CN109951476A - 基于时序的攻击预测方法、装置及存储介质 - Google Patents

Abstract

本发明实施例公开了一种基于时序的攻击预测方法、装置及存储介质，涉及网络安全领域。本发明的方法包括：对样本数据按照时间顺序进行分包处理，并提取包数据的特征；将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值；对所述包数据的特征进行时序分析，得到所述包数据的周期性特征；对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值；基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。本发明能够提高攻击检测的效率。

Description

基于时序的攻击预测方法、装置及存储介质

技术领域

本发明涉及网络安全领域，尤其涉及一种基于时序的攻击预测方法、装置及存储介质。

背景技术

随着计算机网络技术的迅速发展，网络技术在各个领域都得到了广泛的应用。计算机网络在给人们提供便利、带来效益的同时，网络攻击也对信息安全提出了很大的挑战。

为了防护网络攻击，可以在网络数据接入处增加入侵检测***，目前的入侵检测***主要是通过对网络流量特征建模，利用分类算法判断是否产生攻击及攻击类别，这种策略可以检测独立的安全事件，但实际情况中，攻击行为往往具有时序关联，尤其是短时间内爆发的大规模网络攻击，这种情况下通过独立进行攻击检测的方式，会导致攻击检测的效率较低。

发明内容

本发明的实施例提供一种基于时序的攻击预测方法、装置及存储介质，能够提高攻击检测的效率。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，本发明的实施例提供一种基于时序的攻击预测方法，包括：

对样本数据按照时间顺序进行分包处理，并提取包数据的特征；

将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值；

对所述包数据的特征进行时序分析，得到所述包数据的周期性特征；

对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值；

基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。

结合第一方面，在第一方面的第一种可能的实现方式中，所述方法还包括：

将待检测数据输入所述攻击预测模型，得到所述待检测数据的标签预测值，所述待检测数据的标签预测值用于表征所述待检测数据中的正样本与负样本之间比值的预测值。

结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述方法还包括：

基于所述待检测数据的标签预测值，对数据过滤规则进行调整；

响应于满足调整后的数据过滤规则，确定所述待检测数据为攻击数据，并丢弃所述攻击数据。

结合第一方面，在第一方面的第三种可能的实现方式中，所述基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练，包括：

将所述包数据的样本标签值及所述周期预测值之间的差值，作为所述攻击预测模型的训练数据，对所述攻击预测模型进行迭代训练；其中，所述攻击预测模型包括梯度提升决策树GBDT回归模型。

结合第一方面，在第一方面的第四种可能的实现方式中，所述对样本数据按照时间顺序进行分包处理，并提取包数据的特征，包括：

将所述样本数据的特征通过原型聚类方式，转换为所述包数据的特征；其中，所述原型聚类方式包括高斯混合模型。

第二方面，本发明的实施例提供一种基于时序的攻击预测装置，包括：

提取模块，用于对样本数据按照时间顺序进行分包处理，并提取包数据的特征；

标签模块，用于将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值；

分析模块，用于对所述包数据的特征进行时序分析，得到所述包数据的周期性特征；

处理模块，用于对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值；

训练模块，用于基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。

结合第二方面，在第二方面的第一种可能的实现方式中，所述装置还包括：

预测模块，用于将待检测数据输入所述攻击预测模型，得到所述待检测数据的标签预测值，所述待检测数据的标签预测值用于表征所述待检测数据中的正样本与负样本之间比值的预测值。

结合第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述装置还包括：

调整模块，用于基于所述待检测数据的标签预测值，对数据过滤规则进行调整；

丢弃模块，用于响应于满足调整后的数据过滤规则，确定所述待检测数据为攻击数据，并丢弃所述攻击数据。

结合第二方面，在第二方面的第三种可能的实现方式中，

所述训练模块，还用于将所述包数据的样本标签值及所述周期预测值之间的差值，作为所述攻击预测模型的训练数据，对所述攻击预测模型进行迭代训练；其中，所述攻击预测模型包括梯度提升决策树GBDT回归模型。

结合第二方面，在第二方面的第四种可能的实现方式中，

所述提取模块，还用于将所述样本数据的特征通过原型聚类方式，转换为所述包数据的特征；其中，所述原型聚类方式包括高斯混合模型。

第三方面，本发明的实施例提供一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现第一方面提供的方法的步骤。

本发明实施例提供的基于时序的攻击预测方法、装置及存储介质，通过对样本数据按照时间顺序进行分包处理，并提取包数据的特征；将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值；对所述包数据的特征进行时序分析，得到所述包数据的周期性特征；对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值；基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。能够根据当前流量的变化趋势，预测网络中后续可能出现的入侵攻击事件或安全事件，并基于预测结果自动修改防御规则，能够更好的实现网络态势的感知，降低误报率预计人工干预成本，提高攻击检测的效率。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1是本发明实施例的基于时序的攻击预测方法的流程示意图；

