CN113114673A - 一种基于生成对抗网络的网络入侵检测方法及*** - Google Patents

Abstract

本发明公开了一种基于生成对抗网络的网络入侵检测方法及***。该方法包括：对待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测；在训练生成对抗网络模型时，采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型；利用待训练网络流量输入每个训练好的单攻击入侵检测模型的输出结果，对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型；根据多个训练好的单攻击入侵检测模型和一个训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。采用本发明的方法及***，能够识别网络中的多种类型攻击。

Description

一种基于生成对抗网络的网络入侵检测方法及***

技术领域

本发明涉及网络入侵检测技术领域，特别是涉及一种基于生成对抗网络的网络入侵检测方法及***。

背景技术

随着互联网的不断发展，越来越多的设备和生活必需品可以连接到互联网并进行实时通信。由于社交物联网的广泛应用，数百万的传感器和设备继续产生数据并交换重要信息。作为一个范围广，并且开放性高的网络，网络运营商必须更加关注网络安全威胁。为了确保网络的安全，在网络环境中使用入侵检测机制至关重要。入侵检测是防止多重攻击并保护用户隐私的好方法。

目前的入侵检测，一般均使用深度学习来实现入侵检测来保护网络的安全。然而，网络入侵检测的问题仍然是一个挑战，并且目前网络***的安全性能研究无法满足越来越多样化的网络。

发明内容

本发明的目的是提供一种基于生成对抗网络的网络入侵检测方法及***，兼顾网络的复杂性以及多变性，能够识别网络中的多种类型攻击。

为实现上述目的，本发明提供了如下方案：

一种网络入侵检测方法，包括：

获取待检测网络流量；

对所述待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测，得到网络流量是否受到攻击的检测结果；

所述训练好的生成对抗网络模型的生成方法，具体包括：

获取待训练网络流量；

对所述待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集；每种所述攻击数据集中包括与攻击类型对应的流量特征矩阵；

采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型；

将所述待训练网络流量输入每个所述训练好的单攻击入侵检测模型，得到合成数据矩阵；所述合成数据矩阵的元素为将所述待训练网络流量输入所述训练好的单攻击入侵检测模型后的输出结果；

利用所述合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型；

根据多个所述训练好的单攻击入侵检测模型和一个所述训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。

可选的，所述对所述待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集，具体包括：

对所述待训练网络流量进行流量特征提取，得到流量特征矩阵；

对所述流量特征矩阵的元素进行归一化处理，得到归一化后的流量特征数据；

对所述归一化后的流量特征数据进行攻击种类划分，生成多种攻击数据集。

可选的，所述采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型，具体包括：

获取多个噪声数据；

将多个所述噪声数据输入所述单攻击入侵检测模型的生成器中，生成第一欺骗数据；

将所述第一欺骗数据和一种攻击数据集输入所述单攻击入侵检测模型的鉴别器中，输出单种类攻击数据的判别结果和第一欺骗数据的判别结果；

根据所述单种类攻击数据的判别结果确定所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能；

根据所述第一欺骗数据的判别结果确定所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能；

根据所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能和所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能，判断是否满足到第一训练结束条件；在满足所述第一训练结束条件后，生成训练好的单攻击入侵检测模型。

可选的，所述利用所述合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型，具体包括：

将所述合成数据矩阵输入所述多种类攻击入侵检测模型的生成器中，生成第二欺骗数据；

将所述合成数据矩阵和所述第二欺骗数据输入所述多种类攻击入侵检测模型的鉴别器中，输出合成数据的判别结果和第二欺骗数据的判别结果；

根据所述合成数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能；

根据所述第二欺骗数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能；

根据所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能和所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能，判断是否满足第二训练结束条件；在满足所述第二训练结束条件后，生成训练好的多种类攻击入侵检测模型。

本发明还提供一种网络入侵检测***，包括：

网络流量测量模块，用于获取待检测网络流量；

入侵检测模块，用于对所述待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测，得到网络流量是否受到攻击的检测结果；

所述入侵检测模块，具体包括：

待训练网络流量获取子模块，用于获取待训练网络流量；

攻击数据集生成子模块，用于对所述待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集；每种所述攻击数据集中包括与攻击类型对应的流量特征矩阵；

单攻击入侵检测模型训练子模块，用于采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型；

合成数据矩阵生成子模块，用于将所述待训练网络流量输入每个所述训练好的单攻击入侵检测模型，得到合成数据矩阵；所述合成数据矩阵的元素为将所述待训练网络流量输入所述训练好的单攻击入侵检测模型后的输出结果；

