[发明专利]基于双重注意力机制的网络安全态势感知方法

说明书

本发明公开了一种基于双重注意力机制的网络安全态势感知方法。该方法利用入侵活动是一个时间序列事件，采用RNN或RNN的变体来堆叠模型；利用特征分离技术预处理样本数据，减少了模型训练的时间和成本；根据全局注意力机制技术，设计有限注意力模块，将有限注意力和全局注意力形成双重注意力机制来做态势预测，提高了预测准确度。

技术领域

本发明涉及一种网络安全态势感知方法，尤其涉及一种基于双重注意力机制的网络安全态势感知方法，属于网络安全技术领域。

背景技术

随着Internet技术越来越普及，面临的安全问题也日渐显露。面对当前严重的网络安全威胁，传统的入侵检测等技术虽然从一定程度上提高了网络的安全性，但是技术不全面，对网络的整体评估是不足够的。当前，很多研究者使用深度学习相关的算法研究网络安全态势感知，特别是针对数据具有时间序列关系的特点，例如使用循环神经网络(Recurrent Neural Network,RNN)以及它的变体长短期记忆网络(Long Short-TermMemory Network，LSTM)和门控循环单元网络(Gated Recurrent Unit，GRU)来做网络安全态势预测。但是，单独使用RNN以及它的变体网络，预测准确度不够高。因此，提高网络安全态势预测的准确度成了急需解决的问题。

发明内容

本发明要解决的技术问题是提供一种基于双重注意力机制的网络安全态势感知方法。

为解决上述技术问题，本发明采用的技术方案是：一种基于双重注意力机制的网络安全态势感知方法，包括如下步骤：

步骤1：搭建网络安全态势感知模型：所述网络安全态势感知模型包括数据预处理模块、神经网络、切片操作层、注意力层1、注意力层2、预测模块和启动层；所述神经网络为以RNN、LSTM或GRU为基本单元m级以上按时间展开的堆叠模型，m≥1；所述注意力层1和注意力层2的结构相同，包括注意力分布形成层、注意力汇聚层和输出层，输出层的输入端分别连接注意力汇聚层和启动层的输出端；所述启动层的输入端分别连接启动控制特征future输入端和第m级堆叠模型输出层的控制端，其输出端分别向所述注意力层1和注意力层2输出第一隐藏特征h₁和第二隐藏特征h₂；所述注意力层1的注意力分布形成层的输入端分别与所述神经网络各级堆叠模型的输出端、启动层的相应输出端连接；所述注意力层1的注意力汇聚层的输入端分别与所述神经网络各级堆叠模型的输出端、注意力层1的注意力分布形成层的输出端连接；所述切片操作层的输入端分别连接第m级堆叠模型各隐含层的控制端，其输出端的数目k小于输入端的数目，其输入端的数目与所述神经网络的隐藏层层数相同；所述切片操作层通过切片操作得到k个特征向量

其中，为模型第j层输出的隐藏层特征；

所述注意力层2的注意力分布形成层的输入端分别与切片操作层的各输出端、启动层的相应输出端连接；所述注意力层2的注意力汇聚层的输入端分别与所述切片操作层的各输出端、注意力层2的注意力分布形成层的输出端连接；预测模块包括融合特征信息层和全连接层；融合特征信息层的输入端分别连接注意力层1和注意力层2的输出端，全连接层的输出端输出态势预测结果；

步骤2：网络安全态势感知模型训练：将训练集中与各入侵活动对应的时间序列样本及网络安全态势输入网络安全态势感知模型，训练模型参数；

步骤3：预测网络安全态势感知：将预测集中入侵活动对应的时间序列样本输入所述步骤1训练完成的网络安全态势感知模型，预测网络安全态势。

进一步，所述基于双重注意力机制的网络安全态势感知方法还包括特征分离步骤，样本数据输入所述网络安全态势感知模型之前进行特征分离预处理，包括以下步骤：

步骤A：特征分类：将第i个样本x_i里面的特征分为数值型特征、非数值型特征；