图2是本发明实施例的基于时序的攻击预测方法的另一流程示意图；

图3是本发明实施例的基于时序的攻击预测装置结构示意图；

图4是本发明实施例的基于时序的攻击预测装置的另一结构示意图；

图5是本发明实施例的基于时序的攻击预测装置500的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

本发明一实施例提供一种基于时序的攻击预测方法，如图1所示，所述方法包括：

101、对样本数据按照时间顺序进行分包处理，并提取包数据的特征。

对于本发明实施例，步骤101具体可以为：将所述样本数据的特征通过原型聚类方式，转换为所述包数据的特征。其中，所述原型聚类方式包括高斯混合模型。

102、将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值。

其中，包数据内的正样本数量及负样本数量为准确值，即正负样本数量比例为准确值，将该值作为样本标签来训练攻击预测模型，能够提升该模型的预测准确率。

103、对所述包数据的特征进行时序分析，得到所述包数据的周期性特征。

对于本发明实施例，通过对包数据的特征进行时序分析，能够利用大量攻击数据包之间的时序关联性，来实现依据当前流量的态势变化预测后续的网络攻击事件和/或安全事件，进一步可以实现在后续网络攻击到来前，提前调整防御策略。

104、对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值。

105、基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。

对于本发明实施例，可以根据包数据的样本标签值(即样本本身的准确值)及周期预测值(即通过攻击预测模型预测得到的指)之间的差异性对攻击预测模型进行迭代训练，直至满足预设条件，则将该攻击预测模型作为最终的预测模型。在本发明实施例中，该预设条件可以为各个包数据的样本标签值和标签预测值之间的差值的平均值小于第一预设阈值；和/或，包数据的样本标签值和标签预测值之间的差值大于第二预设阈值的包数据数量小于第三预设阈值。

对于本发明实施例，能够对相邻的多条流量进行聚合处理并作趋势分析，对整个网络安全态势有宏观的预测，从而可以在面对连续的网络攻击时处于主动地位，能够针对网络攻击进行有效的防御；并且，相比于短时的大规模攻击爆发后，现有技术需要人为的依照专家经验对IDS进行相应的规则调整相比，本发明实施例能够智能的基于网络态势变化对规则进行调整，从而可以降低误报率，避免人工成本的浪费；同时，包内数据估计模型能够准确刻画一段时间内的数据分布并且实时对网络态势进行预测，降低网络态势分析的复杂度。

与现有技术相比，本发明实施例能够根据当前流量的变化趋势，预测网络中后续可能出现的入侵攻击事件或安全事件，并基于预测结果自动修改防御规则，能够更好的实现网络态势的感知，降低误报率预计人工干预成本，提高攻击检测的效率。

本发明又一实施例提供一种基于时序的攻击预测方法，如图2所示，所述方法包括：

201、将所述样本数据的特征通过原型聚类方式，转换为所述包数据的特征。

其中，所述原型聚类方式包括高斯混合模型。

202、将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值。

203、对所述包数据的特征进行时序分析，得到所述包数据的周期性特征。

对于本发明实施例，通过对包数据的特征进行时序分析，能够利用大量攻击数据包之间的时序关联性，来实现依据当前流量的态势变化预测后续的网络攻击事件和/或安全事件，进一步可以实现在后续网络攻击到来前，提前调整防御策略。

204、对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值。

205、将所述包数据的样本标签值及所述周期预测值之间的差值，作为所述攻击预测模型的训练数据，对所述攻击预测模型进行迭代训练。

其中，所述攻击预测模型包括梯度提升决策树GBDT回归模型。

对于本发明实施例，可以根据包数据的样本标签值(即样本本身的准确值)及周期预测值(即通过时间平滑模型预测得到的值)之间的差值对攻击预测模型进行迭代训练，直至满足预设条件，则将该攻击预测模型作为最终的预测模型。在本发明实施例中，该预设条件可以为各个包数据的样本标签值和标签预测值之间的差值的平均值小于第一预设阈值；和/或，包数据的样本标签值和标签预测值之间的差值大于第二预设阈值的包数据数量小于第三预设阈值。

