基于注意力机制的DRSN和LSTM的网络入侵检测方法技术

一种基于注意力机制的DRSN和LSTM的网络入侵检测方法，对入侵检测数据集进行预处理，使用卷积模块和注意力机制模块提取输入的流量特征，得到带有通道和空间注意力机制的特征矩阵，利用DRSN提取空间特征；可以叠加更深层次的网络结构，挖掘更深入的空间特征信息，且通过软阈值化，进行噪声的去除。将空间特征输入到LSTM中进行训练，提取数据中的时序特征，通过不断更新权重参数，得到优化的DRSN

【技术实现步骤摘要】
基于注意力机制的DRSN和LSTM的网络入侵检测方法


[0001]本专利技术属于网络安全
，特别涉及一种基于注意力机制的DRSN和LSTM的网络入侵检测方法。

技术介绍

[0002]随着互联网规模的增长和各类网络应用的不断出现，网络已经成为人类生活的必需品。目前，互联网上存在着海量的网络流量数据信息，各类网络攻击给网络空间安全带来严重的威胁。入侵检测系统作为一种有效的网络防护手段，是保护人类网络财产安全的重要工具。
[0003]目前的网络入侵检测技术，大多采用特征检测的方式，涉及的检测范围较为有限。具体而言，侧重于特征检测的入侵检测技术，仅适用于计算机网络开展相对简单的入侵行为检测和基本的防御管理，面对复杂的网络环境而言，基于特征检测的入侵检测依赖于已知攻击标志的数据库，将事件和流量与已知标志数据库匹配，从而判断是否存在攻击，但无法检测未知攻击。另一部分入侵检测采用异常检测，试图学习正常行为规律并将其他一切识别为异常或入侵，但是由于数据量庞大，特征过多，且有噪声数据和冗余数据，存在着准确率低和误报率高的问题。

