准确率但是无法描述网络的状态，导致可解释性较差；3)入侵检测系统的警报信息本身就存在一定的误报率，误差会在模型中进一步累积，导致警报率下降。

发明内容

针对上述预警方法存在的局限性，本发明提供本一种广义网络温度与深度学习结合的网络异常预警方法，以解决现有网络异常预警技术无法同时满足高实时性、强可解释性和高预警精度的问题。

为实现上述目的，本发明具体技术方案如下：一种广义网络温度与深度学习结合的网络异常预警方法，包括如下步骤：

1)定义网络拥塞状态，所述网络拥塞状态包括：S₀、S₁、S₂、S₃；S₀对应正常状态，S₁对应轻度拥塞状态、S₂对应中度拥塞状态，S₃对应重度拥塞状态；

2)利用工具软件获取网络流特征的数值，所述网络流特征包括：链路数量|E|，数据包数量k，香农熵变化量ΔH，单位时间内数据包总长度∑L，单位时间内单个数据包平均包长度的变化量ΔP_L；

3)计算广义网络温度PL_GNT，计算公式如下：

4)计算网络比热容NHC，计算公式如下：