[发明专利]一种入侵检测方法

权利要求书

1.一种入侵检测方法，其特征在于，包括：

对从防护系统中获取的第一待检测数据集进行字符级预处理，得到训练输入数据；

将所述训练输入数据输入至基于时间卷积神经网络的待训练检测模型，计算损失函数，训练时间卷积神经网络，得到检测模型；

使用检测模型进行入侵检测，获取一段时间内的误判数据，使用所述误判数据更新所述检测模型。

2.如权利要求1所述的方法，其特征在于，所述对从防护系统中获取的第一待检测数据集进行字符级预处理，得到训练输入数据，包括：

统计所述第一待检测数据集中的各第一待检测数据的数据信息，生成字符表；

根据字符表，将所述数据信息中的字符和数值数据统一转换为独热编码数据格式的向量矩阵，得到所述训练输入数据。

3.如权利要求1所述的方法，其特征在于，所述检测模型基于时间卷积神经网络，包括：扩张因果卷积的网络结构、Dropout、残差链接和批标准化，全连接层使用顶层节点的部分连接方式。

4.如权利要求1所述的方法，其特征在于，所述计算损失函数，训练时间卷积神经网络，包括：

使用交叉熵作为损失函数，计算损失；

根据得到的损失，使用Adam优化算法对待训练检测模型进行优化训练。

5.如权利要求1所述的方法，其特征在于，所述使用检测模型进行入侵检测，包括：

对防护系统中的第二待检测数据进行预处理后输入至检测模型进行入侵行为检测，获得检测结果；

若检测为异常行为，则启动响应策略。

6.如权利要求1所述的方法，其特征在于，所述误判数据包括检测模型的误报和漏报对应的第二待检测数据。

7.如权利要求1所述的方法，其特征在于，所述使用误判数据更新所述检测模型，包括：

将所述误判数据加入所述第一待检测数据集，得到更新数据集；

对更新数据集中的数据进行预处理后，输入至检测模型，对所述检测模型进行训练和更新。

8.如权利要求1所述的方法，其特征在于，所述第一待检测数据集包括：网络流量和主机日志中的数据。

9.如权利要求8所述的方法，其特征在于，所述数据包括：模式信息和固定的协议格式或调用序列。