[发明专利]网络入侵检测方法及其模型的训练方法、装置和服务器

说明书

本发明提供了一种网络入侵检测方法及其模型的训练方法、装置和服务器，该包括获取待检测的网络流量数据；通过预先训练完成的入侵数据检测模型，提取网络流量数据的特征数据，并基于特征数据确定网络流量数据是否是入侵数据；其中，入侵数据检测模型通过双向长短时记忆神经网络训练得到；入侵数据检测模型还用于为提取出的特征数据设置预设的权重值，该检测模型加入了注意力机制，既可以融合所有特征，又可以将关键特征赋予更高的权重，进而增强模型提取入侵数据序列信息的能力，提高了入侵检测的准确率。

技术领域

本发明涉及网络入侵检测技术领域，尤其是涉及一种网络入侵检测方法及其模型的训练方法、装置和服务器。

背景技术

目前机器学习模型已经应用于入侵检测，支持向量机，神经网络，随机森林，决策树和关联规则等算法，都使得入侵检测能力有了一定的提升。但在实际环境中，通常由于入侵数据的复杂性，其数据特征空间具有高维和非线性特征，因此传统的机器学习模型会受到时间和空间复杂度的约束，极其容易出现维度爆炸问题。

目前已有人将深度信念网络作为生成模型应用于入侵检测中的数据降维，使用支持向量机对降维之后的数据进行分类，结果显示，当采用支持向量机进行分类时，相比于其他方法，采用深度信念网络进行降维的检测准确率最高。然而，这种方法关注的是深度学习特征的简约能力，其主要采用深度学习的方法进行预训练，并通过传统的监督模型进行分类，因而入侵检测的准确率较低。

发明内容

有鉴于此，本发明的目的在于提供一种网络入侵检测方法及其模型的训练方法、装置和服务器，以解决现有的入侵检测模型中由于入侵数据特征对模型分类的贡献不相等，以及入侵序列的未来信息对注意力机制赋予当前特征的权重值的影响，而间接影响到了分类性能的技术问题。

第一方面，本发明实施例提供了一种网络入侵检测方法，其中，该方法包括：获取待检测的网络流量数据；通过预先训练完成的入侵数据检测模型，提取网络流量数据的特征数据，并基于特征数据确定网络流量数据是否是入侵数据；

其中，入侵数据检测模型通过双向长短时记忆神经网络训练得到；入侵数据检测模型还用于为提取出的特征数据设置预设的权重值。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，网络流量数据包括网络连接和系统审计数据。

结合第一方面，本发明实施例提供了第一方面的第二种可能的实施方式，其中，基于特征数据确定网络流量数据是否是入侵数据的步骤之后，方法还包括：

如果网络流量数据是入侵数据，生成报警信息，将报警信息发送至用户。

第二方面，本发明实施例提供了一种网络入侵数据检测模型的训练方法，其中，该方法包括：基于预设的训练集合确定当前训练样本；将当前训练样本进行数据预处理，得到当前训练样本的训练集合；将训练集合输入至预设的双向长短时记忆神经网络，输出入侵分类预测的输出值；根据输出值和预设的损失函数，计算输出值的损失值；根据输出值和损失值更新双向长短时记忆神经网络模型中的参数；继续执行基于预设的训练集合确定当前训练样本的步骤，直至损失值收敛，得到网络入侵检测模型。

结合第二方面，本发明实施例提供了第二方面的第一种可能的实施方式，其中，当前训练样本包括网络连接和系统审计数据的样本数据；

将当前训练样本进行数据预处理，得到当前训练样本的训练集合的步骤，包括：将当前训练样本输入至预设的特征提取单元，输出预设维度的特征数据；对每个维度的特征数据进行数字化处理，将处理后的特征数据进行归一化处理；对归一化处理后的特征数据设置入侵类型标签；将设置有入侵类型标签的特征数据转换为预设格式；从格式转换后的特征数据中选取预设比例的特征数据，形成训练集合。