[发明专利]一种基于CNN-LSTM融合的僵尸网络检测方法

权利要求书

1.一种基于CNN-LSTM融合的僵尸网络检测方法，其特征在于，包括以下步骤：

步骤1，获取网络数据集，得到用于训练僵尸网络流量数据；

步骤2，对网络数据集进行预处理操作，使其保留原本语义的同时符合神经网络的输入，得到训练数据集；

预处理操作包括对网络数据集中输入到卷积神经网络模型CNN中的网络数据预处理和对网络数据集中输入到长短时记忆网络模型LSTM的网络数据预处理；

对网络数据集中输入到卷积神经网络模型CNN中的网络数据预处理如下：对网络数据集中网络流量数据按照1024字节进行统一长度进行处理，即长度超过1024字节的流量进行截取，长度小于1024字节的流量在其末尾进行补0操作，补齐1024字节长度；

对网络数据集中输入到长短时记忆网络模型LSTM的网络数据预处理如下：将网络数据集中网络流量数据的字节组成数据包，数据包又组成网络流，对每条网络流截取前8个数据包，每个数据包取100个字节，若长度不够，则在末尾补0x00；

步骤3，构建检测模型，检测模型包括卷积神经网络模型CNN、长短时记忆网络模型LSTM、特征融合模块、全连接层，卷积神经网络模型CNN用于空间特征提取，长短时记忆网络模型LSTM用于时序特征提取，将提取得到的空间特征和时序特征在特征融合模块中进行特征融合，得到融合特征，融合特征经过全连接层输出检测结果；

卷积神经网络模型CNN包括依次连接的卷积层一C1、池化层一S1、卷积层二C2、池化层二S2、卷积层三C3、池化层三S3、全连接层一D1、全连接层二D2，所述卷积层一C1由两个3x3卷积层串联，通道数为16，输出为32x32x16；卷积层二C2由两个3x3卷积层串联，通道数为32，输出为16x16x32；卷积层三C3由两个3x3卷积层串联，通道数为64，输出为8x8x64；全连接层一D1由1024个神经元构成，输出为1024维向量；全连接层二D2由128个神经元构成，输出为128维向量的空间特征；

长短时记忆网络模型LSTM包括依次连接的LSTM层一L1、第一全连接层FC1、LSTM层二L2、第二全连接层FC2，LSTM层一L1由100个单元构成，输出为100个256维向量，第一全连接层FC1由256个神经元组成，输出为256维向量，LSTM层二L2由8个单元构成，输出为8个128维向量，第二全连接层FC2由128个神经元组成，输出为128维向量的时序特征；

所述特征融合模块将128维向量的空间特征和128维向量的时序特征进行并联融合，组成256维向量融合特征；

全连接层根据256维向量融合特征输出10维向量的检测结果；

步骤4，利用训练数据集，对检测模型进行训练，一轮网络的训练由一次前向传导过程和一次反向传播过程组成；首先是经过整个检测模型逐层传递学习的特征值，然后给出检测模型的预测；再通过交叉熵损失函数计算出预测值与真实值之间的损失值，这是一轮前向传导；反向传播过程将根据损失值，对整个检测模型中的参数进行优化更新；最终得到训练好的检测模型，然后利用训练优化完成后的检测模型进行僵尸网络检测。

2.根据权利要求1所述基于CNN-LSTM融合的僵尸网络检测方法，其特征在于：步骤1中采用的网络数据集包括正常网络流量和僵尸网络流量，正常网络流量为使用wireshark抓包工具进行日常流量的采集，僵尸网络流量则从公开数据集中选取。

3.根据权利要求2所述基于CNN-LSTM融合的僵尸网络检测方法，其特征在于：步骤3中采用GELU()激活函数激活。

4.根据权利要求3所述基于CNN-LSTM融合的僵尸网络检测方法，其特征在于：步骤4中使用softmax()作为分类函数。

5.根据权利要求4所述基于CNN-LSTM融合的僵尸网络检测方法，其特征在于：步骤4中采用Adam优化器优化。