CN102469103B - 基于bp神经网络的木马事件预测方法 - Google Patents

Abstract

本发明提供一种木马预测方法，通过以一定时间段网络流量数据中对木马事件发生的数量的统计数据为训练样本对BP神经网络进行训练，利用训练好的BP神经网络来预测网络中将来的某类该类木马事件的发生数量。可以在不需要知道大规模网络中木马事件发生数量预测函数的情况下，很好的去逼近这个预测函数，从而得到良好的预测结果。另外还可以直接利用新到的流量数据做出准确的预测，而不需要随着输入数据的变化重新调整网络。

Description

基于BP神经网络的木马事件预测方法

技术领域

本发明属于网络安全，尤其涉及木马事件预测方法。

背景技术

当前，随着信息技术的高速发展，互联网的网络规模，网络信息量以及网络应用等都在不断增长。互联网在涉及到人们生活的各方面领域，如政治，商业，金融，文教，通信等，发挥着越来越重要的作用。但是互联网在带给人们极大便利的同时，也面临着越来越多的网络安全事件。由于互联网的开放互联性，网络协议自身的缺陷，操作***的漏洞以及应用程序漏洞等多方面原因，导致了各种网络安全事件的发生。如常见的网络攻击手段有：木马攻击，蠕虫病毒攻击，缓冲区溢出攻击，拒绝服务攻击，分布式拒绝服务攻击等。

网络安全事件预测技术是在充分收集当前流量数据状况、获取网络历史安全事件发生情况的基础之上进行预测的一门技术。由于木马攻击在大规模网络下的安全事件中占很大比例，通过对未来时刻网络中木马事件发生数量进行预测，一方面可以方便网络管理人员对整个网络的大体情况有一个初步的判断，并根据判断的情况制定与之相符的网络安全策略，如访问控制策略，信息加密策略，另一方面可以提前预判将要发生的网络灾害或者攻击，并且在灾害和攻击发生之前及时采取应对措施，把问题消灭在萌芽状态。