多种类攻击入侵检测模型训练子模块，用于利用所述合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型；

训练好的生成对抗网络模型生成子模块，用于根据多个所述训练好的单攻击入侵检测模型和一个所述训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。

可选的，所述攻击数据集生成子模块，具体包括：

流量特征提取单元，用于对所述待训练网络流量进行流量特征提取，得到流量特征矩阵；

归一化处理单元，用于对所述流量特征矩阵的元素进行归一化处理，得到归一化后的流量特征数据；

攻击种类划分单元，用于对所述归一化后的流量特征数据进行攻击种类划分，生成多种攻击数据集。

可选的，所述单攻击入侵检测模型训练子模块，具体包括：

噪声数据获取单元，用于获取多个噪声数据；

第一欺骗数据生成单元，用于将多个所述噪声数据输入所述单攻击入侵检测模型的生成器中，生成第一欺骗数据；

第一判别结果输出单元，用于将所述第一欺骗数据和一种攻击数据集输入所述单攻击入侵检测模型的鉴别器中，输出单种类攻击数据的判别结果和第一欺骗数据的判别结果；

第一辨别性能确定单元，用于根据所述单种类攻击数据的判别结果确定所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能；

第二辨别性能确定单元，用于根据所述第一欺骗数据的判别结果确定所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能；

训练好的单攻击入侵检测模型生成单元，用于根据所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能和所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能，判断是否满足到第一训练结束条件；在满足所述第一训练结束条件后，生成训练好的单攻击入侵检测模型。

可选的，所述多种类攻击入侵检测模型训练子模块，具体包括：

第二欺骗数据生成单元，用于将所述合成数据矩阵输入所述多种类攻击入侵检测模型的生成器中，生成第二欺骗数据；

第二判别结果输出单元，用于将所述合成数据矩阵和所述第二欺骗数据输入所述多种类攻击入侵检测模型的鉴别器中，输出合成数据的判别结果和第二欺骗数据的判别结果；

第三辨别性能确定单元，用于根据所述合成数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能；

第四辨别性能确定单元，用于根据所述第二欺骗数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能；

训练好的多种类攻击入侵检测模型生成单元，用于根据所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能和所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能，判断是否满足第二训练结束条件；在满足所述第二训练结束条件后，生成训练好的多种类攻击入侵检测模型。

与现有技术相比，本发明的有益效果是：

本发明提出了一种基于生成对抗网络的网络入侵检测方法及***，在训练生成对抗网络模型时，采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型；利用待训练网络流量输入每个训练好的单攻击入侵检测模型的输出结果，对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型；根据多个训练好的单攻击入侵检测模型和一个训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。这样，在进行网络入侵检测时，只需对待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测，就能够得到网络流量是否受到攻击的检测结果。本发明兼顾网络的复杂性以及多变性，能够识别网络中的多种类型攻击。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中基于生成对抗网络的网络入侵检测方法流程图；

图2为本发明实施例中生成对抗网络模型的训练方法流程图；

图3为本发明实施例中基于生成对抗网络的网络入侵检测***结构图；

图4为本发明实施例中入侵检测模块结构图；

图5为本发明实施例中基于社会物联网的协作边缘网络结构图；

图6为本发明实施例中单种类攻击检测的性能比较示意图；

图7为本发明实施例中多种类攻击检测的性能比较示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的目的是提供一种基于生成对抗网络的网络入侵检测方法及***，兼顾网络的复杂性以及多变性，能够识别网络中的多种类型攻击。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

实施例

图1为本发明实施例中基于生成对抗网络的网络入侵检测方法流程图，如图1所示，一种基于生成对抗网络的网络入侵检测方法，包括：

步骤101：获取待检测网络流量。

步骤102：对待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测，得到网络流量是否受到攻击的检测结果。

图2为本发明实施例中生成对抗网络模型的训练方法流程图，如图2所示，训练好的生成对抗网络模型的生成方法，具体包括：

步骤201：获取待训练网络流量。

步骤202：对待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集；每种攻击数据集中包括与攻击类型对应的流量特征矩阵。

