[发明专利]一种异常流量数据的检测方法及系统

权利要求书

1.一种异常流量数据的检测方法，其特征在于，包括：

将待检测流量数据包中的任一条流量数据的特征输入至训练好的自动编码器模型或主成分分析模型中，以获取所述任一条流量数据对应的评分；

若所述评分大于预设异常门限，则判定所述任一条流量数据为异常流量数据；

其中，所述训练好的自动编码器模型的训练步骤如下：

构建所述自动编码器模型的第一目标函数；

在训练集上对所述第一目标函数进行训练，以使所述第一目标函数最小；

其中，构建所述第一目标函数L的公式如下：

其中，x_i为将第i条流量数据的所有特征，x_i′为将第i条流量数据的所有特征输入至自动编码器模型得到的输出向量，h为稀疏参数，h_j为隐藏层中第j个神经元的活跃度；

其中，所述训练好的主成分分析模型的训练步骤如下：

构建所述主成分分析模型的第二目标函数；

在训练集上对所述第二目标函数进行训练，以使所述第二目标函数最大；

其中，构建所述第二目标函数M的公式如下：

其中，d_i为第i条流量数据的所有特征维度，为第i条重构流量数据的所有特征维度，W为各维度的特征权值。

2.根据权利要求1所述的方法，其特征在于，所述将待检测流量数据包中的任一条流量数据的特征输入至训练好的自动编码器模型或主成分分析模型中，以获取所述任一条流量数据对应的评分，之前还包括：

获取所述任一条流量数据的原始特征，其中，所述原始特征包括统计特征和/或字符特征；

将所述原始特征进行标准化，以获取所述任一条流量数据的特征；

其中，标准化的公式如下：

其中，为待检测流量数据包中第k条流量数据的第i个特征，为待检测流量数据包中第k条流量数据的第i个原始特征。

3.根据权利要求2所述的方法，其特征在于，所述获取所述任一条流量数据的原始特征，进一步包括：

获取所述任一条流量数据的http请求字段；

在所述http请求字段中，获取所述任一条流量数据的请求响应码、响应尺寸、请求参数、请求字符频率熵、请求字符频率和请求路径中的一种或任意多种，并作为所述任一条流量数据的统计特征；

基于n-gram算法，获取所述任一条流量数据的字符特征；

将所述统计特征和/或所述字符特征作为所述任一条流量数据的原始特征。

4.根据权利要求1所述的方法，其特征在于，所述自动编码器模型的网络结构包括输入层、若干个隐藏层和输出层；

其中，所述若干个隐藏层中任一隐藏层的神经元个数为5-8个，所述输入层和所述输出层的尺寸一致，每一隐藏层和所述输出层连接有偏置单元。

5.一种异常流量数据的检测系统，其特征在于，包括：

特征输入模块，用于将待检测流量数据包中的任一条流量数据的特征输入至训练好的自动编码器模型或主成分分析模型中，以获取所述任一条流量数据对应的评分；

异常流量数据判定模块，用于若所述评分大于预设异常门限，则判定所述任一条流量数据为异常流量数据；

其中，所述异常流量数据的检测系统，还用于构建所述自动编码器模型的第一目标函数；在训练集上对所述第一目标函数进行训练，以使所述第一目标函数最小；

其中，构建所述第一目标函数L的公式如下：

其中，x_i为将第i条流量数据的所有特征，x_i′为将第i条流量数据的所有特征输入至自动编码器模型得到的输出向量，h为稀疏参数，h_j为隐藏层中第j个神经元的活跃度；

其中，所述异常流量数据的检测系统，还用于构建所述主成分分析模型的第二目标函数；

在训练集上对所述第二目标函数进行训练，以使所述第二目标函数最大；

其中，构建所述第二目标函数M的公式如下：

其中，d_i为第i条流量数据的所有特征维度，为第i条重构流量数据的所有特征维度，W为各维度的特征权值。