一种攻击检测模型的训练方法及识别方法与流程

本发明涉及工业互联网安全，尤其是一种攻击检测模型的训练方法及识别方法。

背景技术：

1、随着智能电网和能源互联网建设的不断推进，高级持续性威胁（apt）攻击检测已成为保障智能电网和能源互联网安全的核心需求。

2、目前，相关技术通常是基于机器学习模型对智能电网和能源互联网中的apt攻击进行检测，但由于智能电网和能源互联网中的数据样本存在极度不平衡现象，该种方式训练得到的模型对属于少数类的攻击样本识别能力不足，apt攻击检测的准确性不尽人意。

3、因此，相关技术存在的问题还亟需解决和优化。

技术实现思路

1、本发明的目的在于至少一定程度上解决相关技术中存在的技术问题之一。

2、为此，本发明实施例的一个目的在于提供一种攻击检测方法及系统，其中，该方法可以有效提高apt攻击检测的准确性和鲁棒性。

3、为了达到上述技术目的，本技术实施例所采取的技术方案包括：

4、第一方面，本技术实施例提供了一种攻击检测模型的训练方法，包括：

5、获取网络流量样本集，所述网络流量样本集包括若干个多数类样本和少数类样本；

6、对所有所述多数类样本进行核边界感知欠采样，得到若干个欠采样样本；

7、根据所有所述欠采样样本和/或所述多数类样本，进行缺席过采样处理，得到若干个过采样样本；所述过采样样本用于表征概率密度值小于低概率阈值的空间采样样本，所述空间采样样本为所述欠采样样本或所述多数类样本对应的采样空间中的采样样本；

8、将所有所述欠采样样本、所述过采样样本和所述少数类样本输入至初始化的攻击检测模型中进行参数更新，得到训练好的攻击检测模型。

9、另外，根据本技术上述实施例的方法，还可以具有以下附加的技术特征：

10、进一步地，在本技术的一个实施例中，所述对所有所述多数类样本进行核边界感知欠采样，得到若干个欠采样样本，包括：

11、获取区域采样规则；

12、对所有所述多数类样本进行区域分类，得到边界样本区域、中间样本区域和核心样本区域；

13、根据所述区域采样规则，对所述边界样本区域、所述中间样本区域和所述核心样本区域进行规则采样，得到若干个所述欠采样样本。

14、进一步地，在本技术的一个实施例中，所述对所有所述多数类样本进行区域分类，得到边界样本区域、中间样本区域和核心样本区域，包括：

15、对所有所述多数类样本进行样本聚类，得到若干个样本簇，以及每个所述样本簇的第一分位数距离和第二分位数距离，所述第一分位数距离小于所述第二分位数距离；

16、对每个所述样本簇进行样本距离分析，得到每个所述样本簇的样本距离组；所述样本距离组包括若干个样本距离，所述样本距离用于表征对应的簇内样本到所述样本簇中心点的距离；

17、根据每个所述第一分位数距离、所述第二分位数距离和所述样本距离组，对对应的所述样本簇进行距离分类，得到所述边界样本区域、所述中间样本区域和所述核心样本区域。

18、进一步地，在本技术的一个实施例中，所述根据每个所述第一分位数距离、所述第二分位数距离和所述样本距离组，对对应的所述样本簇进行距离分类，得到所述边界样本区域、所述中间样本区域和所述核心样本区域，包括：

19、根据所述第一分位数距离和所述第二分位数距离，对所述样本距离进行比较，得到距离比较结果；

20、若所述距离比较结果为所述样本距离小于所述第一分位数距离，则将所述样本距离对应的簇内样本归属于所述核心样本区域；或者，若所述距离比较结果为所述样本距离大于或等于所述第一分位数距离，且所述样本距离小于或等于所述第二分位数距离，则将所述样本距离对应的簇内样本归属于所述中间样本区域；或者，若所述距离比较结果为所述样本距离大于所述第二分位数距离，则将所述样本距离对应的簇内样本归属于所述边界样本区域。