现有的木马事件预测方法有如下几种：

线性回归方法：以经典的自回归滑动平均模型模型为代表，其特点是模型简单，容易实现，但对带有噪声的数据预测效果不明显。并且对于复杂非线性问题的解决效果不好。

基于规则发现的方法：如时序规则发现，频繁情节挖掘等，这类方法的特点是能够提供预测数据的可信度等信息，但规则转化过程中易损失数据信息。

基于傅里叶变换或者小波变换的方法：这类方法由于分解平稳化方法不稳定，因此受具体数据集影响较大，泛化性能较差。

发明内容

因此，本发明的目的在于克服上述现有技术的缺陷，提供一种基于BP神经网络的预测方法来满足网络安全对木马事件发生数量的预测准确度，时间复杂性等方面的要求。

本发明的目的是通过以下技术方案实现的：

一方面，本发明提供了一种用于木马事件预测的BP神经网络训练方法，包括：

步骤1)以一定时间段网络流量数据中对木马事件发生的数量的统计数据为训练样本；

步骤2)以之前k-1次对某类木马事件发生的数量的统计数据为输入，以第k次对该类木马事件发生数量的统计数据为输出，训练所述BP神经网络，其中k为大于1的自然数。

根据本发明实施例的BP神经网络训练方法，其中，步骤2)包括以下步骤：

步骤a)设置一个滑动窗口，其大小为m，所述滑动窗口覆盖所述时间段内的某类木马事件发生的数量的n个统计数据中的m个数据；

步骤b)取滑动窗口内的数据作为输入，滑动窗口之后紧邻的数据作为期望输出；

步骤c)BP神经网络的输入层节点数为m，输出层节点数定为1；

步骤d)设置误差精度，神经元权值随机取0到1之间的任何数；

步骤e)计算输出结果；

步骤f)如果输出结果与期望输出之间的误差大于所述误差精度，则进行反向传播，调整神经元权值，直到输出结果与期望输出之间的误差小于所述误差精度为止；

步骤g)滑动窗口向后滑动一个数据值，重复执行步骤b)至步骤g)直到处理完所有n个统计数据为止。

根据本发明实施例的BP神经网络训练方法，其中，所述时间段为1小时。

根据本发明实施例的BP神经网络训练方法，其中，所述误差精度为0.05，所述BP神经网络的层数为三层，所述BP神经网络隐含层节点数是采用试凑法来确定的。

根据本发明实施例的BP神经网络训练方法，其中，在步骤1)之前还包括以下步骤：

根据包含木马事件的流量数据训练分类BP神经网络；

利用训练好的分类BP神经网络对所述时间段网络流量数据中的各个木马事件进行分类统计，得到该时间段内流量数据中各类木马事件的数量。

根据本发明实施例的BP神经网络训练方法，其中，在训练分类BP神经网络的步骤之前还包括以下步骤：

去掉离群点，所述离群点是指在一个流量序列中，远离序列一般水平的极端大值和极端小值，所述流量序列指木马事件发生数量序列；

补足缺损值，所述缺损值是指流量信息的丢失。

根据本发明实施例的BP神经网络训练方法，其中，训练分类BP网络包括以下步骤：

以已知的各类木马事件对一组API的调用为输入；

为每种木马设定一个判定边界；

每个输入节点标识对一种API的调用，输出层设置一个节点；

设置误差精度，神经元权值随机取0到1之间的任何数；

如果木马事件调用了该API，则该节点输入为1，如果没有调用该API，则输入为0；

计算输出结果；

如果输出结果与该类木马事件对应的判定边界之间的误差大于所述误差精度，则进行反向传播，调整神经元权值，直到输出结果与该类木马事件对应的判定边界之间的误差不超过误差精度为止。

根据本发明实施例的BP神经网络训练方法，其中，所述判定边界设置为0～1之间的数字，所述误差精度为0.05，所述BP神经网络的层数为三层，所述BP神经网络隐含层节点数是采用试凑法来确定的。

又一个方面，本发明提供了一种木马事件的预测方法，包括：

利用根据上述实施例的训练方法训练好的神经网络，以网络中的历史流量数据中某类木马发生数量的统计数据为所述神经网络的输入，所述神经网络的输出为网络将要发生的该类木马事件的数量。

现有的预测方法都需要建立预测模型，但是又难以求出预测函数的具体表达式，而本发明采用BP神经网络对木马事件进行分类和预测，在分类过程中通过对木马调用API的序列分析来判断木马的种类，在预测过程中通过利用流量数据对网络中木马事件发生数量进行预测，通过较精确的函数逼近达到令人满意的预测效果。

附图说明

以下参照附图对本发明实施例作进一步说明，其中：

图1为根据本发明一个实施例的基于BP神经网络的木马事件预测方法的流程图。

具体实施方式

为了使本发明的目的，技术方案及优点更加清楚明白，以下结合附图通过具体实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

为了更好地理解本发明，先对BP神经网络的基本原理进行简单的介绍。BP神经网络包含了一层输入层，一层输出层以及至少一层隐含层。它的基本原理是通过计算输出层与期望输出之间的误差，然后从输出层开始反向调整各神经元的权值和偏置值，最终使得网络的输出与期望输出之间的误差满足预先设定的要求。具体来说，BP神经网络的训练分为如下两个阶段：前向传播阶段：输入向量由输入层引入，以前馈方式经由隐含层传导至输出层，并计算出网络输出值，此时，网络的权值都是固定的。反向传播阶段：网络的权值则根据误差修正法则来进行修正，以使网络的输出值趋向于期望输出值，具体即是以期望输出值减去网络输出值得到误差信号，然后将此误差信号反向传播回网络中。

图1为基于BP神经网络的木马事件预测方法的一个实施例的流程图。如图1所示，基于BP神经网络的木马事件预测方法主要由数据预处理，木马事件分类和木马事件预测组成。为了使木马事件预测方法满足使用者的需求，首先进行数据预处理，对数据中的离群点，缺损值和噪声进行处理，使余下的数据能够达到在本发明的实施例中做实验的要求。然后采用BP神经网络先对网络中的木马进行分类，最后再根据分类结果，利用BP神经网络对网络中木马事件发生数量进行预测。

(1)数据的预处理

对于采集到的流量数据，由于采集设备的不精确，网络传输不可靠，或者是采集过程中出现的一些人为的失误，会导致数据出现离群点，缺损值等数据，因此要对数据进行预处理。下面提到的流量序列如无特别说明，均指木马事件发生数量序列。

