CN109951468A - 一种基于f值优化的网络攻击检测方法与*** - Google Patents

Abstract

本申请公开了一种基于F值优化的网络攻击检测方法与***，其中，该方法包括：步骤1，根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，网络数据包括已标记网络数据和未标记网络数据；步骤2，根据网络数据，构建网络数据对应的超图；步骤3，根据代价值矩阵和超图，计算网络数据对应的预测类标；步骤4，根据预测类标，检测网络数据中的未标记网络数据。通过本申请中的技术方案，提高了对不平衡数据的检测率，利用F值评价指标对错分代价值进行优化，提高了网络异常数据检测的准确性和可靠性。

Description

一种基于F值优化的网络攻击检测方法与***

技术领域

本申请涉及网络异常检测的技术领域，具体而言，涉及一种基于F值优化的网络攻击检测方法以及一种基于F值优化的网络攻击检测***。

背景技术

随着网络技术的快速发展，网络攻击事件也频频发生，面对日益增加的数据流量，如何高效准确的检测出其中包含的异常流量变得越发重要，由于网络中的流量遵循的协议类型众多，并且其中包含大量的不同类型的数据并且数据之间存在着严重不平衡的问题，如何平衡检测率以及针对不平衡数据的准确率，提高***对于不同网络异常数据的检测率，高效、准确的检测异常数据信息显得十分重要。目前针对异常检测的方法主要致力于提高检测的准确性，而不在于降低检测的综合代价。

而现有技术中，网络流量异常检测面临的主要挑战为：

1)数据流量中不同类型数据存在严重不平衡问题，难以同时提高所有类型数据检测率；

2)难以构建流量之间的高阶数据关联，挖掘数据之间的复杂关联。

发明内容

本申请的目的在于：利用针对不平衡数据有较好检测性能的F值衡量指标来代替准确率对错分代价值进行优化，并利用其来最大化地提高对于不平衡数据的检测率，提高网络异常数据检测的准确性和可靠性。

本申请第一方面的技术方案是：提供了一种基于F值优化的网络攻击检测方法，该方法包括：步骤1，根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，网络数据包括已标记网络数据和未标记网络数据，错分代价值的计算公式为：

式中，F_β为二分类的F值计算公式，mcF_β为多分类的F值计算公式，r为分布参数，β为调节参数；

步骤2，根据网络数据，构建网络数据对应的超图；步骤3，根据代价值矩阵和超图，计算网络数据对应的预测类标；步骤4，根据预测类标，检测网络数据中的未标记网络数据。

上述任一项技术方案中，进一步地，分布参数r为[0.2,0.4,0.6,0.8]中按顺序依次选取的一个均匀分布参数，调节参数β的取值为1。

上述任一项技术方案中，进一步地，该步骤3中，具体包括：步骤31，根据超图，进行拉普拉斯正则化变换，生成类型矩阵；步骤32，根据类型矩阵和代价值矩阵，构建代价敏感超图学习模型；步骤33，根据代价敏感超图学习模型，计算预测类标F。

上述任一项技术方案中，进一步地，该步骤4中，具体包括：步骤41，根据网络数据中已标记网络数据，检测预测类标，生成检测得分；步骤42，选取检测得分最高的预测类标，记作异常数据检测模型；步骤43，根据异常数据检测模型，检测网络数据中的未标记网络数据。

本申请第二方面的技术方案是：提供了一种基于F值优化的网络攻击检测***，该***包括：生成单元，构建单元，计算单元以及检测单元；生成单元用于根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，网络数据包括已标记网络数据和未标记网络数据，错分代价值的计算公式为：

式中，F_β为二分类的F值计算公式，mcF_β为多分类的F值计算公式，r为分布参数，β为调节参数；

构建单元用于根据网络数据，构建网络数据对应的超图；计算单元用于根据代价值矩阵和超图，计算网络数据对应的预测类标；检测单元用于根据预测类标，检测网络数据中的未标记网络数据。