21、进一步地，在本技术的一个实施例中，所述根据所有所述欠采样样本和/或所述多数类样本，进行缺席过采样处理，得到若干个过采样样本，包括：

22、将所有所述欠采样样本输入至初始化的归一化流模型中进行模型训练，得到训练好的归一化流模型；

23、将所有缺席样本输入至所述训练好的归一化流模型中进行概率密度估计，得到每个所述缺席样本的概率密度值，所述缺席样本为所述欠采样样本或所述多数类样本；

24、根据所有所述缺席样本的概率密度值，对所有所述缺席样本进行空间采样，得到若干个所述过采样样本。

25、进一步地，在本技术的一个实施例中，所述根据所有所述缺席样本的概率密度值，对所有所述缺席样本进行空间采样，得到若干个所述过采样样本，包括：

26、根据所有所述缺席样本的概率密度值，确定所述低概率阈值；

27、对所有所述缺席样本进行空间构建，得到采样空间；

28、根据所述低概率阈值，对所述采样空间进行空间采样，得到若干个所述过采样样本。

29、进一步地，在本技术实施例中，所述根据所述低概率阈值，对所述采样空间进行空间采样，得到若干个所述过采样样本，包括：

30、获取目标样本数量阈值；

31、对所述采样空间进行随机采样，得到所述空间采样样本；

32、将所述空间采样样本输入至所述训练好的归一化流模型中进行概率密度估计，得到所述空间采样样本的概率密度值；

33、若所述空间采样样本的概率密度值小于所述低概率阈值，则将所述空间采样样本确定为所述过采样样本，然后返回执行对所述采样空间进行随机采样，得到所述空间采样样本的步骤，直至所述过采样样本的总数量大于或等于所述目标样本数量阈值。

34、第二方面，本技术实施例提供一种攻击检测模型的识别方法，包括：

35、获取待攻击检测的网络流量数据；

36、将所述网络流量数据输入至上述的训练好的攻击检测模型中进行攻击检测，得到攻击检测结果。

37、第三方面，本技术实施例提供一种攻击检测系统，包括：

38、第一处理单元，用于获取网络流量样本集，所述网络流量样本集包括若干个多数类样本和少数类样本；

39、第二处理单元，用于对所有所述多数类样本进行核边界感知欠采样，得到若干个欠采样样本；

40、第三处理单元，用于根据所有所述欠采样样本和/或所述多数类样本，进行缺席过采样处理，得到若干个过采样样本；所述过采样样本用于表征概率密度值小于低概率阈值的空间采样样本，所述空间采样样本为所述欠采样样本或所述多数类样本对应的采样空间中的采样样本；

41、第四处理单元，用于将所有所述欠采样样本、所述过采样样本和所述少数类样本输入至初始化的攻击检测模型中进行参数更新，得到训练好的攻击检测模型。

42、第四方面，本技术实施例还提供了一种电子设备，包括：

43、至少一个处理器；

44、至少一个存储器，用于存储至少一个程序；

45、当所述至少一个程序被所述至少一个处理器执行，使得所述至少一个处理器实现上述的方法。

46、第五方面，本技术实施例还提供了一种计算机可读存储介质，其中存储有处理器可执行的程序，所述处理器可执行的程序在由所述处理器执行时用于实现上述的方法。

47、第六方面，本技术实施例还提供了一种计算机程序产品，该计算机程序产品包括计算机程序，该计算机程序存储在计算机可读存介质中，电子设备的处理器从计算机可读存储介质读取该计算机程序，处理器执行该计算机程序，使得该电子设备执行实现前面所述的方法。

48、本技术的优点和有益效果将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本技术的实践了解到：

49、本技术实施例所公开的一种攻击检测模型的训练方法及识别方法，其中，该训练方法获取网络流量样本集，所述网络流量样本集包括若干个多数类样本和少数类样本；对所有所述多数类样本进行核边界感知欠采样，得到若干个欠采样样本；根据所有所述欠采样样本和/或所述多数类样本，进行缺席过采样处理，得到若干个过采样样本；所述过采样样本用于表征概率密度值小于低概率阈值的空间采样样本，所述空间采样样本为所述欠采样样本或所述多数类样本对应的采样空间中的采样样本； 将所有所述欠采样样本、所述过采样样本和所述少数类样本输入至初始化的攻击检测模型中进行参数更新，得到训练好的攻击检测模型。该方法基于通过核边界感知欠采样得到的欠采样样本和/或多数类样本，进行缺席过采样处理以得到过采样样本，并通过过采样样本、欠采样样本和少数类样本的样本集合训练攻击检测模型，其可以实现样本数据的均衡化以提高模型对属于少数类的攻击样本识别能力，从而有利于提高模型对apt攻击的检测准确性。