[发明专利]一种基于深度学习的异常网络连接检测方法

摘要

本发明涉及一种基于深度学习的异常网络连接检测方法，对每个网络流记录提取网络连接标识字段，并根据网络连接标识字段，对所有网络流记录进行聚合；构建一个基于深度神经网络的网络连接模型；构建一个异常网络连接检测器，使用网络连接模型的输出作为输入，与网络连接模型同步进行训练，得到对网络连接的检测结果；使用数据集对网络连接模型和异常网络连接检测器进行调参优化与误报控制，如果达到预期效果则训练结束并保存网络参数及结构；将待检测网络连接记录输入训练完成的网络连接模型和异常网络连接检测器的组合模型，输出异常网络连接记录。本发明能发现异常网络连接，且不依赖于人工建立的网络连接模型。

主权项

1.一种深度学习的异常网络连接检测方法，其特征在于，包括以下步骤：第一步，对输入的原始网络流记录数据进行数据清洗，得到干净网络流记录数据集，并将所述干净网络流记录数据集拆分为训练数据集和验证数据集；第二步，对所述干净网络流记录数据集进行特征抽取，并对抽取后的特征进行标准化处理，从而对网络流记录数据集中的每个网络流记录生成特征向量；第三步，对所述干净网络流记录数据集中的网络流记录提取网络连接标识字段，并根据所述网络连接标识字段对网络流记录进行聚合，生成所述网络流记录数据集中的所有网络连接，所述网络连接由第二步中特征向量构成的特征向量序列进行描述；第四步，构建网络连接模型，使用第三步中的特征向量序列对网络连接模型进行训练，完成对正常网络连接模式和异常网络连接模式的建模，网络连接模型输出最终输出为网络连接的向量表达形式；第五步，构建一个异常网络连接检测器，使用网络连接模型的输出作为输入，与网络连接模型同步进行训练，完成对正常网络连接和异常网络连接的检测，得到网络连接的检测结果；第六步，使用验证数据集中的网络连接特征向量序列对异常网络连接检测器进行测试，根据异常网络连接检测器的检测效果，对网络连接模型和异常网络连接检测器进行调参优化与误报控制，如果达到期望检测效果，则训练结束并保存网络参数及结构，从而完成异常网络连接检测。