步骤202，具体包括：

对待训练网络流量进行流量特征提取，得到流量特征矩阵；

对流量特征矩阵的元素进行归一化处理，得到归一化后的流量特征数据；

对归一化后的流量特征数据进行攻击种类划分，生成多种攻击数据集。

步骤203：采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型；

步骤203，具体包括：

获取多个噪声数据；

将多个噪声数据输入单攻击入侵检测模型的生成器中，生成第一欺骗数据；

将第一欺骗数据和一种攻击数据集输入单攻击入侵检测模型的鉴别器中，输出单种类攻击数据的判别结果和第一欺骗数据的判别结果；

根据单种类攻击数据的判别结果确定单攻击入侵检测模型的鉴别器对攻击数据的辨别性能；

根据第一欺骗数据的判别结果确定单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能；

根据单攻击入侵检测模型的鉴别器对攻击数据的辨别性能和单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能，判断是否满足到第一训练结束条件；在满足第一训练结束条件后，生成训练好的单攻击入侵检测模型。

步骤204：将待训练网络流量输入每个训练好的单攻击入侵检测模型，得到合成数据矩阵；合成数据矩阵的元素为将待训练网络流量输入训练好的单攻击入侵检测模型后的输出结果；

步骤205：利用合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型；

步骤205，具体包括：

将合成数据矩阵输入多种类攻击入侵检测模型的生成器中，生成第二欺骗数据；

将合成数据矩阵和第二欺骗数据输入多种类攻击入侵检测模型的鉴别器中，输出合成数据的判别结果和第二欺骗数据的判别结果；

根据合成数据的判别结果确定多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能；

根据第二欺骗数据的判别结果确定多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能；

根据多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能和多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能，判断是否满足第二训练结束条件；在满足第二训练结束条件后，生成训练好的多种类攻击入侵检测模型。

步骤206：根据多个训练好的单攻击入侵检测模型和一个训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。

图3为本发明实施例中基于生成对抗网络的网络入侵检测***结构图，如图3所示，一种基于生成对抗网络的网络入侵检测***，包括：

网络流量测量模块301，用于获取待检测网络流量。

入侵检测模块302，用于对待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测，得到网络流量是否受到攻击的检测结果。

图4为本发明实施例中入侵检测模块结构图，如图4所示，入侵检测模块302，具体包括：

待训练网络流量获取子模块401，用于获取待训练网络流量。

攻击数据集生成子模块402，用于对待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集；每种攻击数据集中包括与攻击类型对应的流量特征矩阵。

攻击数据集生成子模块402，具体包括：

流量特征提取单元，用于对待训练网络流量进行流量特征提取，得到流量特征矩阵；

归一化处理单元，用于对流量特征矩阵的元素进行归一化处理，得到归一化后的流量特征数据；

攻击种类划分单元，用于对归一化后的流量特征数据进行攻击种类划分，生成多种攻击数据集。

单攻击入侵检测模型训练子模块403，用于采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型。

单攻击入侵检测模型训练子模块403，具体包括：

噪声数据获取单元，用于获取多个噪声数据；

第一欺骗数据生成单元，用于将多个噪声数据输入单攻击入侵检测模型的生成器中，生成第一欺骗数据；

第一判别结果输出单元，用于将第一欺骗数据和一种攻击数据集输入单攻击入侵检测模型的鉴别器中，输出单种类攻击数据的判别结果和第一欺骗数据的判别结果；

第一辨别性能确定单元，用于根据单种类攻击数据的判别结果确定单攻击入侵检测模型的鉴别器对攻击数据的辨别性能；

第二辨别性能确定单元，用于根据第一欺骗数据的判别结果确定单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能；

训练好的单攻击入侵检测模型生成单元，用于根据单攻击入侵检测模型的鉴别器对攻击数据的辨别性能和单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能，判断是否满足到第一训练结束条件；在满足第一训练结束条件后，生成训练好的单攻击入侵检测模型。

合成数据矩阵生成子模块404，用于将待训练网络流量输入每个训练好的单攻击入侵检测模型，得到合成数据矩阵；合成数据矩阵的元素为将待训练网络流量输入训练好的单攻击入侵检测模型后的输出结果。

多种类攻击入侵检测模型训练子模块405，用于利用合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型。

多种类攻击入侵检测模型训练子模块405，具体包括：

第二欺骗数据生成单元，用于将合成数据矩阵输入多种类攻击入侵检测模型的生成器中，生成第二欺骗数据；

第二判别结果输出单元，用于将合成数据矩阵和第二欺骗数据输入多种类攻击入侵检测模型的鉴别器中，输出合成数据的判别结果和第二欺骗数据的判别结果；

第三辨别性能确定单元，用于根据合成数据的判别结果确定多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能；

第四辨别性能确定单元，用于根据第二欺骗数据的判别结果确定多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能；