206、将待检测数据输入所述攻击预测模型，得到所述待检测数据的标签预测值，所述待检测数据的标签预测值用于表征所述待检测数据中的正样本与负样本之间比值的预测值。

207、基于所述待检测数据的标签预测值，对数据过滤规则进行调整。

208、响应于满足调整后的数据过滤规则，确定所述待检测数据为攻击数据，并丢弃所述攻击数据。

对于本发明实施例，能够对相邻的多条流量进行聚合处理并作趋势分析，对整个网络安全态势有宏观的预测，从而可以在面对连续的网络攻击时处于主动地位，能够针对网络攻击进行有效的防御；并且，相比于短时的大规模攻击爆发后，现有技术需要人为的依照专家经验对IDS进行相应的规则调整，本发明实施例能够智能的基于网络态势变化对规则进行调整，从而可以降低误报率，避免人工成本的浪费；同时，包内数据估计模型能够准确刻画数据分布并且实时对网络态势进行预测，降低网络态势分析的复杂度。

与现有技术相比，本发明实施例能够根据当前流量的变化趋势，预测网络中后续可能出现的入侵攻击事件或安全事件，并基于预测结果自动修改防御规则，能够更好的实现网络态势的感知，降低误报率预计人工干预成本，提高攻击检测的效率。

本发明又一实施例提供一种基于时序的攻击预测装置，如图3所示，所述装置包括：

提取模块31，用于对样本数据按照时间顺序进行分包处理，并提取包数据的特征；

标签模块32，用于将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值；

分析模块33，用于对所述包数据的特征进行时序分析，得到所述包数据的周期性特征；

处理模块34，用于对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值；

训练模块35，用于基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。

进一步的，如图4所示，所述装置还包括：

预测模块41，用于将待检测数据输入所述攻击预测模型，得到所述待检测数据的标签预测值，所述待检测数据的标签预测值用于表征所述待检测数据中的正样本与负样本之间比值的预测值。

调整模块42，用于基于所述待检测数据的标签预测值，对数据过滤规则进行调整；

丢弃模块43，用于响应于满足调整后的数据过滤规则，确定所述待检测数据为攻击数据，并丢弃所述攻击数据。

所述训练模块35，还用于将所述包数据的样本标签值及所述周期预测值之间的差值，作为所述攻击预测模型的训练数据，对所述攻击预测模型进行迭代训练；其中，所述攻击预测模型包括梯度提升决策树GBDT回归模型。

所述提取模块31，还用于将所述样本数据的特征通过原型聚类方式，转换为所述包数据的特征；其中，所述原型聚类方式包括高斯混合模型。

对于本发明实施例，能够对相邻的多条流量进行聚合处理并作趋势分析，对整个网络安全态势有宏观的预测，从而可以在面对连续的网络攻击时处于主动地位，能够针对网络攻击进行有效的防御；并且，相比于短时的大规模攻击爆发后，现有技术需要人为的依照专家经验对IDS进行相应的规则调整相比，本发明实施例能够智能的基于网络态势变化对规则进行调整，从而可以降低误报率，避免人工成本的浪费；同时，包内数据估计模型能够准确刻画数据分布并且实时对网络态势进行预测，降低网络态势分析的复杂度。

与现有技术相比，本发明实施例能够根据当前流量的变化趋势，预测网络中后续可能出现的入侵攻击事件或安全事件，并基于预测结果自动修改防御规则，能够更好的实现网络态势的感知，降低误报率预计人工干预成本，提高攻击检测的效率。

本发明实施例还提供另一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中的存储器中所包含的计算机可读存储介质；也可以是单独存在，未装配入终端中的计算机可读存储介质。所述计算机可读存储介质存储有一个或者一个以上程序，所述一个或者一个以上程序被一个或者一个以上的处理器用来执行图1、图2所示实施例提供的基于时序的攻击预测方法。

本发明实施例提供的基于时序的攻击预测装置可以实现上述提供的方法实施例，具体功能实现请参见方法实施例中的说明，在此不再赘述。本发明实施例提供的基于时序的攻击预测方法、装置及存储介质可以适用于对网络攻击进行预测，但不仅限于此。

如图5所示，基于时序的攻击预测装置500可以是移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，个人数字助理等。

参照图5，基于时序的攻击预测装置500可以包括以下一个或多个组件：处理组件502，存储器504，电源组件506，多媒体组件508，音频组件510，输入/输出(I/O)的接口512，传感器组件514，以及通信组件516。

处理组件502通常控制无人机控制装置500的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件502可以包括一个或多个处理器520来执行指令。

此外，处理组件502可以包括一个或多个模块，便于处理组件502和其他组件之间的交互。例如，处理组件502可以包括多媒体模块，以方便多媒体组件508和处理组件502之间的交互。

存储器504被配置为存储各种类型的数据以支持在无人机控制装置500的操作。这些数据的示例包括用于在无人机控制装置500上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器504可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电源组件506为无人机控制装置500的各种组件提供电力。电源组件506可以包括电源管理***，一个或多个电源，及其他与为无人机控制装置500生成、管理和分配电力相关联的组件。

