[发明专利]LSTM模型及基于该模型的网络攻击识别方法及系统

权利要求书

1.一种用于网络攻击类别识别的LSTM循环神经网络模型，其特征在于：所述LSTM循环神经网络模型的建立过程包括以下步骤：

S100：采集多个文本格式的网络请求数据作为训练数据集，并根据网络请求数据的内容为每个网络请求数据设定标签类别，所述标签类别包括正常的网络请求数据和攻击类别的网络请求数据；

S200：对训练数据集中的网络请求数据进行预处理，转化为预设长度的数字序列型数据；

所述预处理包括解码、中文字符替换、大小写变换、字典提取、序列编码和序列长度处理；

所述解码为：将网络请求数据中包含的编码还原成所述编码对应的编码前的字符；

所述中文字符替换为：将非字母、数字和符号的字符统一替换为小写字母“z”；

所述大小写变换为：将大写字符转化为小写字符；

所述字典提取为：以单字符为单位统计每个字符在数据集中出现的次数，按次数降序排列字典编号形成字典，此外，设定序列补位的字符为“+”，其字典编号为0，未在训练数据集中出现过的字符编码为“z”，其字典编号为1；

所述序列编码为：根据字典中设置的字符的字典编号将网络请求数据中的字符替换为字典编号，将字典中未记录的字符使用字符“z”代替，并设定其字典编号为1，形成数字序列型数据；

所述序列长度处理为：根据设定的预设长度，将上述数字序列型数据进行长度处理，使所有数字序列型数据的长度均为预设长度；

S300：根据训练数据集中的数字序列型数据，进行训练，构建LSTM循环神经网络模型。

2.根据权利要求1所述的用于网络攻击类别识别的LSTM循环神经网络模型，其特征在于：所述标签类别包括三种，分别为类别1：正常的网络请求数据；类别2：包含SQL注入攻击的网络请求数据；类别3：包含XSS攻击的网络请求数据。

3.根据权利要求1所述的用于网络攻击类别识别的LSTM循环神经网络模型，其特征在于：所述长度处理包括头部操作和尾部操作中的一种，所述头部操作为：针对长度不足预设长度的数字序列型数据，在其前面使用字典编号0补齐，针对超过预设长度的序列截去前面超过预设长度的部分；所述尾部操作为：针对长度不足预设长度的数字序列型数据，在其后面使用字典编号0补齐，针对超过预设长度的序列截去后面超过预设长度的部分。

4.根据权利要求1所述的用于网络攻击类别识别的LSTM循环神经网络模型，其特征在于：步骤S300包括以下步骤：

S301：设置嵌入层；

S302：使用Dropout层随机断开一定比例的网络连接避免过拟合；

S303：连接LSTM层并指定一定比例的Dropout；

S304：连接一个全连接层和一个softmax层，输出结果为对应到每种标签类别的类别概率；

S305：设定优化器为adam随机梯度下降，设定损失函数为多分类交叉熵函数，设定衡量指标为准确率，多次迭代直到模型收敛。

5.一种网络攻击识别方法，基于权利要求1～4中任一所述的用于网络攻击类别识别的LSTM循环神经网络模型，其特征在于，包括：对网络请求数据进行预处理，得到预设长度的数字序列型数据，使用LSTM循环神经网络模型对该数字序列型数据的标签类别的概率进行预测，得到每种标签类别的类别概率，将类别概率中概率值最大的维度对应的标签类别作为该网络请求数据的标签类别。

6.一种网络攻击识别系统，基于权利要求5所述的网络攻击识别方法，其特征在于，包括：数据输入单元、数据转化单元、LSTM模型单元和决策单元，所述数据输入单元将接受到的网络请求数据发送至数据转化单元，所述数据转化单元将网络请求数据进行预处理转化后，得到预设长度的数字序列型数据后，将该数字序列型数据发送至LSTM模型单元，所述LSTM模型单元对该数字序列型数据的标签类别的概率进行识别，输出每种标签类别的类别概率至决策单元，所述决策单元判断该数据为攻击类别的概率是否大于或等于预设的概率阈值，如果是，则进行拦截，否则，则不拦截。