离群点是指在一个流量序列中，远离序列一般水平的极端大值和极端小值。对于离群点，用

表示序列的平均值，具体表达式为

N表示序列中数据的个数，X_i表示序列中的第i个数据。S²表示序列的样本方差，其具体表达式为

若有

成立，则认为X_t是一个离群点，其中下标t表示序列中的第t个数据。其中k是一个常数，在现有技术中，取3～9的整数，这里k取6。如果X_t是一个离群点，则用

来代替。

缺损值是指流量信息的丢失，这是由于网络的不稳定性而导致的。如果流量序列中出现了缺损值，则要依据其运动轨迹或变化趋势，运用一定的方法对缺损值进行估计推测和补足。关于缺损值的补足现有技术有很多方法，这里可以采用平滑法，即利用之前流量数据的均值对其进行平滑。设第d天t时刻的流量数据x_d，t丢失，则补足值由前三天同一时刻的流量数据的均值确定：

使用此方法能够较好的补足缺损数据，并且最大可能的保证流量数据的趋势和周期特性，使之后的预测能在原始数据不完整的情况下有较高的精度。

通过对采集来的数据做预处理来筛除离群点，补足缺损值，接着就应对各种木马事件进行分类。

(2)BP神经网络分类

首先训练一个具有良好分类性能的BP神经网络。该分类BP神经网络的基本思想是通过静态分析程序的可执行文件，获取程序运行时可能调用的API集合。这里分析可执行文件是为了通过木马对API的调用序列判断该木马的类别。这里的可执行文件是指被某种木马病毒所感染的文件。木马攻击本质上即是通过对***API的调用完成对***的感染和自身的传播。获取程序运行时调用的API集合之后，要对这个集合进行分类，观察其属于哪一种木马攻击。对于不同种类的木马，如反弹技术木马，动态嵌入式木马，windows缓冲区溢出植入型木马等，其对API的调用序列都不尽相同。因此可以利用这些已知的木马病毒对API的调用训练一个BP神经网络。通过利用0～1之间的数字对每种木马人为设定一个判定边界，则可以根据这个判定边界确定木马是哪种类型的木马。这里的判定边界是人为设定的。只要输出结果与人为设定的判定边界误差不超过0.05即可。

由于数学上已经证明三层的BP神经网络可以处理任意的非线性问题，在本发明的实施例中把BP神经网络的层数定为三层。现在常用的BP神经网络隐含层节点数的确定方法是试凑法，所谓试凑法，即是***开发人员根据神经网络处理的数据量，大致估计需要多少个隐含层节点，然后在这个区间内依次取值并计算结果，最后取误差最小的节点数作为最终网络的隐含层节点数。对于BP神经网络的输入节点数，考虑木马对API的调用相对应，如果有很多API，则考虑该木马病毒调用的一些典型的，具有代表性的API。对于该BP神经网络，每个输入节点标识对一种API的调用。如果程序中调用了该API，则该节点输入为1，如果没有调用该API，则输入为0。输出层仅设置一个节点，利用该节点的输出与之前确定的判定边界进行比较，即可得到该木马的类型。

例如：给出API，NtOpenMutant，NtOpenProcess，NtOpenSection，RtlCustomCPToUnicodeN，RtlCreateUserStack，RtlDefaultNpAcl，依次对其从1到6编号，反弹技术木马调用编号为1和2的API，动态嵌入式木马调用编号为3和4的API，windows缓冲区溢出植入型木马调用编号为5和6的API。则BP神经网络的6个输入层节点依次对应这6个不同的API。依次对这6个节点赋予不同的权值，从0.1到0.6。这里对节点权值的赋予是按照节点的重要程度逐渐增加。权重会在后面的训练过程中逐渐自动调整，这后面的调整方式则是按照BP神经网络的常规方法来进行调整。隐含层节点数根据试凑法确定，这里定为3个，隐含层的节点权重随机取0到1之间的任何值。如果某个木马调用了该节点对应的API，则该节点的输入为1，否则输入为0。假设现在要判断的是反弹技术木马，则由于其调用的是编号为1和2的API，则节点1和2的输入为1。输入乘以节点权重，再传递到隐含层，经过隐含层和输出层的传输函数的计算。这里的传输函数即是sigmoid函数，其表达式为

