一种基于特征分析的异构网络安全检测特征加权方法技术

本发明专利技术公开了一种基于特征分析的异构网络安全检测特征加权方法，属于检测技术领域，本发明专利技术方法包括如下步骤：特征采集；特征处理；数据加权；本发明专利技术应用基于随机森林算法的有监督学习机器学习方法为所有特征计算权重，将此权重值归一化后作为特征权重，附加到特征矩阵中，以此提高神经网络结果准确率；本发明专利技术利用深度学习方法进行异构网络安全检测，没有通过修改神经网络结构对该方法进行优化，而是通过特征分析的方式提高输入数据精度，以达到提高深度学习结果准确率的目的；本发明专利技术对神经网络的运算能力和运算速度没有影响，通过提高原始数据精度，提高深度学习结果准确率

【技术实现步骤摘要】
一种基于特征分析的异构网络安全检测特征加权方法


[0001]本专利技术属于检测
，具体涉及一种基于特征分析的异构网络安全检测特征加权方法
。

技术介绍

[0002]随着计算机网络技术的高速发展，互联网已经覆盖社会生活的各方各面
。
不同结构的网络相互关联通信组成庞大的异构网络体系，其安全检测问题至关重要
。
由于不同结构的网络运行着不同的协议栈，传统方法需要对每种架构的网络开展不同方式的网络安全检测技术，难以通过一种具备通用普适性的方法对各类网络进行安全检测
。
[0003]近年来深度学习技术发展迅速，在各研究领域中取得了十分优异的研究成果
。
在网络安全领域中，基于深度学习的检测方法无需像传统方法一样检测网络中运行的协议，只需通过捕获网络架构中的一些特征参数，结合深度学习方法进行检测
。
多年来随着深度学习技术的发展，通过捕获网络特征数据再利用深度学习模型进行分析是一种常见的方法，现有方法都是基于此方法的改进
。
图1展示的是现有对基于深度学习的网络安全检测方法的改进方法
。
现有的改进方法大多是通过修改神经网络模型的方式提高结果准确率，将神经网络修改为复杂模型，提高计算能力，不过随着网络安全态势的日益严峻，对神经网络模型的要求也越来越高，神经网络模型日趋复杂，已经难以使用更复杂的模型提高准确率，此方式提升的效果越来越小，而且随着神经网络模型结构的复杂化，对计算设备的计算能力要求也越来越高，在普通计算设备上已难以支持神经网络模型的运行
。
[0004]通过提高采集特征数据的精度的方式也是一种提高结果准确率的改进方法，该类方法目前主要分为两种方式
。
第一种方式是通过设计复杂算法采集对结果有利的数据，去除容易干扰结果的数据，然而普通算法难以筛选出这类数据，且准确率不高，难以对检测结果准确率产生明显的提升效果
。
第二种方式是对采集数据增加权重提高结果准确率，不过现有方式是针对选定的几个指定的对结果明确有效的特征进行加权，需明确每个特征的具体含义并确定其对结果的影响，需大量实验验证，运行效率低且普遍性低，不具备对任意特征的普遍性
。
[0005]现有技术缺点为以下两点：
[0006](1)
传统基于深度学习的网络安全检测方法已难以提升更高的准确率，现有高准确率的检测方法往往需要构建复杂深度学习模型，需进行大量的算法运算，运算效率低，浪费系统资源，对设备的计算能力也有一定的要求
。
现有基于深度学习的网络安全检测方法中对深度学习模型的参数调试也十分困难，需进行大量实验验证调整参数的合理性，且此方法对结果准确率的提升程度有限，难以对结果产生比较明显的提升效果
。
[0007](2)
现有基于特征分析的网络安全检测方法需选用对结果有利的数据，需研究并设计复杂算法对特征数据进行筛选，且需明确每个特征的具体含义
。
面对复杂而庞大的网络体系，此方法难以适应不同环境下的异构网络的安全检测
。
针对不同结构的异构网络，难以找到大量且有意义的特征数据作为安全检测的判断标准，且难以开发有效算法判断各特
征的实际意义，难以筛选有效特征，准确率和效率都难以保障
。

