[发明专利]一种基于深度神经网络的网络异常检测方法

权利要求书

1.基于深度神经网络的网络异常检测方法，其特征在于，该方法包括以下步骤：

步骤1：数据集选取，本方法选取NSL-KDD数据集；

步骤2：对NSL-KDD网络流量数据所含有的字符型特征进行字符数值化，对数值化后的数值特征进行最大最小归一化，使数值特征范围在(0,1)之间，并按照数据集已经划分好的训练数据和测试数据进行训练和测试；

步骤3：训练包括前向传播和反向传播两个过程，训练数据作为ResNet-GRU模型训练的输入，经过ResNet-GRU模型的训练，得到优化后的ResNet-GRU模型；

步骤4：测试过程为前向传播过程，即流量分类过程；在优化后的ResNet-GRU模型上，输入测试数据，计算流量样本在每个流量类别下的概率分布，其中，具有最大概率的流量类别即为流量样本的流量类型；

所述步骤3中，对ResNet-GRU模型进行训练，具体步骤为：

前向传播过程：

步骤3-1把训练数据输入到初始化的ResNet-GRU模型中；

步骤3-2经过ResNet模型，提取更完整的空间特征；

步骤3-3经过GRU模型，提取更完整的时序特征；

步骤3-4将ResNet模型和GRU模型提取的两种特征融合后，输入多头注意力层，对所提取的混合特征通过注意力机制，对重要特征给予更大的权重；

步骤3-5利用softmax层来计算流量样本m在每个流量类别s_i(i＝1,2,...,n)下的预测概率，所述的softmax函数如下：

其中，a_i表示softmax层的输入数据，P(s_i|m)表示流量样本m在流量类别s_i下的出现概率(i＝1,2,...,n)；

步骤3-6从P(s₁|m)、P(s₂|m)、...、P(s_n|m)中选取最大概率作为预测概率；

其中，y_predicted_j表示流量样本m的预测概率；

步骤3-7将预测概率y_predicted_j和真实概率y_j进行比较，利用交叉熵损失函数来计算误差loss；

所述误差loss的计算过程如下所示：

其中，y_j表示流量样本m属于流量类别s_i的真实概率；

反向传播过程：

根据误差loss反向传播，逐层更新参数，参数更新过程如下：

其中，θ表示参数集，θ'表示更新后的参数集，a为学习率；

不断迭代ResNet-GRU模型，得到优化后的ResNet-GRU模型。

2.根据权利要求1所述的基于深度神经网络的网络异常检测方法，其特征在于，所述步骤2中，以NSL-KDD数据集为基础，进行字符数值化和数值最大最小归一化使特征值的范围在(0,1)之间，具体步骤为：

步骤2-1将原始数据的第四列、第五列、第二十二列、第二十三列、第三十一列、第三十二列采用sklearn库的OneHotEncoder函数进行独热编码，使字符特征变为数值特征；

步骤2-2将网络流量分为五种类型，分别为Normal，Dos，Probe，R2L，U2R；

步骤2-3原始数据样本中特征最大值和最小值差距较大，为防止数值大小差异对模型的影响，采用最大最小归一化方法将网络流量数据中的数值映射在(0,1)之间。

3.根据权利要求1所述的基于深度神经网络的网络异常检测方法，其特征在于，在所述步骤4中，对流量样本m进行流量分类，具体过程为：

流量分类过程：

步骤4-1把测试数据输入到优化后的ResNet-GRU模型之中；

步骤4-2经过ResNet模型，提取更完整的空间特征；

步骤4-3经过GRU模型，提取更完整的时序特征；

步骤4-4将ResNet模型和GRU模型提取的两种特征融合后，输入多头注意力层，对所提取的混合特征通过注意力机制，对重要特征给予更大的权重；

步骤4-5利用softmax层来计算流量样本m在每个流量类别下的概率分布；其中，具有最大概率的流量类别s'即为流量样本的流量类别；

所述流量类别s'的确定过程如下：

其中，s'表示概率最大的流量类别，n表示流量类别数，P(s₁|m),...,P(s_i|m),...,P(s_n|m)表示流量样本m在流量类别s_n下的概率分布序列。