[发明专利]基于小样本学习的服务器运行网络流量异常数据检测方法

权利要求书

1.一种基于小样本学习的服务器运行网络流量异常数据检测方法，其特征在于包括有下列步骤：

步骤一，使用WireShark工具获取流量发生器的网络流量数据；

使用WireShark过滤器过滤由流量发生器产生的多个网络流量数据，得到正常的网络流量数据集合，记为正常－流集合FW，且FW＝{fw₁,fw₂,…,fw_a,…,fw_A}；

fw₁表示第一个正常网络流量数据；所述fw₁携带的网络数据包，记为

fw₂表示第二个正常网络流量数据；所述fw₂携带的网络数据包，记为

fw_a表示任意一个正常网络流量数据；下角标a表示正常网络流量数据的标识号；所述fw_a携带的网络数据包，记为

fw_A表示最后一个正常网络流量数据；下角标A表示正常网络流量数据的总条数，a∈A；所述fw_A携带的网络数据包，记为

步骤二，使用WireShark工具获取攻击主机的网络流量数据；

使用WireShark过滤器过滤由攻击主机产生的多个网络流量数据，得到异常的网络流量数据集合，记为异常－流集合HW，且HW＝{hw₁,hw₂,…,hw_b,…,hw_B}；

hw₁表示第一个异常网络流量数据；所述hw₁携带的网络数据包，记为

hw₂表示第二个异常网络流量数据；所述hw₂携带的网络数据包，记为

hw_b表示任意一个异常网络流量数据；下角标b表示异常网络流量数据的标识号；所述hw_b携带的网络数据包，记为

hw_B表示最后一个异常网络流量数据；下角标B表示异常网络流量数据的总条数，b∈B；所述hw_B携带的网络数据包，记为

步骤三，网络流量数据中正常－特征提取；

服务器的WireShark过滤器中是存在有多个特征向量的，为了实现对网络流量数据包中信息的提取，选取WireShark过滤器中已有的41个特征来对正常－流集合FW＝{fw₁,fw₂,…,fw_a,…,fw_A}和异常－流集合HW＝{hw₁,hw₂,…,hw_b,…,hw_B}进行特征提取；

所述的41个特征构成一个一维特征向量；

步骤31，将步骤一得到的正常－流集合FW＝{fw₁,fw₂,…,fw_a,…,fw_A}中的网络数据包提取出，得到正常－数据包集合DP^FW，且

步骤32，依据一维特征向量提取所述中特征，记为正常－特征集合，记为FV，且

表示属于的正常－特征；

表示属于的正常－特征；

表示属于的正常－特征；

表示属于的正常－特征；

步骤四，网络流量数据中异常－特征提取；

步骤41，将步骤二得到的异常－流集合HW＝{hw₁,hw₂,…,hw_b,…,hw_B}中的网络数据包提取出，得到异常－数据包集合DP^HW，且

步骤42，依据一维特征向量提取所述中特征，记为异常－特征集合，记为HV，且

表示属于的异常－特征；

表示属于的异常－特征；

表示属于的异常－特征；

表示属于的异常－特征；

步骤五，记录下所有网络流量数据的特征；

将步骤三得到的FV与步骤四得到的HV进行求并集，得到全特征集合VFH＝FV∪HV；则

步骤六，小样本集合与多样本集合的划分；

步骤61，异常类型标记；

设置的异常类型标记集合，记为ANO，且ANO＝{ano₁,ano₂,…,ano_c,…,ano_C}；

ano₁表示第一种异常类型标记；

ano₂表示第二种异常类型标记；

ano_c表示任意一种异常类型标记；下角标c是异常类型的标识号；

ano_C表示最后一种异常类型标记；下角标C是异常类型的总类型数，c∈C；

步骤62，建立支持样本；

从步骤四得到的异常－特征集合中随机选取D，且D＜B个异常－特征，得到支持样本集合，记为SS，且

表示从异常－特征集合HV中选取的第一个支持样本；

表示从异常－特征集合HV中选取的第二个支持样本；

表示从异常－特征集合HV中选取的任意一个支持样本；下角标d是异常－特征集合HV中选取的支持样本的标识号；

表示从异常－特征集合HV中选取的最后一个支持样本；下角标D是从异常－特征集合HV中选取的支持样本的总数，d∈D；

步骤63，支持样本异常划分；

依据步骤61得到的ANO＝{ano₁,ano₂,…,ano_c,…,ano_C}对步骤62得到的支持样本集合进行异常类型划分，得到类型－支持样本集合，记为MSS，且