技术实现思路

[0008]针对现有技术中存在的上述技术问题，本专利技术提出了一种基于特征分析的异构网络安全检测特征加权方法，设计合理，克服了现有技术的不足，具有良好的效果
。
[0009]为了实现上述目的，本专利技术采用如下技术方案：
[0010]一种基于特征分析的异构网络安全检测特征加权方法，包括如下步骤：
[0011]步骤1：特征采集；
[0012]步骤2：特征处理；
[0013]将特征采集中采集到的特征转化为适宜作为卷积神经网络输入参数的二维特征矩阵，确定矩阵的行与列的具体含义，并对矩阵中的数值进行预处理；
[0014]步骤3：数据加权；
[0015]数据加权即根据每类特征的特性，计算该类特征对安全检测结果的影响程度，为每类特征计算对应的权值
。
[0016]优选地，步骤1中，基于深度学习方法，应用卷积神经网络实现异构网络安全检测，将采集到的特征转化为作为神经网络输入参数的特征矩阵；异构网络安全检测中的特征分为数值特征和非数值特征两类
。
[0017]优选地，在网络设备运行过程中，存在多种能体现网络状态的数值特征数据，其中，网络流量特征是最能表明网络状态的一种数值特征；在网络中，网络行为就是网络流量，网络空间的信息传输和交互以网络流量为载体，网络流量数据中包含大量具有重要价值的信息；网络流量在网络中以网络数据流的形式存在，网络数据流是在两个网络地址之间使用某种特征的协议传输的一个或多个数据包；原始的网络流量数据以
pcap
格式存储，使用
TCPdump
抓包工具，直接从网卡进行数据报文收集，捕获所有从网卡发出和接收到的网络流量；捕获到的网络流量以
pcap
格式存储为数据包，其中包含网络中的各类信息，使用
CICFlowMeter
流处理工具对其进行解析，得到包含计算流持续时间
、
数据包数量
、
字节数以及分组的长度在内的网络数值特征
。
[0018]优选地，网络系统或内存中的特征也是一种能体现网络状态的数值特征；网络系统特征包括
CPU、
内存和磁盘数据特征，能够展现网络设备实时运行的参数变化；内存特征是从网络系统运行时捕获的完整内存状态镜像中分析得到的特征数据，能够展现网络系统运行时的实时状态，且其分析行为不会被网络系统中可能存在的恶意程序检测到，是可信的特征数据
。
[0019]优选地，步骤2中，确定矩阵的行与列的具体含义的方法如下：
[0020]对于网络流量特征，根据网络流和网络会话的定义，网络流量数据在网络中以流传输的形式存在，通过分流操作处理网络流量数据，需确定一条网络流量数据的唯一标识；以五元组的形式作为一条网络流量数据的唯一标识，五元组的信息包括网络路由源
IP、
网络路由目的
IP、
应用程序访问源端口
、
应用程序访问目的端口
、
传输协议这五个字段；特征矩阵中每行数据表示一条网络流量，具有相同标识的网络流量数据位于矩阵的同一行；
[0021]对于网络系统或内存中的特征，特征矩阵的每一行表示一个进程，系统为每一个运行的进程分配一个进程标识
PID
，但
PID
每次由系统自动分配，并不是确定的，因此采用进
程名称和启动进程的命令行组成的二元组作为进程的唯一标识，具有相同标识的进程的系统或内存特征位于特征矩阵的同一行；
[0022本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.
一种基于特征分析的异构网络安全检测特征加权方法，其特征在于：包括如下步骤：步骤1：特征采集；步骤2：特征处理；将特征采集中采集到的特征转化为适宜作为卷积神经网络输入参数的二维特征矩阵，确定矩阵的行与列的具体含义，并对矩阵中的数值进行预处理；步骤3：数据加权；数据加权即根据每类特征的特性，计算该类特征对安全检测结果的影响程度，为每类特征计算对应的权值
。2.
根据权利要求1所述的基于特征分析的异构网络安全检测特征加权方法，其特征在于：步骤1中，基于深度学习方法，应用卷积神经网络实现异构网络安全检测，将采集到的特征转化为作为神经网络输入参数的特征矩阵；异构网络安全检测中的特征分为数值特征和非数值特征两类
。3.
根据权利要求2所述的基于特征分析的异构网络安全检测特征加权方法，其特征在于：在网络设备运行过程中，存在多种能体现网络状态的数值特征数据，其中，网络流量特征是最能表明网络状态的一种数值特征；在网络中，网络行为就是网络流量，网络空间的信息传输和交互以网络流量为载体，网络流量数据中包含大量具有重要价值的信息；网络流量在网络中以网络数据流的形式存在，网络数据流是在两个网络地址之间使用某种特征的协议传输的一个或多个数据包；原始的网络流量数据以
pcap
格式存储，使用
TCPdump
抓包工具，直接从网卡进行数据报文收集，捕获所有从网卡发出和接收到的网络流量；捕获到的网络流量以
pcap
格式存储为数据包，其中包含网络中的各类信息，使用
CICFlowMeter
流处理工具对其进行解析，得到包含计算流持续时间
、
数据包数量
、
字节数以及分组的长度在内的网络数值特征
。4.
根据权利要求3所述的基于特征分析的异构网络安全检测特征加权方法，其特征在于：网络系统或内存中的特征也是一种能体现网络状态的数值特征；网络系统特征包括
CPU、
内存和磁盘数据特征，能够展现网络设备实时运行的参数变化；内存特征是从网络系统运行时捕获的完整内存状态镜像中分析得到的特征数据，能够展现网络系统运行时的实时状态，且其分析行为不会被网络系统中可能存在的恶意程序检测到，是可信的特征数据
。5.
根据权利要求1所述的基于特征分析的异构网络安全检测特征加权方法，其特征在于：步骤2中，确定矩阵的行与列的具体含义的方法如下：对于网络流量特征，根据网络流和网络会话的定义，网络流量数据在网络中以流传输的形式存在，通过分流操作处理网络流量数据，需确定一条网络流量数据的唯一标识；以五元组的形式作为一条网络流量数据的唯一标识，五元组的信息包括网络路由源
IP、
网络路由目的
IP、
应用程序...

【专利技术属性】
技术研发人员：赵润泽，韩顺利，李飞，张奎，王统，
申请(专利权)人：中国电子科技集团公司第四十一研究所，
类型：发明
国别省市：