一种基于深度学习的卫星异常流量检测方法和系统技术方案

本发明专利技术涉及一种基于深度学习的卫星异常流量检测方法和系统，方法包括如下步骤：S1，获取网络流量；S2，将生成的每条网络流量进行数据预处理并统一格式，使网络流量可视化为图片；S3，将S2中得到的网络流量图片输入监督模型，并输出预测标签；S4，将多种模型输出的预测标签与真实标签对比，得到模型测试的准确率、召回率、精准率、F1分数四项指标；S5，通过对抗样本生成算法生成网络流量图片对抗样本，欺骗流量分类模型；S6，通过对抗样本防御模型判断网络流量图片是否添加扰动，对恶意流量进行防御。本发明专利技术无需人为介入设计提取统计特征，有利于减少人工成本和时间代价。利于减少人工成本和时间代价。利于减少人工成本和时间代价。

【技术实现步骤摘要】
一种基于深度学习的卫星异常流量检测方法和系统


[0001]本专利技术涉及恶意流量检测领域，具体是一种基于深度学习的卫星异常流量检测方法和系统。

技术介绍

[0002]卫星作为新型宽带互联网接入越来越受到关注，目前，卫星通信已成为通信系统的一个重要研究领域，其应用范围包括银行，石油，航空航天，广播媒体，电信等重要行业，然而，在卫星网络安全性受到威胁时，所产生的后果是不容忽视的。卫星网络的安全问题是一个不可忽略的问题。
[0003]基于网络流量分类的恶意流量检测方法是目前最受国内外关注的方法，它是将流量划分为异常流量和正常流量，以实现网络域内流量的实时监测。这种基于分类的恶意流量检测方法可以划分为：基于深度包检测的方法、基于端口号的方法、基于行为的方法和基于统计特征的方法。其中基于端口号的恶意流量检测方法是最快捷的方式，但是由于端口混淆技术的影响导致误检率较高，因此该方式在实际网络环境中极少被使用；而基于深度包检测的方式由于不能处理加密流量，因此在当今加密技术的时代中该方式并不受欢迎；基于行为和基于统计特征的方法较为灵活，它需要专业的研究人员预先设计一组特征，并且需要结合训练的效果有针对性地重新选择有价值的特征组，该方法由于难以确定通用的特征组导致较大的人工成本和时间代价。
[0004]传统的基于分类的恶意流量检测方法采用的是单一的模型来衡量该方法的好坏，这种方式过于片面。这种不考虑多种模型带来的差异效果，从而无法获得较佳的说服力，同样也是不被完全认可的方式。

