[发明专利]一种基于深度神经网络的网络异常检测方法

说明书

本发明涉及一种基于深度神经网络的网络异常检测方法。本发明首先对网络流量数据进行预处理，对字符型特征进行数值化，然后对数值化后的数据进行最大最小归一化，使数值范围在(0,1)之间；然后利用训练数据集对模型进行训练，得到优化后的ResNet‑GRU深度学习模型；在优化后的ResNet‑GRU深度学习模型上，对测试数据集进行测试，得到每条测试数据在每个类别上的概率分布；具有最大概率的类别即为该样本所属于的流量类别。本发明对网络流量数据实现了很好的分类，更准确地判断了网络流量的类型，从而提高网络异常检测的准确率。

技术领域：

本发明涉及一种基于深度神经网络的网络异常检测方法，该方法在网络异常检测领域中有着很好的应用。

背景技术：

在网络异常检测领域中，可以将网络流量分为正常流量和异常流量。网络异常检测的目的是及时识别出异常的网络流量，从而实行相应的措施进行防护。

目前主流的流量分类方法包括：基于端口的方法、基于深层包检测的方法、基于统计的方法、基于行为的方法。由于随机端口和伪装端口技术的大量应用，通过端口分类的方法准确率偏低。基于深层包检测的方法无法解密流量内容，在分类任务中遇到很大障碍。目前研究较多的是基于统计的方法和基于行为的方法，它们属于传统的机器学习分类方法，特点是需手工设计流量特征。近年来，深度学习算法已被广泛地应用到网络异常检测领域。残差神经网络(ResNet)和门控递归神经网络(GRU)是当前深度学习模型中最流行的两种模型，残差神经网络可以提取网络流量的空间特征，门控递归神经网络可以提取网络流量的时序特征，对于网络异常检测的任务而言，可以同时利用两种模型来提取两种不同的特征，从而实现异常流量的检测。

发明内容：

为了解决网络异常检测领域中的异常流量识别准确率低的问题，本发明公开了一种基于深度神经网络的网络异常检测方法。

为此，本发明提供了如下技术方案：

1.一种基于深度神经网络的网络异常检测方法，其特征在于，该方法包括以下步骤：

步骤1：数据集选取，本方法选取NSL-KDD数据集。

步骤2：对NSL-KDD网络流量数据集所含有的字符型特征进行字符数值化，对数值化后的数值特征进行最大最小归一化，使数值特征范围在(0,1)之间。并按照数据集已经划分好的训练数据和测试数据进行训练和测试。

步骤3：训练包括前向传播和反向传播两个过程。训练数据作为ResNet-GRU模型训练的输入，经过ResNet-GRU模型的训练，得到优化后的ResNet-GRU模型。

步骤4：测试过程为前向传播过程，即流量分类过程。在优化后的ResNet-GRU模型上，输入测试数据，计算流量样本在每个流量类别下的概率分布，其中，具有最大概率的流量类别即为流量样本的流量类型。

2.根据权利要求1所述的基于深度神经网络的网络异常检测方法，其特征在于，所述步骤2中，以NSL-KDD数据集为基础，进行字符数值化和数值最大最小归一化使特征值的范围在(0,1)之间，具体步骤为：

步骤2-1将原始数据的第四列、第五列、第二十二列、第二十三列、第三十一列、第三十二列采用sklearn库的OneHotEncoder函数进行独热编码，使字符特征变为数值特征；

步骤2-2将网络流量分为五种类型，分别为Normal，Dos，Probe，R2L，U2R；

步骤2-3原始数据样本中特征最大值和最小值差距较大，为防止数值大小差异对模型的影响，采用最大最小归一化方法将网络流量数据中的数值映射在(0,1)之间。

3.根据权利要求1所述的基于深度神经网络的网络异常检测方法，其特征在于，所述步骤3中，对ResNet-GRU模型进行训练，具体步骤为：

前向传播过程：