上述任一项技术方案中，进一步地，分布参数r为[0.2,0.4,0.6,0.8]中按顺序依次选取的一个均匀分布参数，调节参数β的取值为1。

上述任一项技术方案中，进一步地，计算单元中，具体包括：生成模块，构建模块以及计算模块；生成模块用于根据超图，进行拉普拉斯正则化变换，生成类型矩阵；构建模块用于根据类型矩阵和代价值矩阵，构建代价敏感超图学习模型；计算模块用于根据代价敏感超图学习模型，计算预测类标F。

上述任一项技术方案中，进一步地，检测单元中，具体包括：评分模块，标记模块以及检测模块；评分模块用于根据网络数据中已标记网络数据，检测预测类标，生成检测得分；标记模块用于选取检测得分最高的预测类标，记作异常数据检测模型；检测模块用于根据异常数据检测模型，检测网络数据中的未标记网络数据。

本申请的有益效果是：通过利用F值模型，计算接收到的网络数据的错分代价值，利用F值评价指标对错分代价值进行优化，避免了不同类型网络数据检测率不平衡的问题，优化了对不平衡数据的检测率。再通过构建接收到的网络数据的超图，优化了网络数据之间的关联性，提高了网络数据的预测类标的准确性，进而根据预测类标，对网络数据进行检测，提高了网络异常数据检测的准确性和可靠性。

附图说明

本申请的上述和/或附加方面的优点在结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1是根据本申请的一个实施例的基于F值优化的网络攻击检测方法的示意流程图；

图2是根据本申请的一个实施例的基于F值优化的网络攻击检测***的示意框图。

具体实施方式

为了能够更清楚地理解本申请的上述目的、特征和优点，下面结合附图和具体实施方式对本申请进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互结合。

在下面的描述中，阐述了很多具体细节以便于充分理解本申请，但是，本申请还可以采用其他不同于在此描述的其他方式来实施，因此，本申请的保护范围并不受下面公开的具体实施例的限制。

实施例一：

如图1所示，本实施提供了一种基于F值优化的网络攻击检测方法，包括：

步骤1，根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，所述网络数据包括已标记网络数据和未标记网络数据，所述错分代价值的计算公式为：

二分类，

多分类，

式中，F_β为二分类的代价值计算公式，mcF_β为多分类的代价值计算公式，β为调节参数，r为[0.2,0.4,0.6,0.8]中按顺序依次选取的一个分布参数。

对于二分类型网络数据而言，当接收到的网络数据属于第一分类(class1)时，对应的错分代价值的计算公式为：

当接收到的网络数据属于第二分类(class2)时，对应的错分代价值的计算公式为：

对于多分类型网络数据而言，根据接收到的网络数据所属的类型，在计算公式进行选择，此处不再赘述。

优选地，分布参数r为[0.2,0.4,0.6,0.8]中按顺序依次选取的一个均匀分布参数，调节参数β的取值为1。

具体地，在网络数据检测过程中，对于任一个网络数据，其所属类别可以为二分类，也可以为多分类，相应的，F值计算模型包括二分类的F值计算公式和多分类的F值计算公式。

设定对于k类别(k分类)的网络数据的边际概率为P_k，错分为k类别的概率为FP_k(h)，错分为其他类别的概率为FN_k(h)，因此，其对应的错分配置e(h)可以表示为：

e(h)＝(FN₁(h),FP₁(h),…,FN_k(h),FP_k(h),…,FN_L(h),FP_L(h))，

即错分配置e(h)的第e_2k-1位标记为FN_k(h)，第e_2k位标记为FP_k(h)，式中，h为分类器。

当网络数据为二分类数据时，对应的F值计算公式为：

当网络数据为多分类数据时，对应的F值计算公式为：

根据网络数据所属分类数据类型的不同，二分类或者多分类，选用对应的计算公式，能够求出该网络数据对应的F值和错分代价值。设定F值的取值范围为[0,1]，根据F值的取值范围，定义一系列均匀分布的分布参数r_i，如[0.2,0.4,0.6,0.8]。针对每一个分布参数r_i，可以利用上述错分代价值的计算公式计算出对应的错分代价值，生成代价值矩阵γ∈R^n*n，代价值矩阵γ为对角矩阵，n为网络数据的总数。