技术实现思路

[0005]为解决现有技术所存在的技术问题，本专利技术提供一种基于深度学习的卫星异常流量检测方法和系统。该方法不需要人工设计提取特征组，能够通过多种方法生成流量对抗样本，适用于多种模型，实现适应度强、应用范围广、可靠性较高的检测。
[0006]本专利技术提一种基于深度学习的卫星异常流量检测方法，包括以下步骤：
[0007]S1，获取网络流量；
[0008]S2，将生成的每条网络流量进行数据预处理，使网络流量可视化为图片；
[0009]S3，将S2中得到的网络流量图片输入监督模型，并输出预测标签；
[0010]S4，将多种模型输出的预测标签与真实标签对比，得到模型测试的准确率、召回率、精准率、F1分数四项指标；
[0011]S5，通过对抗样本生成算法生成网络流量图片对抗样本，欺骗监督模型；
[0012]S6，通过对抗样本防御模型判断网络流量图片是否添加扰动，对恶意流量进行防御。
[0013]优选地，在S1中，基于低轨卫星平台，监听低轨卫星平台中的流量数据，依据自定
义的拦截规则捕获流入或流经低轨卫星主机的DNS流量和HTTPs流量。
[0014]优选地，在S2中，该数据预处理过程包括：对捕捉的数据包进行切割数据包、获取数据包的字节流、统一字节数、字节数据十进制化、字节数据可视化、存储数据集的操作；其中，统一字节数是将每条数据包分割成m
×
m字节，不够字节数的数据包则在其后补零；存储数据集是将收集到的多张m
×
m字节的数据包、把字节数据的值直接映射为图片像素的值；将m
×
m字节的数据包可视化为m
×
m大小的图片，并存储为png格式的文件。
[0015]优选地，在S3中，监督模型为ResNet残差神经网络模型。
[0016]优选地，在S4中，该模型测试的准确率、召回率、精准率、F1分数四项指标可由如下数学公式计算获得：
[0017][0018][0019][0020][0021]其中，TP表示正常流量样本预测为正常流量样本；FN表示正常流量预测为异常流量样本；FP表示异常流量样本预测为正常流量；TN表示异常流量样本预测为异常流量样本；其中，Accuracy为准确率，Recall为召回率，Precision为精准率，F1
‑
score为F1分数。
[0022]优选地，在S5中，通过FGSM、I
‑
FGSM、MI
‑
FGSM、PGD对抗样本生成算法对网络流量图片进行处理，生成对抗样本；其中四种对抗扰动可由如下数学公式计算获得：
[0023][0024][0025][0026][0027][0028]其中,ε为限制扰动过大的约束条件,P<ε；为训练神经网络时的损失函数,θ为分类模型的参数,x和y分别为模型的输入和输入对应的正确标签，P为经过计算在原始样本上添加的扰动量；为点x处损失函数的梯度方向；对于I
‑
FGSM而言，X为原始样本，为第N个对抗样本，y
LL
为添加对抗样本后误被识别的样本
类，a为1，为训练神经网络时的损失函数；对于MI
‑
FGSM，表示对抗样本，表示损失值，t表示迭代次数，μ为衰减系数；PGD通过进行投影多此迭代。
[0029]优选地，在S6中，对抗样本防御模型为ResNet残差神经网络模型。
[0030]优选地，包括：恶意流量生成模块、恶意流量预处理模块、恶意流量检测模块、对抗样本生成模块和对抗样本防御模块；
[0031]恶意流量生成模块：基于低轨卫星平台，监听低轨卫星平台中的流量数据，并捕获数据包；自定义捕获流量数据的规则，根据规则匹配数据包并执行流量拦截行为；
[0032]恶意流量预处理模块：对捕捉的数据包进行切割数据包、获取数据包的字节流、统一字节数、字节数据十进制化、字节数据可视化、存储数据集的操作；其中，统一字节数是将每条数据包分割成m
×
m字节，而不够字节数的数据包则在其后补零；存储数据集是将收集到的多张m
×
m字节的数据包、把字节数据的值直接映射为图片像素的值；将m
×
m字节的数据包可视化为m
×
m大小的图片，并存储为png格式的文件；
[0033]恶意流量检测模块：预处理之后的网络流量图片输入ResNet卷积神经网络算法模型，并输出预测标签；将预测标签与真实标签对比得到模型的准确率、召回率、精准率、F1分数；
[0034]对抗样本生成模块：通过FGSM、I
‑
FGSM、MI
‑
FGSM、PGD对抗样本生成算法对网络流量图片进行处理，生成对抗样本，欺骗恶意流量检测模型；
[0035]对抗样本防御模块：基于卷积神经网络构建对抗样本防御模型，识别流量图片是否添加了扰动。
[0036]优选地，对抗样本生成过程包括：输入数据集中的任意一张网络流量图片，经过FGSM、I
‑
FGSM、MI
‑
FGSM、PGD任意方法对网络流量图片添加扰动，输出添加扰动后的网络流量图片。
[0037]本专利技术的系统与现有技术相比，具有如下优势：
[0038]1、无需人为介入设计提取统计特征，有利于减少人工成本和时间代价。
[0本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于深度学习的卫星异常流量检测方法，其特征在于，包括以下步骤：S1，获取网络流量；S2，将生成的每条网络流量进行数据预处理，使网络流量可视化为图片；S3，将S2中得到的网络流量图片输入监督模型，并输出预测标签；S4，将多种模型输出的预测标签与真实标签对比，得到模型测试的准确率、召回率、精准率、F1分数四项指标；S5，通过对抗样本生成算法生成网络流量图片对抗样本，欺骗监督模型；S6，通过对抗样本防御模型判断网络流量图片是否添加扰动，对恶意流量进行防御。2.根据权利要求1所述的一种基于深度学习的卫星异常流量检测方法，其特征在于，在S1中，基于低轨卫星平台，监听低轨卫星平台中的流量数据，依据自定义的拦截规则捕获流入或流经低轨卫星主机的DNS流量和HTTPs流量。3.根据权利要求1所述的一种基于深度学习的卫星异常流量检测方法，其特征在于，在S2中，该数据预处理过程包括：对捕捉的数据包进行切割数据包、获取数据包的字节流、统一字节数、字节数据十进制化、字节数据可视化、存储数据集的操作；其中，统一字节数是将每条数据包分割成m
×
m字节，不够字节数的数据包则在其后补零；存储数据集是将收集到的多张m
×
m字节的数据包、把字节数据的值直接映射为图片像素的值；将m
×
m字节的数据包可视化为m
×
m大小的图片，并存储为png格式的文件。4.根据权利要求1所述的一种基于深度学习的卫星异常流量检测方法，其特征在于，在S3中，监督模型为ResNet残差神经网络模型。5.根据权利要求1所述的一种基于深度学习的卫星异常流量检测方法，其特征在于，在S4中，该模型测试的准确率、召回率、精准率、F1分数四项指标可由如下数学公式计算获得：S4中，该模型测试的准确率、召回率、精准率、F1分数四项指标可由如下数学公式计算获得：S4中，该模型测试的准确率、召回率、精准率、F1分数四项指标可由如下数学公式计算获得：S4中，该模型测试的准确率、召回率、精准率、F1分数四项指标可由如下数学公式计算获得：其中，TP表示正常流量样本预测为正常流量样本；FN表示正常流量预测为异常流量样本；FP表示异常流量样本预测为正常流量；TN表示异常流量样本预测为异常流量样本；其中，Accuracy为准确率，Recall为召回率，Precision为精准率，F1
‑
score为F1分数。6.根据权利要求3所述的一种基于深度学习的卫星异常流量检测方法，其特征在于，在S5中，通过FGSM、I
‑
FGSM、MI
‑
FGSM、PGD对抗样本生成算法对网络...

【专利技术属性】
技术研发人员：闫红洋，王崇，李云灏，莫伟钏，李聪，王海洋，王宇，黄腾，
申请(专利权)人：广州大学，
类型：发明
国别省市：