训练好的多种类攻击入侵检测模型生成单元，用于根据多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能和多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能，判断是否满足第二训练结束条件；在满足第二训练结束条件后，生成训练好的多种类攻击入侵检测模型。

训练好的生成对抗网络模型生成子模块406，用于根据多个训练好的单攻击入侵检测模型和一个训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。

为了进一步说明本发明提供的基于生成对抗网络的网络入侵检测方法，该方法包括如下步骤：

步骤一：在网管中心，测量网络流量，将其表示为特征矩阵，并作为训练数据。

步骤二：在网管中心，分别利用多个基于生成对抗网络的单种类攻击入侵检测方法对已知的每种攻击进行学习训练。

步骤三：在网管中心，利用训练好的所有基于单种类攻击的入侵检测模型预处理训练数据，并将处理后的数据用于训练多种类攻击入侵检测模型。

步骤四：在网管中心，根据步骤三获得生成对抗网络模型，利用其中判别网络来实现网络流量的入侵检测。

步骤一所述的特征矩阵设置，具体包括如下步骤：

步骤A：在网管中心，测量网络流量，并表示为流量特征矩阵X。

端到端网络流量，称为起点到目的地流(OD)，描述了从起点节点到目的节点的流量。对于具有12个节点的网络中的所有可能的OD对，可以用流量矩阵描述，同时使用网络安全数据集流量特征提取工具(Cicflowmeter)提取流量矩阵，形成流量特征矩阵。流量特征矩阵可表示为X，X是一个R×P矩阵，其中R代表流量数据特征数目，P代表样本总数。此外在所提出的方法中利用Cicflowmeter提取了83个流量特征。

步骤B：在网管中心，对原始流量特征矩阵数据X进行归一化处理。

设置x_r为矩阵数据X第r行数据，则设置x_{r_mean}表示x_r中所有数据的均值，x_{r_max}为x_r中所有数据的最大值，x_{r_min}为x_r中所有数据的最小值。则每行数据归一化如下：

其中，x_rp代表矩阵数据X的第r行第p列数据。x_r′_p代表x_rp归一化后数据。对矩阵数据X中每个数据进行归一化处理。

步骤C：在网管中心，收集p_A个归一化后流量数据集，作为训练数据X_A。同时在已知的训练数据集X_A中收集已知的不同种类攻击数据X_k(k＝1,2,3,...,I)作为单种类攻击入侵检测模型的训练数据集，其I中代表所知的攻击种类数目，每种攻击的数据集X_k的数目多少是根据该攻击在训练数据集X_A中所存在比例而定。

步骤二所述的用于单异常检测的生成对抗网络训练设置，具体包括如下步骤：

步骤A：在网管中心，载入步骤一收集的每种攻击的数据集X_k(k＝1,2,3,...,I)，并读取流量特征矩阵。

步骤B：在网管中心，随机生成噪声数据集p_z(z)，从p_z(z)中选取l个数据作为基于生成对抗网络的单种类攻击入侵检测模型生成器的输入z。p_z(z)是1×l的矩阵，z是1×l′的矩阵，其中l和l′分别代表p_z(z)和z样本数量，并且p_z(z)和z只有1个特征。

步骤C：在网管中心，使用单种类攻击生成对抗网络的生成器处理噪声数据z，输出欺骗数据x_z。

在网管中心，基于流量特征进行单种类攻击的入侵检测训练，使用生成对抗网络架构来对单种攻击的流量矩阵的特征进行检测训练。生成对抗网络由生成器和鉴别器组成，其中生成器和鉴别器分别由几个隐藏层组成，每层的输出作为后续层的输入。

在网管中心，首先将噪声样本z输入到基于单种攻击生成对抗网络模型的生成器G中。通过生成网络生成欺骗数据x_z，其中x_z是83×l′的矩阵。生成器G是深度前馈神经网络，随机噪声数据生成欺骗数据的过程描述如下：

其中，

代表输入噪声z，

代表生成器第k层的输出，

代表生成器输出数据x_z。并且其中m代表基于单攻击生成对抗网络中生成器的层数。使用

来表示第k层生成器相对应的参数。g^k表示激活函数，通常由双曲正切(Tanh)和整流线性单位(ReLUs)等表示，其中g^m代表激活函数Tanh。梯度反向传播算法能够有效地计算生成器网络的参数。因此，本发明利用基于生成对抗网络的方法来处理入侵检测问题。所使用的生成器网络架构具有7层神经网络以进行解析输入数据集的特征，输入层神经元为1个，隐藏层神经单元为1280个，输出层神经单元为83个。单层神经网络使用Tanh作为激活函数，双层神经网络使用ReLUs作为激活函数。