整个计算过程即是按照BP神经网络的常规方法来进行，这里不再进行阐述。该神经网络最后得到一个输出结果，在本例中，最后计算结果为0.28。对于反弹技术木马，这里设定判定边界为0.3。按照BP网络的常规设置，误差精度要求在0.05范围之内。计算输出结果和期望输出之间的误差，在本例中，输出结果即是0.28，期望输出即是0.3，它们之间的误差小于0.05，则可以认为此时该木马是反弹技术木马，否则，进行反向调整，调整权值，最后重新计算输出结果，完成对木马事件的分类。同理，对动态嵌入式木马和windows缓冲区溢出植入型木马的判断也这样进行。

先根据已经有的流量数据对分类BP网络进行训练，直至其可以正确判断之后，对分好类的木马事件数量进行统计，计算出当前网络流中每种木马的数量。最后利用下面预测的BP神经网络对将要发生的木马事件进行预测。

(3)BP神经网络预测

随着流量数据的不断变化，网络中的木马事件肯定也会随之变化。由于网络中的流量数据都具有自相似性，即某一时刻之后的数据流量会与该时刻之前的数据流量存在某种相似性，，因此在本发明的实施例中，把这种相似性用函数表达式来表达，即是在某一时刻网络中的某种木马事件的数量与之前的流量数据满足这样一个函数关系式：y＝f(x₁，x₂，L L，x_n)，其中y为木马事件数量，x为之前n次统计的流量数据。对于这样一个复杂的非线性函数，由于无法获得其具体的表达式，只能用非参数估计的方法来进行逼近。

这里设置一个滑动窗口模型，窗口大小为n。某一时刻在窗口中的流量数据有n个，表示在当前时刻之前的n次统计的流量数据。随着时间的增加，滑动窗口也不断向前推进。每推进一次，抛弃第一个流量数据x₁，所有剩下的流量数据下标前移一位，最后加入最近的流量数据，标号为x_n。于是可以通过对之前的流量数据以及木马事件的分类情况作出统计，可以计算出每一种木马事件的数量。

然后以之前n次统计的流量数据为预测BP神经网络的输入，以某种木马事件的数量作为预测BP神经网络的期望输出，训练该神经网络。在训练过程中考虑到了越往前的流量数据对当前木马事件的影响越小，越靠近当前时间节点的流量数据对当前木马事件的影响越大，因此通过对神经元设定不同的偏置值来表征这种不同的影响，对于影响越小的流量数据节点，设置较大的偏置值，这个偏置值是随机设置的。这种方法是BP神经网络的常用方法。在节点得到计算结果之后，再利用该结果减去偏置值，这样可以更多的衰减其影响，对于影响较大的流量数据节点，则设置较小的偏置值以保留其大部分的影响。训练完成之后得到的神经网络可以用作预测函数的逼近，该预测函数即是当前时刻网络中木马发生事件数量和之前的木马发生事件数量之间的一个非线性表达式。在预测中，把当前流量数据作为输入数据x_n，采用之前n-1次采集的流量数据分别作为输入数据x₁，x₂……，x_n-1，利用之前完成训练的神经网络计算得出输出数据，这即是下一时刻该种木马事件发生的数量。

例如，对于反弹技术木马，在网络中历史时间段里发生数量分别为101，102，103，104，91，92，93，94，100，110，这里设置一个滑动窗口，每次取5个数据来进行预测。BP神经网络的输入层节点数为5，隐含层节点数采取试凑法定为3，输出层节点数定为1。误差精度设置为0.05，神经元权值随机取0到1之间的任何数。对于数据101，102，103，104，91，期望输出为92，如果输出结果与92之间的误差大于0.05，则进行反向传播，调整神经元权值，直到输出结果满足要求为止。训练完成一次之后，滑动窗口向后滑动一个数值，利用序列102，103，104，91，92来训练，使最后的结果与93之间的误差满足要求的精度。依次这样训练，最后可以利用数据92，93，94，100，110来进行预测，这样神经网络就可以较精确的逼近预测函数。

综上所述，本发明主要解决对网络中木马事件发生数量预测问题。由于BP神经网络可以实现任何复杂非线性映射功能，而一般的预测方法都需要建立预测模型，但是又难以求出具体表达式的预测函数，BP神经网络正好可以用来处理这类问题，通过较精确的函数逼近达到令人满意的预测效果。

相较于其他的木马事件预测方法，采用BP神经网络的木马预测方法具有如下几种优点：

非线性映射能力：能学习和存贮大量输入-输出模式映射关系，而无需事先了解描述这种映射关系的数学方程。只要能提供足够多的样本模式对网络进行学习训练，它便能完成由n维输入空间到m维输出空间的非线性映射。利用这点特性，BP神经网络可以在不需要知道大规模网络中木马事件发生数量预测函数的情况下，很好的去逼近这个预测函数，从而得到良好的预测结果。

