[发明专利]一种基于胶囊神经网络的恶意URL检测与分类方法

权利要求书

1.一种基于胶囊神经网络的恶意URL检测与分类方法，其特征在于，包括以下步骤：

S1、输入数据集，数据集中包括多种不同类型的恶意URL及其类别标签，对数据集中重复或格式紊乱的数据进行处理，将所述数据集划分为训练集和测试集；

S2、获取数据集中URL字符串的单词级嵌入表示和字符级嵌入表示，并利用高速网络整合不同嵌入粒度的信息，获得过滤后的URL字符串嵌入表示；

S3、利用卷积神经网络提取所述过滤后的URL字符串嵌入表示中不同范围内的局部语义和结构特征；

S4、利用胶囊神经网络处理所述局部语义和结构特征，丰富URL特征表示，聚合低级特征，最终通过分类胶囊层输出分类标签。

2.根据权利要求1所述的一种基于胶囊神经网络的恶意URL检测与分类方法，其特征在于，步骤S1包括以下子步骤：

S101、将不同类型的恶意URL及其类别标签混合构成具有多种不同类型恶意URL的数据集；

S102、针对数据集中格式紊乱的URL数据，将URL转化为UTF-8格式；去除重复的和无效的URL数据；

S103、按照特定比例划分训练集和测试集。

3.根据权利要求1所述的一种基于胶囊神经网络的恶意URL检测与分类方法，其特征在于，步骤S2包括以下子步骤：

S201、获取所有出现在训练集中的、由特殊字符分隔的不同的单词，用所有不同的单词、PAD标记和UNK标记构成单词词典，生成单词级嵌入矩阵；

其中，对于长度小于规定最大长度的URL序列，用PAD标记进行填充；用UNK标记代替出现次数仅为一次的单词；同时，用UNK标记表示在测试集中出现但训练集中没有出现过的单词；

S202、利用所述单词级嵌入矩阵，获得URL字符串中每个单词的嵌入向量，将URL字符串中所有单词的嵌入向量拼接构成整个URL字符串的单词级嵌入表示；

S203、使用l个大小写字母、m个数字、n个特殊字符、PAD标记和UNK标记构成字符词典，生成字符级嵌入矩阵；

S204、利用所述字符级嵌入矩阵，获得URL字符串中每个字符的嵌入向量，将URL字符串中所有字符的嵌入向量拼接构成整个URL字符串的字符级嵌入表示；

S205、将所述单词级嵌入表示和字符级嵌入表示拼接，得到拼接后的嵌入表示；通过高速网络对拼接后的嵌入表示进行自适应过滤，获得整合单词级和字符级信息的URL字符串嵌入表示，记为过滤后的URL字符串嵌入表示。

4.根据权利要求3所述的一种基于胶囊神经网络的恶意URL检测与分类方法，其特征在于，所述高速网络的计算公式为：

z_wc＝H(x_wc，W_H)·T(x_wc，W_T)+x_wc·C(x_wc，W_C)

其中，H(·)为传统神经网络的非线性变换，T(·)为变换门，C(·)为携带门，W_H，W_T，W_C均为权重矩阵，x_wc为拼接后的嵌入表示，z_wc为过滤后的URL字符串嵌入表示。

5.根据权利要求1所述的一种基于胶囊神经网络的恶意URL检测与分类方法，其特征在于，步骤S3包括以下子步骤：

S301、将所述过滤后的URL字符串嵌入表示输入到并行卷积模块中，以捕捉URL字符串中不同范围内字符或单词的局部语义和结构特征，获取不同范围内的差异性信息；所述并行卷积模块包括4种不同尺寸的卷积核；

S302、将所述并行卷积模块提取的不同范围内的局部语义和结构特征进行拼接，并通过两个串联卷积层降低特征维度和参数数量，生成URL的低级特征表示，记为标量特征。