在网管中心，选择均方误差函数作为生成器的损失函数L_MSE，具体公式如下：

其中，q′_k代表一批输入数据中第k个实际数值。q_k代表一批输入数据中神经网络预测的第k个预测值。均方误差函数是查找一批次平均错误的功能函数，e代表一批次样本数。

在网管中心，选择适应性矩估计(Adam)作为优化算法，具体公式如下：

其中L表示损失函数，例如生成网络的损失函数L_MSE。θ表示网络对应的参数，例如生成器网络θ_G表示的参数。

表示参数θ的梯度。g_t表示第t个时间步的梯度，t表示优化时间步数。ρ₁和ρ₂表示矩估计的指数衰减速率ρ₁设置为0.9，ρ₂设置为0.999。m_t表示有偏一阶矩估计，n_t表示有偏二阶矩估计，

表示一阶矩的偏差，

表示二阶矩的偏差。η表示步长，设置为0.001，ε表示用于数值稳定的常数，设置为10^-8。Δθ表示参数θ需要更新的大小。Adam优化算法目的是优化模型，使得模型能得到最优解。

步骤D：在网管中心，组合由生成器生成的数据x_z与输入的单种类攻击数据X_k，使得生成组合数据x_D，x_D是83×(l′+p_k)矩阵，其p_k中是数据X_k的样本数。

步骤E：在网管中心，使用基于生成对抗网络的单种类攻击模型的辨别器来学习训练组合数据x_D。

在网管中心，将合成数据x_D输入到辨别器D中。通过辨别网络生成辨别数据y_D，其中y_D是2×(l′+p_k)的矩阵。生成器D是深度前馈神经网络，其过程可以描述如下：

其中

代表输入数据x_D，

代表辨别器第k层的输出，

代表辨别器输出数据y_D。并且其中n代表基于单攻击生成对抗网络中辨别器的层数。使用

来表示第k层辨别器相对应的参数。f^k表示激活函数，通常由Tanh和ReLUs等表示，其中fⁿ代表归一化指数函数(softmax)。梯度反向传播算法能够有效地计算辨别器网络的参数。所使用的辨别器网络架构具有53层神经网络以进行解析输入数据集的特征，输入层神经元为83个，隐藏层神经单元为1104个，输出层神经单元为2个。单层神经网络使用Tanh作为激活函数，双层神经网络使用ReLUs作为激活函数，最后层使用softmax作为激活函数。

在网管中心，选择交叉熵损失函数作为辨别器的损失函数L_CE，具体公式如下：

在网管中心，选择Adam优化算法优化辨别器网络，使得网络得到最优解。

步骤F：在网管中心，对辨别器生成的数据进行处理。

在网管中心，对辨别器生成的数据需要进行预处理优化，具体公式如下：

其中y_1k和y_2k分别表示辨别器第k个数据的判别结果。辨别器输出数据y_D由Y_k和y_z组成，其中Y_k是单种类攻击数据X_k的判别结果，y_z是输出数据x_z的判别结果。

在网管中心，根据函数F对数据Y_k和y_z进行运算，通过函数F可以得到辨别器对攻击数据的辨别性能和对生成数据的辨别性能，其公式如下所示：

其中定义TP表示估计流量与实际流量不同的错误数据已正确分类为错误；定义FP表示估计流量与实际流量相同的正确的数据被错误地分类为错误；TN表示估计流量与实际流量相同的正确的数据正确分类为正确的数据；FN表示估计流量与实际流量不同的错误数据被错误地分类为正确。

步骤G：在网管中心，判断

和F(Y(y_z),Y_z)的大小，其中

表示单种类攻击数据X_k的真实标签，其中Y_z表示生成数据x_z的真实标签。当

大于F(Y(y_z),Y_z)的时候，重复步骤B，步骤C，步骤F。当

小于或等于F(Y(y_z),Y_z)的时候，重复步骤D，步骤E，步骤F。重复T次步骤G。

步骤H：在网管中心，根据已知的不同种类攻击，都单独训练出一个基于生成对抗网络的单攻击入侵检测模型。即有I种攻击类型，则分别训练I种基于生成对抗网络的单攻击入侵检测模型。

