[发明专利]一种基于MLP的入侵检测方法

权利要求书

1.一种基于多层感知机MLP的入侵检测方法，其特征在于，包括以下步骤：

步骤1，扫描整个磁盘，收集指定的文件；

步骤2，进行数据预处理，提取特征，并标注标签；

步骤3，使用MLP对数据进行建模；

步骤4，使用模型预测新的数据，得到标签的预测值；

步骤3中所述的使用MLP对数据进行建模，具体如下：

(1)整个神经网络分为五层，分别为输入层、三个隐层、全连接层，其中全连接层同时也作为输出层；神经网络的训练由多个迭代组成，每个迭代中都要进行正向传播和反向传播两个步骤；

(2)在正向传播过程中，输入层仅提供输入数据，不进行任何运算；每个隐层将输入的数据做线性变换，之后应用非线性激活函数，输出给下一层；输出层的计算除了激活函数不同，其余与隐层相同；然后，根据模型输出和标签，计算模型损失；

(3)在循环层的反向传播过程中，首先计算损失对模型输出的梯度，之后计算隐层或输出层中各个量的梯度；得到每个参数的梯度后，将每个参数减去其自身的梯度，然后再乘以学习率，完成反向传播；

(4)隐层采用Dropout机制，在训练过程中让一部分神经元不工作，其中每个神经元不工作的概率为10％；

(5)训练参数如下：

Dropout比例：10％

学习率：0.01

第一隐层单元数：特征数÷2

第二隐层单元数：特征数÷4

第三隐层单元数：特征数÷8

输出层单元数：1

隐层激活函数：ELU

输出层激活函数：Sigmoid；步骤(2)中所述每个隐层将输入的数据做线性变换，之后应用非线性激活函数，输出给下一层；输出层的计算除了激活函数不同，其余与隐层相同；然后，根据模型输出和标签，计算模型损失，其中：

每个隐层的正向传播过程如下：

Z＝XW+B

A＝f(Z)

其中，X是隐层的输入，W是当前层每个神经元相对于上一层每个神经元的权重，B是偏置，W和B统称为参数，f是激活函数，A是输出，Z为中间变量；W和B初始化为随机值；

根据模型输出和标签，计算模型损失：

其中，L为模型的损失，Y为标签，A为模型输出，为逐元素相乘，n为样本量；

步骤(3)所述在循环层的反向传播过程中，首先计算损失对模型输出的梯度：

其中，/为逐元素除法；

之后计算隐层或输出层中各个量的梯度，公式如下：

得到每个参数的梯度后，将每个参数减去其自身的梯度，然后再乘以学习率，完成反向传播。

2.根据权利要求1所述的基于多层感知机MLP的入侵检测方法，其特征在于，步骤1中所述的扫描整个磁盘，收集指定的文件，包括主动模式和被动模式，具体如下：

在主动模式下，扫描磁盘并收集可执行文件，如果可执行文件为包含源代码的脚本，则将其编译成中间代码；

在被动模式下，仅收集系统和服务器日志文件。

3.根据权利要求1所述的基于多层感知机MLP的入侵检测方法，其特征在于，步骤2中所述的进行数据预处理，提取特征，并标注标签，具体如下：

将不同类型的原始文件，分别进行以下预处理：

(1)机器码或中间代码：提取指令名称和字符串内容，对字符串进行分词处理，得到单词，将一个文件视为一个样本；

(2)系统日志：从用户目录中的.bash_history文件中读取Shell的历史记录，按照指定的时间间隔切分为不同会话，一个会话视为一个样本，命令名称视为单词；

(3)服务器日志：将一个请求视为一个样本，对请求的载荷部分进行分词处理，得到单词；

然后将样本集D的单词汇总，制作成词汇表V，根据词汇表V，将样本集D转换为词频矩阵X；X_i,j为X中第i行第j列的元素，表示第j个词汇V_j在第i个样本D_i中的频率，其中i∈[0,|D|),j∈[0,|V|)，词频矩阵即为特征；

标签由人工标注为“正常”或“异常”，或者针对某类漏洞进行标注，标注为“存在某类漏洞”或“不存在某类漏洞”。

4.根据权利要求1所述的基于多层感知机MLP的入侵检测方法，其特征在于，步骤4中所述的使用模型预测新的数据，得到标签的预测值，具体如下：

对于每个新的样本，首先按照步骤2提取特征，处理为MLP所需的格式；然后使用训练所得的MLP参数，将样本和MLP参数代入步骤3的正向传播过程公式中，即得预测结果。