对于属于二分类的网络数据，根据分布参数r_i，生成的代价值矩阵γ为：

对于属于多分类的网络数据，根据分布参数r_i，生成的代价值矩阵γ为：

步骤2，根据所述网络数据，构建所述网络数据对应的超图；

具体地，利用星型拓展方法构建超图，超图结构可以描述为G＝(V；E；W)，其中，将接收到的网络数据作为超图的点V，各网络数据对应的连接关系为超边E，每条超边的权重值为权重W，采用H矩阵描述超图的连接关系，H矩阵的计算公式为：

式中，v_central为超图的中心点，为超图中点之间距离的平均值，

d(v_i,v_central)为超边e_p上点v_i与中心点v_central之间的距离，a为调节参数，在本实施例中，调节参数a＝0.05。

步骤3，根据所述代价值矩阵和所述超图，计算所述网络数据对应的预测类标；

该步骤3中，具体包括：

步骤31，根据所述超图，进行拉普拉斯正则化变换，生成类型矩阵F(v_i,m)；

具体地，将超图进行拉普拉斯正则化变换，对应的计算公式为：

δ(e)＝∑_v∈Vh(v,e)，

d(v)＝∑_e∈Ew(e)h(v,e)，

式中，W(e)为超边e的权重，F(v_i,m)为节点v_i的类型矩阵，表明节点v_i所代表的网络数据是否属于第m个类别，F(v_i,m)为1则代表节点v_i属于第m个类别，为0则代表节点v_i不属于第m个类别，δ(e)为超边e的度，所有超边e的度构成对角矩阵D_e，d(v)为节点v的度，所有节点v的度构成对焦矩阵D_v，可以设定：

因此，拉普拉斯正则化变换对应的计算公式可以记作：

Ω＝F(v_i,m)^TΔF(v_i,m)。

步骤32，根据所述类型矩阵和所述代价值矩阵，构建代价敏感超图学习模型；

步骤33，根据所述代价敏感超图学习模型，计算所述预测类标F。

具体地，通过拉普拉斯正则化可以求出超图对应的类型矩阵F(v_i,m)，根据类型矩阵F(v_i,m)和代价值矩阵γ，构建代价敏感超图学习模型，对应的计算公式为：

式中，Y为网络数据中已标记网络数据的已知标签值矩阵，与类型矩阵F相同，两者的维数均为n*m，n为网络数据的总数，m为所有类别的个数，对于已知标签值矩阵Y，其相应类别下标识为1，其他m-1个位置标识为0，对于未标记网络数据，其所有位标识为0，为优化超图结构的正则化表达式，γ、μ、λ为调节参数，N_e为数据量。

代价敏感超图学习模型的计算公式优化的过程中，由于公式的优化是凸的，所以可以利用交替优化策略进行优化。

首先，固定W优化w，公式可以写为：

对w求偏导可得：

其次，固定w，对W进行优化，公式可以写为：

对W求偏导可以得到：

式中，是单位矩阵。

通过多次的迭代，减少目标函数值，进行优化，即可对应的预测类标F：

F＝Xw。

步骤4，根据所述预测类标，检测所述网络数据中的所述未标记网络数据。

该步骤4中，具体包括：

步骤41，根据所述网络数据中所述已标记网络数据，检测所述预测类标，生成检测得分；

步骤42，选取所述检测得分最高的所述预测类标，记作异常数据检测模型；

步骤43，根据所述异常数据检测模型，检测所述网络数据中的所述未标记网络数据。

具体地，利用得到的多个代价值矩阵γ，可以得到多个预测类标F，利用接收到的网络数据中的已标记网络数据，检测得到的多个预测类标F，根据预测类标F对已标记网络数据的检测，与已知标签值矩阵Y进行比较，生成对应的检测得分，再按照检测得分的高低顺序对预测类标F进行排序，选取得分最高的预测类标，记作异常数据检测模型，利用选取出的异常数据检测模型，对接收到的网络数据中的未标记网络数据进行检测，判断未标记网络数据是否为网络攻击数据。