步骤三所述的多种类攻击入侵检测模型设置，具体步骤如下：

步骤A：在网管中心，载入步骤一收集的训练数据X_A，并读取流量特征矩阵。载入步骤二训练的I个基于生成对抗网络的单攻击入侵检测模型，并读取相对应的辨别器，设置为D₁,D₂,...,D_I。

步骤B：在网管中心，使用基于生成对抗网络的单攻击入侵检测模型D₁,D₂,...,D_I处理训练数据X_A，并将生成的数据组合成数据x_G，其具体公式如下所示：

其中x_i是训练数据X_A通过单攻击入侵检测模型的辨别器所生成的2×p_A特征矩阵。合成数据x_G是2I×p_A矩阵。

步骤C：在网管中心，使用基于生成对抗网络的多种类入侵检测模型的生成器G′处理数据x_G，生成欺骗数据x_z′。

在网管中心，首先将合成数据x_G输入到基于多种攻击生成对抗网络模型的生成器G′中。通过生成网络生成欺骗数据x_z′，其中x_z′是2I×p_A的矩阵。生成器G′是深度前馈神经网络，将数据x_G生成欺骗数据x_z′的过程可以描述如下：

其中

代表输入x_G，

代表生成器第k层的输出，

代表生成器输出数据x_z′。并且其中M代表基于多攻击生成对抗网络中生成器的层数。使用

来表示第k层生成器相对应的参数。g′^k表示激活函数，通常由Tanh和ReLUs等表示，其中g′^M代表激活函数Tanh。所使用的生成器网络架构具有16层神经网络以进行解析输入数据集的特征，输入层神经元为2I个，隐藏层神经单元为1400个，输出层神经单元为2I个。单层神经网络使用ReLUs作为激活函数，双层神经网络使用Tanh作为激活函数。

在网管中心，选择MSE作为生成器的损失函数，同时选择Adam优化器来确定生成器网络的最小损耗值，以便可以求出相应的学习参数并优化模型。

步骤D：在网管中心，组合由生成器生成的数据x_z′与输入的训练数据X_A，使得生成组合数据x′_D，x′_D是2I×2p_A矩阵。

步骤E：在网管中心，使用基于生成对抗网络的多种类攻击模型的辨别器来学习训练组合数据x′_D。

在网管中心，将合成数据x′_D输入到辨别器D′中。通过辨别网络生成辨别数据y′_D，其中y′_D是2×2p_A的矩阵。生成器D′是深度前馈神经网络，其过程可以描述如下：

其中

代表输入数据x′_D，

代表辨别器第k层的输出，

代表辨别器输出数据y′_D。并且其中N代表基于多攻击生成对抗网络中辨别器的层数。使用

来表示第k层辨别器相对应的参数。f′^k表示激活函数，通常由Tanh和ReLUs等表示，其中f′ⁿ代表softmax激活函数。梯度反向传播算法能够有效地计算辨别器网络的参数。所使用的辨别器网络架构具有54层神经网络以进行解析输入数据集的特征，输入层神经元为2I个，隐藏层神经单元为1104个，输出层神经单元为2个。单层神经网络使用ReLUs作为激活函数，双层神经网络使用Tanh作为激活函数，最后层使用softmax作为激活函数。

在网管中心，选择交叉熵损失函数作为辨别器的损失函数，同时选择Adam优化器来确定生成器网络的最小损耗值，以便可以求出相应的学习参数并优化模型。

步骤F：在网管中心，对辨别器生成的数据y′_D进行处理。

在网管中心，对辨别器生成的数据需要进行预处理优化，具体公式如下：

其中y₁′_k和y′_2k分别表示辨别器第k个数据的判别结果。辨别器输出数据y′_D由Y_A和y_z′组成，其中Y_A是训练数据X_A的判别结果，y_z′是输出数据x_z′的判别结果。

步骤G：在网管中心，判断

和F(Y′(y′_z),Y_z′)的大小，其中

表示训练数据X_A的真实标签，其中Y_z′表示生成数据x_z′的真实标签。通过函数F可以得到辨别器对攻击数据的辨别性能和对生成数据的辨别性能。当

大于F(Y′(y′_z),Y_z′)的时候，重复步骤B，步骤C，步骤F。当

小于或等于F(Y′(y′_z),Y_z′)的时候，重复步骤D，步骤E，步骤F。重复T次步骤G。

步骤四所述的多种类攻击入侵检测模型设置，具体步骤如下：

步骤A：在网管中心，载入步骤二获得的I个基于生成对抗网络的单攻击入侵检测模型，并读取相对应的辨别器，设置为D₁,D₂,...,D_I。载入步骤三获得的基于生成对抗网络的多攻击入侵检测模型，并读取相应的辨别器D′。

