[发明专利]一种基于设备类型的异常流量检测方法及装置

权利要求书

1.一种基于设备类型的异常流量检测方法，其步骤包括：

构建设备mac地址和设备类型之间的映射关系；

提取待检测流量中的设备mac地址，并基于所述映射关系，选取相应设备类型的异常流量检测模型，其中通过以下步骤获取所述异常流量检测模型：

将该相应设备类型的正常流量训练集作为训练样本；

将稀疏自编码器所使用的l_i范式参数编码作为遗传空间的染色体，并使用稀疏自编码器训练过程的损失值作为适应度；

初始化种群大小与种群中的初始染色体；

计算每一染色体为范式参数时的适应度并基于染色体繁殖染色体其中i为染色体编号，t为繁殖次数，t≤T，T为繁殖次数；

根据最小的适应度得到最优范式参数，并基于最优范式参数对稀疏自编码器进行正则化，以获取异常流量检测模型；

将所述待检测流量的流量特征输入相应设备类型的异常流量检测模型，得到异常流量检测结果。

2.如权利要求1所述的方法，其特征在于，获取待检测流量的方法包括：使用wirshark或者tcpdump对指定局域网出入口流量进行捕获。

3.如权利要求1所述的方法，其特征在于，通过以下步骤构建所述映射关系：

1)提取各设备类型流量样本的设备识别特征；

2)基于设备识别特征，并使用多视图广深算法，获取被动识别结果；

3)使用nmap对各设备类型流量样本进行主动扫描，获取主动识别结果；

4)根据被动识别结果与主动识别结果，得到设备mac地址和设备类型之间得映射关系。

4.如权利要求3所述的方法，其特征在于，设备识别特征包括：广播包特征和http流量特征；广播包特征包括：dhcp协议、mdns协议、ssdp协议、llmnr协议和nbns协议的数据包特征；http流量特征包括：user-agent字段。

5.如权利要求1所述的方法，其特征在于，所述损失值包括：均方误差；繁殖方法包括：基于适应度计算作为父母的概率、配对染色体交换基因和染色体变异中的至少一种。

6.如权利要求1所述的方法，其特征在于，训练稀疏自编码器的损失函数其中n为稀疏自编码器输入向量的维度，x_p为输入向量的第p维值，为输出向量的第p维值，m为稀疏自编码器中间层的神经元数量，λ为最优范式参数，w_q为中间层中第q个神经元权重。

7.如权利要求1所述的方法，其特征在于，流量特征包括：数据包的大小、流持续时间、ttl、window、flag统计值和固定时间内相同源ip与目的ip的tcp统计数；将流量特征输入相应设备类型的异常流量检测模型之前，对流量特征进行预处理；所述预处理的方法包括：对流量特征进行归一化处理。

8.如权利要求1所述的方法，其特征在于，所述异常流量检测方法适用于多个局域网时，通过联邦学习方法训练异常流量检测模型，包括：

每一训练参与方u从安全服务中心获取设备类型k的异常流量检测模型或设备类型k的异常流量检测模型参数

基于异常流量检测模型或异常流量检测模型参数使用本地正常流量训练集进行训练，得到异常流量检测模型其中v为训练轮次；

将异常流量检测模型的参数上传给安全服务中心；

安全服务中心根据参数获取异常流量检测模型与异常流量检测模型参数

当训练轮次v达到设定训练轮次或异常流量检测模型的损失值小于设定值，将异常流量检测模型作为训练好的设备类型k异常流量检测模型。