[发明专利]一种基于复杂网络和图神经网络的僵尸网络检测方法

权利要求书

1.一种基于复杂网络和图神经网络的僵尸网络检测方法，其特征在于：具体步骤如下；

S1、读取流量解析数据，对数据进行初步预处理；

S2、将原始流量解析数据转为图数据，基于源IP计算各有向边的出度、入度、中心度，以及通信时间、总字节数、总包数等特征的均值、标准差、中位数、最大值和最小值；

S3、基于S2得到的新特征进行数据的融合处理，将得到的标量值作为源IP各边的权重；

S4、提取源IP、目的IP，进行数据操作，计算邻接矩阵，编写正则化拉普拉斯矩阵函数；将数据集划分为训练集、验证集和测试集；

S5、编写图神经网络模型；

S6、利用图神经网络模型进行实例化，设定相关参数，训练模型，并基于验证集优化参数，基于测试集测试模型精确率；

S7、保存模型，对新流量解析数据进行检测。

2.根据权利要求1所述的一种基于复杂网络和图神经网络的僵尸网络检测方法，其特征在于：所述的步骤S1中，读取CTU-13流量解析数据，每个数据样本含有10个维度(列)，其中一列为表明相应的数据样本是否为僵尸网络的标签，在数据预处理时，对其中协议列和连接状态列进行独热编码。

3.根据权利要求1所述的一种基于复杂网络和图神经网络的僵尸网络检测方法，其特征在于：所述的步骤S2中，通过导入networkx，编写创建图函数，将解析流量数据转为图数据。

4.根据权利要求1所述的一种基于复杂网络和图神经网络的僵尸网络检测方法，其特征在于：所述的步骤S4中，提取数据集中源IP和目的IP，进行Groupby操作，得到每个源IP对应的目的IP列表，进一步将其转为词典，计算邻接矩阵和正则化拉普拉斯矩阵，将数据集中所有IP转换为整数，并对除IP外的其他特征数据进行归一化处理，并将数据集划分为训练集、验证集和测试集。

5.根据权利要求1所述的一种基于复杂网络和图神经网络的僵尸网络检测方法，其特征在于：所述的步骤S5中，导入PyTorch，编写一阶采样函数、k阶采样函数；编写用于聚合源IP邻居信息的图卷积类、SageGCN层和GraphSAGE类。

6.根据权利要求1所述的一种基于复杂网络和图神经网络的僵尸网络检测方法，其特征在于：所述的步骤S6中，利用GraphSAGE类进行实例化。