步骤B：在网管中心，实时采集当前网络流量x_t，并利用步骤A获得的辨别器进行入侵检测，具体公式如下：

其中y_t是当前网络流量异常结果判断情况，并对y_t进行处理，具体公式如下：

其中y_1t和y_2t分别表示辨别器对当前网络流量的判别结果。当y_1t＝0,y_2t＝1时，当前网络流量正常；当y_1t＝1,y_2t＝0时，当前网络流量受到攻击。

本发明将研究内容应用于社会物联网的协作边缘网络(如图5所示)，并将得到的结果与已有方法比较，研究本发明提出的基于生成对抗网络的网络入侵检测方法是否具有优越性以及普适性。

以社会物联网的协作边缘网络作为一个实施例说明如下：

社会物联网的协作边缘网络由车载单元(例如车辆)、路边单元、移动设备和无线接收设备等组成，它是一个远离集中式数据中心的边缘网络。协作边缘网络的骨干网络由12个网络节点组成。

步骤如下：

本发明首先研究了实施步骤一，实施步骤二对于已有攻击的单种类攻击检测效果，如图6所示，作用于社会物联网的协作边缘网络时，所训练的单攻击入侵检测模型与已有方法关于单种类攻击检测的性能比较，可以看出提出的方法(GAN)可以对比其他方法准确地检测单种类攻击。已有方法之一是基于向量卷积的深度学习方法(VCDL)，它包括两个模块：全连接网络和向量卷积网络。通过向量卷积网络提取特征，并使用全连接网络学习提取的特征，从而进行网络的入侵检测。另一个方法是堆叠式压缩自编码器和支持向量机的组合方法(SCAE+SVM)，该方法使用堆叠的压缩自动编码器进行特征提取，并通过支持向量机对训练数据进行分类，从而实现网络入侵检测。

根据上述结果选择获得最佳效果的所有不同的单种类攻击入侵检测模型，将其应用于下面的步骤。

利用训练好的所有基于单种类攻击的入侵检测模型，按照步骤三进行训练基于生成对抗网络的多攻击入侵检测模型。再按照步骤四进行网络的入侵检测。

图7显示了针对多种攻击的入侵检测性能，与其他两种方法相比，本发明的基于生成对抗网络的方法具有更加高效准确的性能。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上，本说明书内容不应理解为对本发明的限制。

Claims (8)

1.一种网络入侵检测方法，其特征在于，包括：

获取待检测网络流量；

对所述待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测，得到网络流量是否受到攻击的检测结果；

所述训练好的生成对抗网络模型的生成方法，具体包括：

获取待训练网络流量；

对所述待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集；每种所述攻击数据集中包括与攻击类型对应的流量特征矩阵；

采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型；

将所述待训练网络流量输入每个所述训练好的单攻击入侵检测模型，得到合成数据矩阵；所述合成数据矩阵的元素为将所述待训练网络流量输入所述训练好的单攻击入侵检测模型后的输出结果；

利用所述合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型；

根据多个所述训练好的单攻击入侵检测模型和一个所述训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。

2.根据权利要求1所述的网络入侵检测方法，其特征在于，所述对所述待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集，具体包括：

对所述待训练网络流量进行流量特征提取，得到流量特征矩阵；

对所述流量特征矩阵的元素进行归一化处理，得到归一化后的流量特征数据；

对所述归一化后的流量特征数据进行攻击种类划分，生成多种攻击数据集。

3.根据权利要求1所述的网络入侵检测方法，其特征在于，所述采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型，具体包括：

获取多个噪声数据；

将多个所述噪声数据输入所述单攻击入侵检测模型的生成器中，生成第一欺骗数据；

将所述第一欺骗数据和一种攻击数据集输入所述单攻击入侵检测模型的鉴别器中，输出单种类攻击数据的判别结果和第一欺骗数据的判别结果；

根据所述单种类攻击数据的判别结果确定所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能；

根据所述第一欺骗数据的判别结果确定所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能；

根据所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能和所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能，判断是否满足到第一训练结束条件；在满足所述第一训练结束条件后，生成训练好的单攻击入侵检测模型。

4.根据权利要求3所述的网络入侵检测方法，其特征在于，所述利用所述合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型，具体包括：

