[发明专利]一种基于深度学习的工控网络流量异常检测方法及装置

权利要求书

1.一种基于深度学习的工控网络流量异常检测方法，其特征在于，包括如下步骤：

步骤S1、获取网络流量的待检测数据和历史数据并进行预处理，得到对应的流量特征；

步骤S2、选取一段历史数据所对应的流量特征组成序列数据，输入用于预测流量特征的LSTM预测模型，预测待检测数据对应的流量特征，并输出预测结果；

其中，LSTM预测模型至少对如下流量特征进行预测，所述流量特征包括流持续时间、正向包的数量、反向包的数量、正向包的总字节数、反向包的总字节数、正向包头总字节数、反向包头总字节数、正向子流总字节数和反向子流总字节数；

步骤S3、基于历史数据计算用于异常检测的动态阈值，结合所述预测结果与待检测数据对应的真实流量特征，检测待检测数据对应的时段是否出现网络流量异常，包括：

步骤S3-1、调用历史数据对应的各流量特征的真实值与预测值；

步骤S3-2、通过如下方式计算动态阈值：

其中，thresh_i表示第i个流量特征对应的动态阈值，表示由第i个流量特征的真实值构成的历史数据组，表示由第i个流量特征的预测值构成的历史数据组，与长度均为n；

步骤S3-3、设t_now_i表示一时段中第i个流量特征的真实值，p_now_i表示对应时段的所述预测结果中第i个流量特征的预测值，若对于所有的i，均满足|t_now_i-p_now_i|thresh_i，则认为检测到该时段出现网络流量异常；

步骤S4、存储流量特征数据并定期训练新的LSTM预测模型，若新的LSTM预测模型优于当前用于预测流量特征的LSTM预测模型，则更新当前用于预测流量特征的LSTM预测模型。

2.根据权利要求1所述的基于深度学习的工控网络流量异常检测方法，其特征在于，

所述用于预测流量特征的LSTM预测模型是通过如下方式进行构建的：

将真实的网络流量数据进行预处理，得到流量特征；其中，进行预处理，得到流量特征包括选取流量特征，从真实的pcap流量包数据中解析出所预测的各流量特征，将连续时刻的流量特征按时间窗口聚合统计出各时段相应的真实值，组成对应的特征向量；

利用多个按时间正序连续排列的特征向量构成样本，利用多个样本构成训练集和测试集，基于训练集和测试集训练基于LSTM构建的LSTM预测模型，直至LSTM预测模型收敛。

3.根据权利要求1所述的基于深度学习的工控网络流量异常检测方法，其特征在于，

所述步骤S2中，选取一段历史数据对应的流量特征组成序列数据，输入用于预测流量特征的LSTM预测模型，预测待检测数据对应的流量特征，并输出预测结果，包括：

确定序列数据长度，选取历史数据所对应的流量特征，构成一组连续时段且包含有最新时段流量特征的特征向量组，输入用于预测流量特征的LSTM预测模型，由LSTM预测模型预测出下一时段的流量特征；其中，最新时段与下一时段在时间顺序上相邻，且下一时段为待检测数据所对应的时段；

输出LSTM预测模型对下一时段流量特征的预测结果，所述预测结果包括各流量特征相应的预测值。

4.根据权利要求1所述的基于深度学习的工控网络流量异常检测方法，其特征在于：

所述步骤S3-2中，n的取值为LSTM预测模型输入序列数据长度的整数倍；与由连续的历史数据构成，且中包含最新时段的流量特征的真实值，中包含最新时段的流量特征的预测值，最新时段与待预测数据所对应的时段在时间顺序上相邻。