多媒体组件508包括在所述无人机控制装置500和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器不仅可以感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件508包括一个前置摄像头和/或后置摄像头。当无人机控制装置500处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜***或具有焦距和光学变焦能力。

音频组件510被配置为输出和/或输入音频信号。例如，音频组件510包括一个麦克风(MIC)，当无人机控制装置500处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器504或经由通信组件516发送。在一些实施例中，音频组件510还包括一个扬声器，用于输出音频信号。

I/O接口512为处理组件502和***接口模块之间提供接口，上述***接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件514包括一个或多个传感器，用于为无人机控制装置500提供各个方面的状态评估。例如，传感器组件514可以检测到无人机控制装置500的打开/关闭状态，组件的相对定位，例如所述组件为无人机控制装置500的显示器和小键盘，传感器组件514还可以检测无人机控制装置500或无人机控制装置500一个组件的位置改变，用户与无人机控制装置500接触的存在或不存在，无人机控制装置500方位或加速/减速和无人机控制装置500的温度变化。传感器组件514可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件514还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件514还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件516被配置为便于无人机控制装置500和其他设备之间有线或无线方式的通信。无人机控制装置500可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件516经由广播信道接收来自外部广播管理***的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件516还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，无人机控制装置500可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (11)

1.一种基于时序的攻击预测方法，其特征在于，包括：

对样本数据按照时间顺序进行分包处理，并提取包数据的特征；

将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值；

对所述包数据的特征进行时序分析，得到所述包数据的周期性特征；

对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值；

基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。

2.根据权利要求1所述的基于时序的攻击预测方法，其特征在于，所述方法还包括：

将待检测数据输入所述攻击预测模型，得到所述待检测数据的标签预测值，所述待检测数据的标签预测值用于表征所述待检测数据中的正样本与负样本之间比值的预测值。

3.根据权利要求2所述的基于时序的攻击预测方法，其特征在于，所述方法还包括：

基于所述待检测数据的标签预测值，对数据过滤规则进行调整；

响应于满足调整后的数据过滤规则，确定所述待检测数据为攻击数据，并丢弃所述攻击数据。

4.根据权利要求1所述的基于时序的攻击预测方法，其特征在于，所述基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练，包括：

将所述包数据的样本标签值及所述周期预测值之间的差值，作为所述攻击预测模型的训练数据，对所述攻击预测模型进行迭代训练；其中，所述攻击预测模型包括梯度提升决策树GBDT回归模型。

5.根据权利要求1所述的基于时序的攻击预测方法，其特征在于，所述对样本数据按照时间顺序进行分包处理，并提取包数据的特征，包括：

将所述样本数据的特征通过原型聚类方式，转换为所述包数据的特征；其中，所述原型聚类方式包括高斯混合模型。

6.一种基于时序的攻击预测装置，其特征在于，包括：

提取模块，用于对样本数据按照时间顺序进行分包处理，并提取包数据的特征；

标签模块，用于将所述包数据内正样本及负样本的比例，作为所述包数据的样本标签值；

分析模块，用于对所述包数据的特征进行时序分析，得到所述包数据的周期性特征；

处理模块，用于对所述包数据的周期性特征进行至少一次指数平滑处理，得到所述包数据的周期预测值；

训练模块，用于基于所述包数据的样本标签值及所述周期预测值，对攻击预测模型进行训练。

7.根据权利要求6所述的基于时序的攻击预测装置，其特征在于，所述装置还包括：

预测模块，用于将待检测数据输入所述攻击预测模型，得到所述待检测数据的标签预测值，所述待检测数据的标签预测值用于表征所述待检测数据中的正样本与负样本之间比值的预测值。

8.根据权利要求7所述的基于时序的攻击预测装置，其特征在于，所述装置还包括：

调整模块，用于基于所述待检测数据的标签预测值，对数据过滤规则进行调整；

丢弃模块，用于响应于满足调整后的数据过滤规则，确定所述待检测数据为攻击数据，并丢弃所述攻击数据。

9.根据权利要求6所述的基于时序的攻击预测装置，其特征在于，

所述训练模块，还用于将所述包数据的样本标签值及所述周期预测值之间的差值，作为所述攻击预测模型的训练数据，对所述攻击预测模型进行迭代训练；其中，所述攻击预测模型包括梯度提升决策树GBDT回归模型。

10.根据权利要求6所述的基于时序的攻击预测装置，其特征在于，

所述提取模块，还用于将所述样本数据的特征通过原型聚类方式，转换为所述包数据的特征；其中，所述原型聚类方式包括高斯混合模型。

11.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1-5所述方法的步骤。