将所述合成数据矩阵输入所述多种类攻击入侵检测模型的生成器中，生成第二欺骗数据；

将所述合成数据矩阵和所述第二欺骗数据输入所述多种类攻击入侵检测模型的鉴别器中，输出合成数据的判别结果和第二欺骗数据的判别结果；

根据所述合成数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能；

根据所述第二欺骗数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能；

根据所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能和所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能，判断是否满足第二训练结束条件；在满足所述第二训练结束条件后，生成训练好的多种类攻击入侵检测模型。

5.一种网络入侵检测***，其特征在于，包括：

网络流量测量模块，用于获取待检测网络流量；

入侵检测模块，用于对所述待检测网络流量采用训练好的生成对抗网络模型进行网络流量入侵检测，得到网络流量是否受到攻击的检测结果；

所述入侵检测模块，具体包括：

待训练网络流量获取子模块，用于获取待训练网络流量；

攻击数据集生成子模块，用于对所述待训练网络流量进行流量特征提取，收集不同攻击种类的攻击数据，形成多种攻击数据集；每种所述攻击数据集中包括与攻击类型对应的流量特征矩阵；

单攻击入侵检测模型训练子模块，用于采用一种攻击数据集对一个基于生成对抗网络的单攻击入侵检测模型进行训练的方法，生成多个训练好的单攻击入侵检测模型；

合成数据矩阵生成子模块，用于将所述待训练网络流量输入每个所述训练好的单攻击入侵检测模型，得到合成数据矩阵；所述合成数据矩阵的元素为将所述待训练网络流量输入所述训练好的单攻击入侵检测模型后的输出结果；

多种类攻击入侵检测模型训练子模块，用于利用所述合成数据矩阵对基于生成对抗网络的多种类攻击入侵检测模型进行训练，生成训练好的多种类攻击入侵检测模型；

训练好的生成对抗网络模型生成子模块，用于根据多个所述训练好的单攻击入侵检测模型和一个所述训练好的多种类攻击入侵检测模型，生成训练好的生成对抗网络模型。

6.根据权利要求5所述的网络入侵检测***，其特征在于，所述攻击数据集生成子模块，具体包括：

流量特征提取单元，用于对所述待训练网络流量进行流量特征提取，得到流量特征矩阵；

归一化处理单元，用于对所述流量特征矩阵的元素进行归一化处理，得到归一化后的流量特征数据；

攻击种类划分单元，用于对所述归一化后的流量特征数据进行攻击种类划分，生成多种攻击数据集。

7.根据权利要求5所述的网络入侵检测***，其特征在于，所述单攻击入侵检测模型训练子模块，具体包括：

噪声数据获取单元，用于获取多个噪声数据；

第一欺骗数据生成单元，用于将多个所述噪声数据输入所述单攻击入侵检测模型的生成器中，生成第一欺骗数据；

第一判别结果输出单元，用于将所述第一欺骗数据和一种攻击数据集输入所述单攻击入侵检测模型的鉴别器中，输出单种类攻击数据的判别结果和第一欺骗数据的判别结果；

第一辨别性能确定单元，用于根据所述单种类攻击数据的判别结果确定所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能；

第二辨别性能确定单元，用于根据所述第一欺骗数据的判别结果确定所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能；

训练好的单攻击入侵检测模型生成单元，用于根据所述单攻击入侵检测模型的鉴别器对攻击数据的辨别性能和所述单攻击入侵检测模型的鉴别器对第一欺骗数据的辨别性能，判断是否满足到第一训练结束条件；在满足所述第一训练结束条件后，生成训练好的单攻击入侵检测模型。

8.根据权利要求7所述的网络入侵检测***，其特征在于，所述多种类攻击入侵检测模型训练子模块，具体包括：

第二欺骗数据生成单元，用于将所述合成数据矩阵输入所述多种类攻击入侵检测模型的生成器中，生成第二欺骗数据；

第二判别结果输出单元，用于将所述合成数据矩阵和所述第二欺骗数据输入所述多种类攻击入侵检测模型的鉴别器中，输出合成数据的判别结果和第二欺骗数据的判别结果；

第三辨别性能确定单元，用于根据所述合成数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能；

第四辨别性能确定单元，用于根据所述第二欺骗数据的判别结果确定所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能；

训练好的多种类攻击入侵检测模型生成单元，用于根据所述多种类攻击入侵检测模型的鉴别器对合成数据的辨别性能和所述多种类攻击入侵检测模型的鉴别器对第二欺骗数据的辨别性能，判断是否满足第二训练结束条件；在满足所述第二训练结束条件后，生成训练好的多种类攻击入侵检测模型。

Images