一种基于改进VAEGAN与深度神经网络的网络入侵检测方法

本发明属于大数据安全领域，具体涉及到一种大数据环境下基于改进vaegan与深度神经网络相结合的网络入侵检测方法。

背景技术：

1、在大数据环境下，网络趋于复杂化和大规模化，互联网承载的信息更加丰富，未来将真正实现万物互联。随之而来的数据泄露和网络入侵等问题凸显，众多网络安全威胁和复杂的网络入侵手段使得传统的杀毒软件和防火墙等防护手段难以实现主动防御。网络入侵已成为监控网络活动和检测入侵事件的重要防线，能够在一定程度上有效地检测和防止复杂的入侵和威胁。

2、目前基于机器学习的网络入侵检测方法能够取得比传统模式匹配和专家系统等方法更好的效果，但检测能力仍可以进一步提升，同时现有的机器学习方法往往只关注了整体检测率而忽视了各类别的检测率，由于数据样本的不平衡性，存在样本数量少的入侵类型检测率低的问题。

3、经过检索，申请公开号cn112613599a，一种基于生成对抗网络过采样的网络入侵检测方法，本发明公开了一种基于生成对抗网络过采样的网络入侵检测方法，先选取网络入侵检测数据集中的主要特征，对主要特征进行数据预处理，得到训练集，再通过条件生成对抗网络模型对训练集中的不平衡数据过采样，然后输入到网络入侵检测模型中进行训练，训练完成以后使用测试集对网络入侵检测模型进行测试。该发明通过条件生成对抗网络模型产生的过采样样本，较好解决了数据不平衡问题后再对检测模型进行训练，使得检测模型对样本数量较少类别的分类较为准确，但存在生成样本质量不够好和生成模型不够稳定等问题。

4、本发明提供了一种基于改进vaegan与深度神经网络相结合的网络入侵检测方法，包括数据预处理、样本生成和检测分类三部分，在样本生成时，以变分自编码生成对抗网络(variational auto encoder generative adversarial network,vaegan)为基本结构，引入归一化自注意力机制来辅助生成高质量样本；同时，引入cramer距离与利用梯度惩罚来保证模型训练过程的稳定性。

技术实现思路

1、本发明旨在解决以下现有技术问题：1、现有的机器学习方法往往只关注整体检测率而忽视了各类别的检测率，由于数据样本的不平衡性，存在样本数量少的入侵类型检测率低的问题。2、现有基于生成对抗网络的入侵检测算法，存在生成样本质量不够好和生成模型不够稳定等问题。

2、提出了一种基于改进vaegan与深度神经网络的网络入侵检测方法。本发明的技术方案如下：一种基于改进vaegan与深度神经网络的网络入侵检测方法，其包括以下步骤：

3、数据预处理步骤：用于对原始数据进行预处理，首先将原始数据集进行数值化处理，然后对数值化后的数据进行归一化，最后将归一化后的数据集划分为训练集和测试集；

4、样本生成步骤：用于实现样本集的类别均衡，由改进变分自编码生成对抗网络(variational auto encoder generative adversarial network,vaegan)模型完成，改进的vaegan模型以基本vaegan模型为基础，引入了归一化自注意力机制来辅助生成高质量样本；同时，引入cramer距离与利用梯度惩罚，在生成过程中将生成数据输入经预处理后的训练集训练好的深度神经网络分类器并观察输出值，根据输出参数的变化对改进vaegan的超参数进行调节；

5、入侵检测步骤：首先基于增强后的训练集对深度神经网络分类器重新进行训练；然后利用训练好的深度神经网络分类器对测试集进行入侵检测；最后基于准确率在内的相关评价指标对数据增强前后模型的分类效果进行对比分析。

6、进一步的，所述样本生成步骤中，基本vaegan模型由三个部分组成：编码器，生成器和判别器，编码器将真实样本映射到服从高斯分布的隐变量空间；生成器从隐空间采样完成数据的重构，这个过程对应vae模型；判别器学习真实样本与生成样本的差异，并将该差异传递给编码器和生成器，对生成过程进行对抗性训练，提高生成的样本骗过判别器的概率。

7、进一步的，传统vae模型的损失函数包含两个重要部分，第一个部分是kullback-leibler(kl)散度用于访问两个分布之间的距离，以使后验分布q(z∣x)尽可能接近预期分布；第二部分采用重构误差来计算原始数据样本与重构数据样本之间的相似度，具体如下：

8、

9、其中表示生成损失函数，lprior表示潜在损失函数，dkl表示kl散度，p(z)表示隐变量z的概率分布，z～n(0,1)表示隐变量z服从均值为0方差为1的高斯分布，e[·]表示求期望，p(x∣z)表示隐变量生成的数据的概率分布。

