[发明专利]一种基于对抗模型的网络入侵检测方法及装置

权利要求书

1.一种基于对抗模型的网络入侵检测方法，其特征在于：包括以下步骤：

S1、通过大量的数据收集，获取大量的个人上网行为数据，给它们做好标签，分类存放；

S2、数据集的划分真实数据和生成数据两个部分，并对生成的最后模型进行论证比较分析；

S3、对于其中的数据进行清洗和整理，寻找时间序列的关系；

S4、通过生成网络G和判别网络D不断博弈，进而使生成网络G学习到数据的分布，基于检测生成，训练完成后，生成网络G从一段随机行为中生成逼真的网络行为；

S5、将学习的数据，放入模型中，进行训练，调整模型的参数，将两类分类开来，同时，将数据输入模型G中，学习他的模式，不断地对抗训练；

S6、获得一个初步的模型，对于每一个IP地址下的电脑，设立完善的模型，保存并记录，当下次同一个IP地址出现行为时，进行分析学习，检验他的行为是否符合规程。

2.根据权利要求1所述的一种基于对抗模型的网络入侵检测方法，其特征在于：在S1中的数据收集收集每个人在不同时段，浏览的网页类型，文件类型，收发文件的数量，浏览的文件密级，拥有的个人权限等级，与外部交流的对方的IP地址。

3.根据权利要求1所述的一种基于对抗模型的网络入侵检测方法，其特征在于：在S2中，针对GAN生成对抗神经网络的训练部分选取已经分类好的个人数据，包括日志信息，网络数据，用户行为状态。

4.根据权利要求3所述的一种基于对抗模型的网络入侵检测方法，其特征在于：网络数据中出现的所有异常状态的变化数据都可能是入侵者留下的信息。

5.根据权利要求1所述的一种基于对抗模型的网络入侵检测方法，其特征在于：在S3中，对于确实数据应用平均的方法给与数据，对于其中的奇异数据删去不作处理，防止出现过拟合现象，对于其中的字符类数据应用数值化的方法来处理，将他们构建数据表。

6.根据权利要求1所述的一种基于对抗模型的网络入侵检测方法，其特征在于：在S4中，生成网络G为生成式的网络，它接收一个随机的噪声z(随机数)，通过这个噪声生成网络动作行为；判别网络D是一个判别网络，判别一个行为是不是“入侵行为”，它的输入参数是x，x代表一个网络行为，输出D(x)代表x为入侵行为的概率。

7.一种基于对抗模型的网络入侵检测装置，其特征在于：包括针对于个人上网行为数据的收集模块、针对于收集数据进行分类的分类模块、对其中的数据进行清洗和整理的处理模块和训练网络。