优选地，步骤4中，具体包括：

步骤401，根据所述网络数据中所述已标记网络数据，检测所述预测类标，生成检测得分；

步骤402，按照所述检测得分由大到小的顺序，选取与预设数量相等的所述预测类标，采用融合算法，融合选取的多个所述预测类标，将融合结果记作异常数据检测模型；

步骤403，根据所述异常数据检测模型，检测所述网络数据中的所述未标记网络数据。

实施例二：

如图2所示，本实施例提供了一种基于F值优化的网络攻击检测***100，包括：生成单元101，构建单元102，计算单元103以及检测单元104；生成单元101用于根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，网络数据包括已标记网络数据和未标记网络数据，错分代价值的计算公式为：

式中，F_β为二分类的F值计算公式，mcF_β为多分类的F值计算公式，r为分布参数，β为调节参数；

对于二分类型网络数据而言，当接收到的网络数据属于第一分类(class1)时，对应的错分代价值的计算公式为：

当接收到的网络数据属于第二分类(class2)时，对应的错分代价值的计算公式为：

对于多分类型网络数据而言，根据接收到的网络数据所属的类型，在计算公式进行选择，此处不再赘述。

优选地，分布参数r为[0.2,0.4,0.6,0.8]中按顺序依次选取的一个均匀分布参数，调节参数β的取值为1。

具体地，在网络数据检测过程中，对于任一个网络数据，其所属类别可以为二分类，也可以为多分类，相应的，F值计算模型包括二分类的F值计算公式和多分类的F值计算公式。

设定对于k类别(k分类)的网络数据的边际概率为P_k，错分为k类别的概率为FP_k(h)，错分为其他类别的概率为FN_k(h)，因此，其对应的错分配置e(h)可以表示为：

e(h)＝(FN₁(h),FP₁(h),…,FN_k(h),FP_k(h),…,FN_L(h),FP_L(h))，

即错分配置e(h)的第e_2k-1位标记为FN_k(h)，第e_2k位标记为FP_k(h)，式中，h为分类器。

当网络数据为二分类数据时，对应的F值计算公式为：

当网络数据为多分类数据时，对应的F值计算公式为：

根据网络数据所属分类数据类型的不同，二分类或者多分类，选用对应的计算公式，能够求出该网络数据对应的F值和错分代价值。设定F值的取值范围为[0,1]，根据F值的取值范围，定义一系列均匀分布的分布参数r_i，如[0.2,0.4,0.6,0.8]。针对每一个分布参数r_i，可以利用上述错分代价值的计算公式计算出对应的错分代价值，生成代价值矩阵γ∈R^n*n，代价值矩阵γ为对角矩阵，n为网络数据的总数。

对于属于二分类的网络数据，根据分布参数r_i，生成的代价值矩阵γ为：

对于属于多分类的网络数据，根据分布参数r_i，生成的代价值矩阵γ为：

构建单元102用于根据网络数据，构建网络数据对应的超图；

具体地，利用星型拓展方法构建超图，超图结构可以描述为G＝(V；E；W)，其中，将接收到的网络数据作为超图的点V，各网络数据对应的连接关系为超边E，每条超边的权重值为权重W，采用H矩阵描述超图的连接关系，H矩阵的计算公式为：