10、在基本vaegan模型中，vae的重构误差由gan判别器表示，可以表述为：

11、

12、其中disl(x)表示鉴别器第l层的隐藏表示。

13、同时，生成器利用从原始数据编码的潜在表示，而不是仅从随机噪声中采样；gan的损失对象表示为：

14、lgan＝log(d(x))+log(1-d(g(z)))+log(1-d(g(enc(x))))  (3)

15、其中d(g(z)表示判别器对隐变量z生成数据的判断，d(x)表示判别器对真实数据x的判断，d(g(enc(x)))表示判别器对真实数据x编码后生成数据的判断。

16、基本vaegan模型使用以下三重标准进行训练：

17、

18、进一步的，改进的vaegan模型在编码器、生成器和判别器中增加自注意力机制，步骤如下：

19、1.设输入的特征图为x，f与g分别为两个卷积操作，则f与g函数可以表示为：

20、f(x)＝wfx  (5)

21、g(x)＝wgx  (6)

22、其中wf和wg表示学习权重矩阵，实现方式为1×1的卷积。

23、2.让每一个特征向量沿着特征通道方向归一化，如下所示：

24、

25、

26、其中‖·‖2表示求l2-范数。

27、3.在计算注意力模块时，利用点积乘法计算特征间的相关度，通过线性变化转换像素值之后，直接计算两个特征向量的点积结果：

28、f(ft(x),g(x))＝norm(ft(x))昻orm(g(x))  (9)

29、4.计算每个特征之间的相关度来构成相关系数矩阵和每个特征与对应的相关系数间的加权平均值，并对结果进行归一化，并对结果进行归一化，得到自注意力矩阵：

30、sa＝softmax(norm(ft(x))昻orm(g(x)))  (10)

31、5.将计算好的自注意力矩阵与线性转换后的输入的特征图相乘，线性转换后的输入的特征图线性转换与公式5、6类似，都是乘以一个大小为1×1的卷积核，记该函数为h，最后与输入特征图相加，结果即为自注意力模块最终的输出结果：

32、y＝γsah(x)+x  (11)

33、其中γ表示初始值为0的可学习标量。

34、进一步的，所述改进的vaegan模型在判别器的损失函数计算过程中，使用cramer距离和利用梯度惩罚来进行评估，生成器通过生成不同的样本来最小化生成的样本和目标样本之间的能量距离，而判断器用于最大化这个能量距离，具体流程为：

35、1.假设存在真实样本xr～p和两个独立的生成样本xg,x′g～q，从真实数据和生成的数据分布之间随机采样，如下所示：

36、

37、其中∈表示服从(0,1)均匀分布的随机数。

38、2.根据能量距离，critic损失为：

39、f(x)＝||h(x)-h(x′g)||2-‖h(x)‖2  (13)

40、其中h(·)表示判决器的输入。

41、3.生成器的损失函数为：

42、lg＝||h(xr)-h(xg)||2+||h(xr)-h(x′g)2-||h(xg)-h(x′g)||2  (14)

43、4.计算代理生成器损失：

44、lsurrogate＝f(xr)-f(xg)  (15)

45、5.利用梯度惩罚实现lipschitz连续性，判断器的损失函数为：

46、

47、其中λ表示梯度惩罚系数，表示输入为时判别器的梯度值。

48、入侵检测部分首先基于增强后的训练集对深度神经网络分类器重新进行训练；进而利用该训练好的深度神经网络分类器对测试集进行入侵检测；最后基于准确率在内的相关评价指标对数据增强前后模型的分类效果进行对比分析。本发明的优点及有益效果如下：

49、1、本发明针对现有的机器学习方法往往只关注了整体检测率而忽视了各类别的检测率，由于数据样本的不平衡性，存在样本数量少的入侵类型检测率低的问题。为此，本发明首先通过预处理对原始数据进行数值化和归一化；然后利用改进的vaegan模型生成新的少数类数据样本，以平衡训练数据集；最后，利用平衡训练集对深度神经网络进行训练，将训练得到的深度神经网络用于入侵检测。(对应图1)

50、2、本发明针对现有基于生成对抗网络的入侵检测算法生成样本质量不好的问题。以基本vaegan模型为基础提出改进的vaegan模型，具体包括引入了归一化自注意力机制来辅助生成高质量样本。由于在计算特征之间相关度时，易受到噪声干扰，具体表现为：如果特征向量里某个值受到噪声干扰而突然变大或者变小，那么计算该向量与其他向量间的相关度时，结果就不准确。本发明引入的归一化的自注意力机制，在计算相关度前，将所有特征向量进行归一化，这样能够在一定程度上消除噪声的影响。

51、3、本发明针对现有基于生成对抗网络的入侵检测算法生成模型稳定性不高的问题。以基本vaegan模型为基础提出改进的vaegan模型，具体包括引入cramer距离与利用梯度惩罚，保证模型训练的稳定性。传统采用wasserstein距离训练时会产生有偏样本梯度，进而导致优化到错误最小值的问题。本发明采用cramer距离训练时可以无偏估计样本梯度，能够有效解决该问题。