[发明专利]一种基于交互行为分析的网络渗透识别方法

说明书

本发明公开了一种基于交互行为分析的网络渗透识别方法，所述方法通过Sebek客户端采集蜜罐机的交互行为数据作为分析对象，对采集的数据进行特征提取和清洗、特征分类、特征编码形成一个特征序列；根据交互行为特征序列具有不定长和时序性的特点，采用LSTM模型作为攻击识别分类器，分别分析激活函数、损失函数和梯度下降算法并选取合适的作为本模型使用，然后通过多次超参数调参优化训练模型。本发明针对捕获行为数据特征的时序性进行建模，筛选特征减少特征维数并通过特征编码，提高模型的训练速度和精度。本发明通过反复参数调优训练，模型对渗透攻击识别的准确率和误报率明显优于其他模型。

技术领域

本发明涉及一种网络渗透识别方法，具体涉及一种基于交互行为分析的网络渗透识别方法。

背景技术

网络渗透攻击是一种系统渐进型的综合攻击方式，其攻击目标是明确的，攻击目的往往不那么单一，危害性也非常严重。攻击者实施攻击的步骤是非常系统的，假设其获取了目标网络中网站服务器的权限，则不会仅满足于控制此台服务器，而是会利用此台服务器，继续入侵目标网络，获取整个网络中所有主机的权限。为了实现渗透攻击，攻击者采用的攻击方式不会仅此于一种简单的Web脚本漏洞攻击。攻击者会综合运用远程溢出、木马攻击、密码破解、嗅探、ARP欺骗等多种攻击方式。攻击者对远程服务器发起攻击时，一般通过SSH协议登录远程主机，然后通过命令对主机进行控制。为了观察入侵者，采用Sebek工具收集攻击行为。以往通过攻击行为对攻击类型进行识别，或者通过行为判别是不是攻击行为。

关于攻击识别的论文较多，但只要是以下几种：第一是基于统计分析，这种方法能对数据统计中呈现出比较明显变化的异常具有很高的检测率，但通常需要一个确定的阈值，当行为模式变化时，阈值不能自适应调整；第二是基于数据挖掘，这种方法特别适用于海量的行为分析，挖掘出行为的联系，但挖掘算法对行为数据比较敏感；第三是基于机器学习，这种方法不需要领域专家的先验知识，但复杂度高，需要较长的训练时间。

发明内容

鉴于现有攻击识别方法存在的上述问题，本发明提供了一种具有更高准确率的基于交互行为分析的网络渗透识别方法。

本发明的目的是通过以下技术方案实现的：

一种基于交互行为分析的网络渗透识别方法，包括如下步骤：

步骤一、数据预处理

(1)利用Sebek技术对攻击行为进行捕获；

(2)提取和清洗数据，去掉无效和奇异的数据，利用最大信息系数法获取特征关联度并对特征进行筛选；

(3)将特征进行分类，使用独热编码方式将离散特征数值化，变成攻击识别模型能够接受的特征序列；

步骤二、构建渗透攻击识别模型

(1)选取长短时记忆循环神经网络对交互行为进行建模；

(2)设置模型的隐藏层的激活函数为ReLU，输出层采用Softmax实现模型多分类输出；

(3)采用交叉熵作为损失函数来描述模型实际输出与预期输出的差距；

(4)使用基于时间反向传播算法BPTT对模型进行训练；

步骤三、渗透攻击识别

将步骤一处理后的特征序列输入步骤二训练好的模型中，根据输出确定是哪种类型的渗透攻击。

相比于现有技术，本发明具有如下优点：

1、本发明针对捕获行为数据特征的时序性进行建模，筛选特征减少特征维数并通过特征编码，提高模型的训练速度和精度。

2、本发明通过反复参数调优训练，模型对渗透攻击识别的准确率和误报率明显优于其他模型。

附图说明