式中，v_central为超图的中心点，为超图中点之间距离的平均值，

d(v_i,v_central)为超边e_p上点v_i与中心点v_central之间的距离，a为调节参数，在本实施例中，调节参数a＝0.05。

计算单元103用于根据代价值矩阵和超图，计算网络数据对应的预测类标；

进一步地，计算单元103中，具体包括：生成模块，构建模块以及计算模块；生成模块用于根据超图，进行拉普拉斯正则化变换，生成类型矩阵；

具体地，将超图进行拉普拉斯正则化变换，对应的计算公式为：

δ(e)＝∑_v∈Vh(v,e)，

d(v)＝∑_e∈Ew(e)h(v,e)，

式中，W(e)为超边e的权重，F(v_i,m)为节点v_i的类型矩阵，表明节点v_i所代表的网络数据是否属于第m个类别，F(v_i,m)为1则代表节点v_i属于第m个类别，为0则代表节点v_i不属于第m个类别，δ(e)为超边e的度，所有超边e的度构成对角矩阵D_e，d(v)为节点v的度，所有节点v的度构成对焦矩阵D_v，可以设定：

因此，拉普拉斯正则化变换对应的计算公式可以记作：

Ω＝F(v_i,m)^TΔF(v_i,m)。

构建模块用于根据类型矩阵和代价值矩阵，构建代价敏感超图学习模型；计算模块用于根据代价敏感超图学习模型，计算预测类标F。

具体地，通过拉普拉斯正则化可以求出超图对应的类型矩阵F(v_i,m)，根据类型矩阵F(v_i,m)和代价值矩阵γ，构建代价敏感超图学习模型，对应的计算公式为：

式中，Y为网络数据中已标记网络数据的已知标签值矩阵，与类型矩阵F相同，两者的维数均为n*m，n为网络数据的总数，m为所有类别的个数，对于已知标签值矩阵Y，其相应类别下标识为1，其他m-1个位置标识为0，对于未标记网络数据，其所有位标识为0，为优化超图结构的正则化表达式，γ、μ、λ为调节参数，N_e为数据量。

代价敏感超图学习模型的计算公式优化的过程中，由于公式的优化是凸的，所以可以利用交替优化策略进行优化。

首先，固定W优化w，公式可以写为：

对w求偏导可得：

其次，固定w，对W进行优化，公式可以写为：

对W求偏导可以得到：

式中，是单位矩阵。

通过多次的迭代，减少目标函数值，进行优化，即可对应的预测类标F：

F＝Xw。

检测单元104用于根据预测类标，检测网络数据中的未标记网络数据。

进一步地，检测单元104中，具体包括：评分模块，标记模块以及检测模块；评分模块用于根据网络数据中已标记网络数据，检测预测类标，生成检测得分；标记模块用于选取检测得分最高的预测类标，记作异常数据检测模型；检测模块用于根据异常数据检测模型，检测网络数据中的未标记网络数据。

具体地，利用得到的多个代价值矩阵γ，可以得到多个预测类标F，利用接收到的网络数据中的已标记网络数据，检测得到的多个预测类标F，根据预测类标F对已标记网络数据的检测，与已知标签值矩阵Y进行比较，生成对应的检测得分，再按照检测得分的高低顺序对预测类标F进行排序，选取得分最高的预测类标，记作异常数据检测模型，利用选取出的异常数据检测模型，对接收到的网络数据中的未标记网络数据进行检测，判断未标记网络数据是否为网络攻击数据。

优选地，检测单元104中，具体包括：得分生成模块，融合模块以及异常检测模块；得分生成模块用于根据网络数据中已标记网络数据，检测预测类标，生成检测得分；融合模块用于按照检测得分由大到小的顺序，选取与预设数量相等的预测类标，采用融合算法，融合选取的多个预测类标，将融合结果记作异常数据检测模型；异常检测模块用于根据异常数据检测模型，检测网络数据中的未标记网络数据。

以上结合附图详细说明了本申请的技术方案，本申请提出了一种基于F值优化的网络攻击检测方法与***，其中，该方法包括：步骤1，根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，网络数据包括已标记网络数据和未标记网络数据；步骤2，根据网络数据，构建网络数据对应的超图；步骤3，根据代价值矩阵和超图，计算网络数据对应的预测类标；步骤4，根据预测类标，检测网络数据中的未标记网络数据。通过本申请中的技术方案，提高了对不平衡数据的检测率，利用F值评价指标对错分代价值进行优化，提高了网络异常数据检测的准确性和可靠性。