技术实现思路

[0004]为了克服上述现有技术的缺点，本专利技术的目的在于提供一种基于注意力机制(Attention Mechanism，AM)的DRSN(Deep Residual Shrinkage Networks，DRSN)和长短期记忆网络(Long Short
‑
Term Memory，LSTM)的网络入侵检测方法，由于特征的重要程度存在差异，首先使用AM进行数据特征加权，使得重要特征变得突出，不重要特征被弱化，进而减少参与计算的特征维数，加快训练速度。采用DRSN，来提取特征中的空间特性，其在残差网络的基础上，添加了注意力机制和软阈值化，使模型能更好的关注重要特征，并尽可能抑制噪声对结果的影响，能显著提高模型特征提取的能力。DRSN具有提取数据空间特征的能力，LSTM具有提取数据中时序特征的能力，将DRSN和LSTM的优势结合起来，利用DRSN提取空间特征，并消除噪声数据，利用LSTM提取时序特征，充分学习数据时空特征，提高模型训练速度和入侵检测的准确率。
[0005]为了实现上述目的，本专利技术采用的技术方案是：
[0006]一种基于注意力机制的DRSN和LSTM的网络入侵检测方法，包括如下步骤：
[0007]步骤1，对入侵检测数据集进行预处理，得到数据集X；
[0008]所述入侵检测数据集包含网络流量数据与类识别标签label，所述网络流量数据包括数值数据和标签数据，所述类识别标签label用于标识入侵类别；所述预处理，将入侵类别编码为不同数字；将所述标签数据编码转化为数值数据，并通过一组二进制数表示一位特征值不同的状态，之后将所有数值数据进行归一化操作缩放到量纲[0,1]；
[0009]步骤2，使用卷积模块和注意力机制模块提取输入的流量特征，得到带有通道和空
间注意力机制的特征矩阵MS；
[0010]步骤3，调整特征矩阵MS为特征矩阵X3，使其能作为深度残差收缩网络的输入；
[0011]步骤4，利用深度残差收缩网络提取特征矩阵X3的空间特征；
[0012]步骤5，将所述空间特征输入到LSTM中进行训练，提取数据中的时序特征，通过不断更新权重参数，得到优化的DRSN
‑
LSTM入侵检测模型。
[0013]步骤6，利用优化的DRSN
‑
LSTM入侵检测模型，以网络流量为输入，以是否为入侵行为为输出，进行网络入侵检测。
[0014]在一个实施例中，所述入侵检测数据集为NSL
‑
KDD数据集，并使用其每个连接记录中的41类网络流量数据和一个类识别标签label；所述入侵类别包含Normal、Dos、Proboing、R2L和U2R，分别代表未受到入侵、拒绝服务入侵、监视和其他探测获得、远程机器非法访问和普通用户对本地超级用户特权的非法访问；所述41类网络流量数据中的协议类型protocl_type、服务类型service和标志flag构成标签数据，所述标签数据采用One
‑
Hot编码。
[0015]在一个实施例中，对于二分类问题，将Normal编码为1，Dos、Proboing、R2L和U2R均编码为2；对于多分类问题，将Normal、Dos、Proboing、R2L和U2R依次编码为1、2、3、4、5。
[0016]在一个实施例中，将步骤1中的一维矢量数据转换为二维矩阵格式，即将入侵检测数据转化为灰度图，转换过程如下：从数据集X中选择一个样本x，使用随机正太分布函数扩充x，使x从n
’
列拓展成n
’
+m
’
列，将x重构成p*q的矩阵，其中，p*q＝n
’
+m
’
，重复直至遍历X中所有样本，其中n
’
为样本的初始列数，m
’
为扩充的列数。
[0017]在一个实施例中，所述卷积模块，对所述二维矩阵做一次卷积操作，即对局部图像和卷积核矩阵做内积，公式如下：
[0018][0019]其中，W是卷积核的矩阵，S为经过卷积后的矩阵，S
(i,j)
表示在第i行，第j列经过卷积后得到卷积数值，卷积操作局部图像的大小必须和卷积核一致，x
(i+m,j+m)
为样本x的第i行，第j列，长度和宽度分别为m，n的局部图像信息；w
(m,n)
为长度m，宽度n的卷积核。
[0020]在一个实施例中，所述注意力机制模块采取通道注意力机制与空间注意力机制串联的方式；所述卷积模块输出的特征矩阵先经过通道注意力机制，输出带有通道注意力权重的特征矩阵MC；MC作为空间注意力机制的输入特征，生成带有通道和空间注意力机制的特征矩阵MS。
[0021]在一个实施例中，所述通道注意力机制，宽度为W，高度为H，通道数为C的维度特征经过基于宽和高的平均池化和全局最大池化分别降维成2个1
×1×
C的特征向量，然后经过共享的多层感知机MLP，并相加通过Sigmoid函数转换成1
×1×
C的权重特征向量，最后通过与输入特征相乘得到MC，公式如下：
[0022]MC(X)＝σ(MLP(MaxPool(X))+MLP(AvgPool(X)))
[0023]式中：σ为非线性激活函数Sigmoid，MaxPool为最大池化，AvgPool为平均池化；
[0024]所述空间注意力机制，分别在通道维度对MC进行基于通道的全局平均池化和全局最大池化，将形成的特征图通道数堆叠后通过卷积层并经过Sigmoid变换得到MS，公式如
下：
[0025]MS(X)＝σ(f[AvgPool(MC(X))；MaxPool(MC(X))])
[0026]式中：f为卷积降维操作。
[0027]在一个实施例中，所述本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于注意力机制的DRSN和LSTM的网络入侵检测方法，其特征在于，包括如下步骤：步骤1，对入侵检测数据集进行预处理，得到数据集X；所述入侵检测数据集包含网络流量数据与类识别标签label，所述网络流量数据包括数值数据和标签数据，所述类识别标签label用于标识入侵类别；所述预处理，将入侵类别编码为不同数字；将所述标签数据编码转化为数值数据，并通过一组二进制数表示一位特征值不同的状态，之后将所有数值数据进行归一化操作缩放到量纲[0,1]；步骤2，使用卷积模块和注意力机制模块提取输入的流量特征，得到带有通道和空间注意力机制的特征矩阵MS；步骤3，调整特征矩阵MS为特征矩阵X3，使其能作为深度残差收缩网络的输入；步骤4，利用深度残差收缩网络提取特征矩阵X3的空间特征；步骤5，将所述空间特征输入到LSTM中进行训练，提取数据中的时序特征，通过不断更新权重参数，得到优化的DRSN
‑
LSTM入侵检测模型；步骤6，利用优化的DRSN
‑
LSTM入侵检测模型，以网络流量为输入，以是否为入侵行为为输出，进行网络入侵检测。2.根据权利要求1所述基于注意力机制的DRSN和LSTM的网络入侵检测方法，其特征在于，所述入侵检测数据集为NSL
‑
KDD数据集，并使用其每个连接记录中的41类网络流量数据和一个类识别标签label；所述入侵类别包含Normal、Dos、Proboing、R2L和U2R，分别代表未受到入侵、拒绝服务入侵、监视和其他探测获得、远程机器非法访问和普通用户对本地超级用户特权的非法访问；所述41类网络流量数据中的协议类型protocl_type、服务类型service和标志flag构成标签数据，所述标签数据采用One
‑
Hot编码。3.根据权利要求2所述基于注意力机制的DRSN和LSTM的网络入侵检测方法，其特征在于，对于二分类问题，将Normal编码为1，Dos、Proboing、R2L和U2R均编码为2；对于多分类问题，将Normal、Dos、Proboing、R2L和U2R依次编码为1、2、3、4、5。4.根据权利要求1所述基于注意力机制的DRSN和LSTM的网络入侵检测方法，其特征在于，将步骤1中的一维矢量数据转换为二维矩阵格式，即将入侵检测数据转化为灰度图，转换过程如下：从数据集X中选择一个样本x，使用随机正太分布函数扩充x，使x从n
’
列拓展成n
’
+m
’
列，将x重构成p*q的矩阵，其中，p*q＝n
’
+m
’
，重复直至遍历X中所有样本，其中n
’
为样本的初始列数，m
’
为扩充的列数。5.根据权利要求1所述基于注意力机制的DRSN和LSTM的网络入侵检测方法，其特征在于，所述卷积模块，对所述二维矩阵做一次卷积操作，即对局部图像和卷积核矩阵做内积，公式如下：其中，W是卷积核的矩阵，S为经过卷积后...

【专利技术属性】
技术研发人员：王海凤，王凯江，白倩，杜辉，贾颜妃，郑承蔚，刘瑞，
申请(专利权)人：内蒙古工业大学，
类型：发明
国别省市：