泛化能力：当向网络输入训练时未曾见过的非样本数据时，网络也能完成由输入空间向输出空间的正确映射。随着时间的推移，网络中的流量数据也是在不断变化的。利用这点特性，BP神经网络可以直接利用新到的流量数据做出准确的预测，而不需要随着输入数据的变化重新调整网络。

容错能力：输入样本中带有较大的误差甚至个别错误对网络的输入输出规律影响很小。由于这点特性，提高了BP神经网络对错误数据的容忍能力，降低了预测的误差。

虽然本发明已经通过优选实施例进行了描述，然而本发明并非局限于这里所描述的实施例，在不脱离本发明范围的情况下还包括所作出的各种改变以及变化。

Claims (8)

1.一种用于木马事件预测的BP神经网络训练方法，包括：

步骤1）以一定时间段网络流量数据中对各类木马事件发生的数量的统计数据为训练样本；

步骤2）以之前k-1次对某类木马事件发生的数量的统计数据为输入，以第k次对该类木马事件发生数量的统计数据为输出，训练所述BP神经网络，其中k为大于1的自然数，步骤2）包括以下步骤：

步骤a）设置一个滑动窗口，其大小为m，所述滑动窗口覆盖所述时间段内的某类木马事件发生的数量的n个统计数据中的m个数据；

步骤b）取滑动窗口内的数据作为输入，滑动窗口之后紧邻的数据作为期望输出；

步骤c）BP神经网络的输入层节点数为m，输出层节点数定为1；

步骤d）设置第一误差精度，神经元权值随机取0到1之间的任何数；

步骤e）计算输出结果；

步骤f）如果输出结果与期望输出之间的误差大于所述误差精度，则进行反向传播，调整神经元权值，直到输出结果与期望输出之间的误差小于所述误差精度为止；

步骤g）滑动窗口向后滑动一个数据值，重复执行步骤b）至步骤g）直到处理完所有n个统计数据为止。

2.根据权利要求1所述的BP神经网络训练方法，其中，所述时间段为1小时。

3.根据权利要求1所述的BP神经网络训练方法，其中，所述第一误差精度为0.05，所述BP神经网络的层数为三层，所述BP神经网络隐含层节点数是采用试凑法来确定的。

4.根据权利要求1所述的BP神经网络训练方法，其中，在步骤1）之前还包括以下步骤：

根据包含木马事件的流量数据训练分类BP神经网络；

利用训练好的分类BP神经网络对所述时间段网络流量数据中的各个木马事件进行分类统计，得到该时间段内流量数据中各类木马事件的数量。

5.根据权利要求4所述的BP神经网络训练方法，其中，在训练分类BP神经网络的步骤之前还包括以下步骤：

去掉离群点，所述离群点是指在一个流量序列中，远离序列一般水平的极端大值和极端小值，所述流量序列指木马事件发生数量序列；

补足缺损值，所述缺损值是指流量信息的丢失。

6.根据权利要求4或5所述的BP神经网络训练方法，其中，训练分类BP神经网络包括以下步骤：

以已知的各类木马事件对一组API的调用为输入；

为每种木马设定一个判定边界；

每个输入节点标识对一种API的调用，输出层设置一个节点；

设置第二误差精度，神经元权值随机取0到1之间的任何数；

如果木马事件调用了该API，则该节点输入为1，如果没有调用该API，则输入为0；

计算输出结果；

如果输出结果与该类木马事件对应的判定边界之间的误差大于所述误差精度，则进行反向传播，调整神经元权值，直到输出结果与该类木马事件对应的判定边界之间的误差不超过误差精度为止。

7.根据权利要求6所述的BP神经网络训练方法，其中，所述判定边界设置为0～1之间的数字，所述第二误差精度为0.05，所述BP神经网络的层数为三层，所述BP神经网络隐含层节点数是采用试凑法来确定的。

8.一种木马事件的预测方法，包括：

利用根据上述权利要求1至7之一所述的训练方法训练好的BP神经网络，以网络中的历史流量数据中某类木马发生数量的统计数据为所述BP神经网络的输入，所述BP神经网络的输出为网络将要发生的该类木马事件的数量。

Images