本申请中的步骤可根据实际需求进行顺序调整、合并和删减。

本申请装置中的单元可根据实际需求进行合并、划分和删减。

尽管参考附图详地公开了本申请，但应理解的是，这些描述仅仅是示例性的，并非用来限制本申请的应用。本申请的保护范围由附加权利要求限定，并可包括在不脱离本申请保护范围和精神的情况下针对发明所作的各种变型、改型及等效方案。

Claims (8)

1.一种基于F值优化的网络攻击检测方法，其特征在于，该方法包括：

步骤1，根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，所述网络数据包括已标记网络数据和未标记网络数据，所述错分代价值的计算公式为：

式中，F_β为二分类的F值计算公式，mcF_β为多分类的F值计算公式，r为分布参数，β为调节参数；

步骤2，根据所述网络数据，构建所述网络数据对应的超图；

步骤3，根据所述代价值矩阵和所述超图，计算所述网络数据对应的预测类标；

步骤4，根据所述预测类标，检测所述网络数据中的所述未标记网络数据。

2.如权利要求1所述的基于F值优化的网络攻击检测方法，其特征在于，所述分布参数r为[0.2，0.4，0.6，0.8]中按顺序依次选取的一个均匀分布参数，调节参数β的取值为1。

3.如权利要求1所述的基于F值优化的网络攻击检测方法，其特征在于，该步骤3中，具体包括：

步骤31，根据所述超图，进行拉普拉斯正则化变换，生成类型矩阵；

步骤32，根据所述类型矩阵和所述代价值矩阵，构建代价敏感超图学习模型；

步骤33，根据所述代价敏感超图学习模型，计算所述预测类标F。

4.如权利要求1所述的基于F值优化的网络攻击检测方法，其特征在于，该步骤4中，具体包括：

步骤41，根据所述网络数据中所述已标记网络数据，检测所述预测类标，生成检测得分；

步骤42，选取所述检测得分最高的所述预测类标，记作异常数据检测模型；

步骤43，根据所述异常数据检测模型，检测所述网络数据中的所述未标记网络数据。

5.一种基于F值优化的网络攻击检测***，其特征在于，该***包括：生成单元，构建单元，计算单元以及检测单元；

所述生成单元用于根据F值计算模型，计算接收到的网络数据对应的错分代价值，并生成代价值矩阵，其中，所述网络数据包括已标记网络数据和未标记网络数据，所述错分代价值的计算公式为：

式中，F_β为二分类的F值计算公式，mcF_β为多分类的F值计算公式，r为分布参数，β为调节参数；

所述构建单元用于根据所述网络数据，构建所述网络数据对应的超图；

所述计算单元用于根据所述代价值矩阵和所述超图，计算所述网络数据对应的预测类标；

所述检测单元用于根据所述预测类标，检测所述网络数据中的所述未标记网络数据。

6.如权利要求5所述的基于F值优化的网络攻击检测***，其特征在于，所述分布参数r为[0.2，0.4，0.6，0.8]中按顺序依次选取的一个均匀分布参数，调节参数β的取值为1。

7.如权利要求5所述的基于F值优化的网络攻击检测***，其特征在于，所述计算单元中，具体包括：生成模块，构建模块以及计算模块；

所述生成模块用于根据所述超图，进行拉普拉斯正则化变换，生成类型矩阵；

所述构建模块用于根据所述类型矩阵和所述代价值矩阵，构建代价敏感超图学习模型；

所述计算模块用于根据所述代价敏感超图学习模型，计算所述预测类标F。

8.如权利要求5所述的基于F值优化的网络攻击检测***，其特征在于，所述检测单元中，具体包括：评分模块，标记模块以及检测模块；

所述评分模块用于根据所述网络数据中所述已标记网络数据，检测所述预测类标，生成检测得分；

所述标记模块用于选取所述检测得分最高的所述预测类标，记作异常数据检测模型；

所述检测模块用于根据所述异常数据检测模型，检测所述网络数据中的所述未标记网络数据。