[发明专利]一种基于元学习的小样本场景下网络入侵检测方法

说明书

本发明公开了一种基于元学习的小样本场景下网络入侵检测方法。该检测方法包括：数据包捕获，从目标网络上抓取各种类型的流量信息；构建数据集，从采集的原始流量信息中构建出用于元学习的2个数据集；特征提取，从数据集里选择2个相同结构的数据流，通过对数据流进行特征提取得到2组特征；比较，对2组特征进行比对，输出差异值；分类，每一个测试集里的样本会和支持集里的样本一一对比，根据与不同类型样本的平均差异值来确定样本的预测标签；输出，如果得到的预测标签是恶意流量，说明检测到了网络入侵，输出入侵报警信息。通过本发明可以在仅获取少量恶意样本的情况下实现对这类恶意样本的检测，即实现小样本场景下的网络入侵检测。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种基于元学习的小样本场景下网络入侵检测方法。

背景技术

网络入侵检测系统的作用是鉴别网络流量，主要将网络流量分为正常流量和带有入侵攻击的流量。为了应对瞬息万变的网络空间环境，目前网络入侵检测系统需要使用以机器学习为代表的智能化算法来实现流量的鉴别。在传统的机器学习中，机器专注于一个特定的任务T。在网络入侵检测领域，一个基本的任务是用分类器判断网络流量样本的属性，即我们有K个关于该任务的样本和标签其中我们的目的是构建一个分类器模型f，其输入是某一样本x_i，输出是该样本对应标签y_i的估计值。在一般的监督学习场景下，样本数量K较大，并划分为两个部分：训练集和测试集使用传统机器学习技术的网络入侵检测系统已经取得了较好的成果，对于样本数较大的恶意样本的检测效果较好。但是当新型恶意样本在网络空间中刚出现时，由于可以截获的样本数量较小，此时基于传统机器学习技术的网络入侵检测系统检测效果较差。

发明内容

本发明的目的在于针对目前没有成熟的小样本场景下的网络入侵检测方法这一现状，提出一种基于元学习的小样本场景下网络入侵检测方法。

当样本数量K较小时，网络入侵检测问题是一种小样本学习问题，此时传统的机器学习方法会遭遇过拟合，因此检测效果不好。而元学习方法可以在样本数较小时避免过拟合的问题，实现小样本场景的网络入侵检测方法。通过元学习方法，机器不再专注于一个特定的任务，而是构建元任务模型F，通过对任务集中的任务进行学习，进而获得完成新任务T_N的能力。以学习N个任务的元学习方法为例，任务N中的分类类别和前N-1个任务中分类类别不同。即元学习通过“学会学习”的方式实现了迁移学习。