[发明专利]深度时空混合的云数据中心网络流量实时检测方法

说明书

本发明公开一种深度时空混合的云数据中心网络流量实时检测方法。该方法综合考虑了网络流量来源和分布均不同的影响，并且结合了基于时间特征的流量检测模型和基于空间特征的流量检测模型的优点。综合以上因素，构建了基于时空特征的改进的异常流量检测模型，提升了模型对于异常流量的检测能力，增强了对于攻击流量和正常流量的分类效果。本发明结合了融合时空特征的深度学习模型、时间卷积网络模型、注意力机制和随机失活方法，能够根据网络流量的特征进行实时检测，实现了对正常流量和异常流量的识别和分类。

技术领域

本发明涉及云数据中心中的流量检测技术。更具体地，涉及一种深度时空混合的云数据中心网络流量实时检测方法。

背景技术

随着信息技术的发展，计算机网络的使用对于当今社会运转的重要性日渐增加。在计算机网络的交互过程中，云数据中心通过共用软硬件资源，使用服务器交换网络流量，提供目标需要的资源和信息，完成网络服务功能，是一种常用的计算方式。然而，随着计算机网络规模的增长，流量传输对网络性能的需求越来越大，衍生出了各式各样基于网络流量进行的恶意攻击。例如拒绝服务(Denial of Service,DoS)攻击通过发出超出正常需求范围的请求量，使得服务器的过多资源被占用，从而妨碍向其他用户提供的服务，其在网络流量上的异常体现在短时间内流量的激增。该类型的网络攻击会对网络服务运营造成严重破坏，因此对威胁网络流量服务的攻击进行主动的侦测和预防是十分必要的。

针对网络攻击流量的预防，可以通过实时检测输入的网络流量，根据流量的特征进行异常识别和分类，并针对异常类别做出对应的响应。同时，可以通过输入的历史流量预测未来的流量值，基于流量的变化趋势进行攻击流量预测，并提前采取预防措施。网络服务器中攻击流量的检测是一个单变量时间序列的分类和预测问题。传统上的网络流量检测是基于统计方法，通过对信息源进行建模分析，提取区分性的特征作为分类器判别正常流量的基准，即如果新数据样本偏离或超出正常模型的范围，则进行异常检测的反应。然而，随着网络规模的不断扩大，云数据中心的网络流量通常来自于多个不同的服务点，来自这些服务点的流量通常不具有统一的特征和数学分布，基于分布式统计学习的异常检测模型效果较差，难以手工设计最优的模型特征进行学习。

随着深度学习在研究领域的日益兴起，通过自主学习特征的算法在多个领域都取得了超越传统方法的效果。近年来，有研究者提出在流量预测方向应用深度学习的方法，利用神经网络的自动学习性，输入大数据量的网络流量进行训练，从原始数据中挖掘出隐藏的复杂特征信息，通过多次迭代寻找出适合全局数据的神经网络参数和特征等，实现对网络异常流量的准确识别。

由于深层神经网络的特性，使用深度学习的网络流量检测方法省去了手动设计数据特征集的过程。相较于传统的统计方法和机器学习算法不再需要大量经验和实验的特征工程，直接以数据作为驱动，神经网络会自行完成模型学习，发掘效果最好的特征，省去了人工选择的困难。深度学习网络在网络流量问题上的应用具体可以体现在其可以通过设置内部特定的神经网络，进行针对性的分析网络流量中随时间记录的变化，包含特定的空间和时间信息模式。网络流量数据通过识别这种时空信息模式，可以对发生在流量中的正常和异常模式进行识别，从而捕获攻击流量。目前，这些技术正被广泛应用于对工业领域中的传感器数据进行分类和预测。

因此，不同于现有工作，本专利基于网络流量数据中的时空特征设计分类器，建立深度学习模型，实现对网络流量的实时异常检测和分类。

本专利针对通常不具有统一特征和数学分布、具有明显的非典型性和非周期性变化特点的网络流量数据，使用长短期记忆网络(Long Short-Term Memory,LSTM)及其改进模块作为下层，进行时序特征学习；使用时间卷积网络(Temporal ConvolutionalNetwork,TCN)及改进模块作为上层，进行空间特征学习。在此基础上改进模型结构，提升模型对于异常流量的检测能力，增强对于攻击流量和正常流量的分类效果。