表示属于ano₁的支持样本集合，且表示属于ano₁的第一个支持样本，表示属于ano₁的第二个支持样本，表示属于ano₁的任意一个支持样本，表示属于ano₁的最后一个支持样本；

表示属于ano₂的支持样本集合，且表示属于ano₂的第一个支持样本，表示属于ano₂的第二个支持样本，表示属于ano₂的任意一个支持样本，表示属于ano₂的最后一个支持样本；

表示属于ano_c的支持样本集合，且表示属于ano_c的第一个支持样本，表示属于ano_c的第二个支持样本，表示属于ano_c的任意一个支持样本，表示属于ano_c的最后一个支持样本；

表示属于ano_C的支持样本集合，且表示属于ano_C的第一个支持样本，表示属于ano_C的第二个支持样本，表示属于ano_C的任意一个支持样本，表示属于ano_C的最后一个支持样本；

步骤64，选取小样本异常元素；

若将类型－支持样本集合中的任意一个支持样本集合作为小样本异常元素，记为MSS_小样本；则属于中的其他支持样本集合将作为多样本异常元素，记为MSS_多样本；

步骤七，训练相似度、流量概率；

步骤71，采用卷积神经网络CNN进行样本编码；

使用卷积神经网络CNN对属于ano₁的支持样本集合中的各个支持样本进行编码，分别得到小样本异常编码结果

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

使用卷积神经网络CNN对属于ano₂的支持样本集合中的各个支持样本进行编码，分别得到小样本异常编码结果

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

使用卷积神经网络CNN对属于ano_c的支持样本集合中的各个支持样本进行编码，分别得到小样本异常编码结果

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

使用卷积神经网络CNN对属于ano_C的支持样本集合中的各个支持样本进行编码，分别得到小样本异常编码结果

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

表示使用卷积神经网络CNN对的编码结果；

步骤72，训练样本选取；

从步骤五中得到的中任意选取一个元素作为训练样本，记为ts^VFH；

步骤73，训练样本编码；

使用卷积神经网络CNN对训练样本ts^VFH进行编码，得到编码结果f_θ(ts^VFH)，下角标θ表示卷积神经网络CNN的学习参数；

步骤74，求取小样本相似度；

基于小样本的相似度为

sim_u表示小样本相似度；

sim_u(x,x_i)中的x表示从中任意选取的一个元素；x_i表示中的任意一个元素；

为元素x与元素x_i这两个样本之间的指数，e为自然对数的底，取值2.71828；下角标θ表示卷积神经网络CNN的学习参数；f_θ(x)表示属于x的编码，f_θ(x_i)表示属于x_i的编码；

x_j表示从中任意选取的一个元素；

f_θ(x_j)表示属于x_j的编码；

步骤75，求取多样本相似度；

多样本的相似度为

sim_k表示多样本相似度；

sim_k(x,x_i)中的x表示从中任意选取的一个元素；x_i表示中的任意一个元素；

x_g表示从MSS_多样本中任意选取的一个元素；

f_θ(x)表示属于x的编码，f_θ(x_g)表示属于x_g的编码；

步骤76，求取网络流量数据异常的概率；

计算元素x为异常网络流量的概率，记为y，且y＝sigmoid(W·f_θ(x))⊙[sim_u(x,x_i),sim_k(x,x_i)]；sigmoid为Sigmoid函数；W为频次学习参数。