一种面向专用计算机网络的攻击小样本生成及入侵自主感知方法

本发明属于智能家居控制面板，尤其是一种面向专用计算机网络的攻击小样本生成及入侵自主感知方法。

背景技术：

1、随着信息技术的快速发展，计算机网络已渗透至国家安全、关键基础设施运行及社会生产生活的各个领域，其安全防护能力直接关系到经济稳定与社会秩序。在网络安全防护体系中，入侵检测作为主动发现威胁的核心技术手段，承担着识别网络异常、预警潜在攻击的关键职责。按照检测原理划分，入侵检测技术主要包括基于特征匹配的误用检测和基于统计建模的异常检测两大类别；按照数据来源划分，则涵盖网络流量分析、主机日志审计及终端行为监测等多种方式。上述检测技术的有效运作，依赖于对已知攻击模式或正常行为基准的准确建模，为网络安全防护提供了重要的技术支撑。

2、其中，针对专用计算机网络的入侵检测技术因其应用场景的特殊性而受到广泛关注。专用计算机网络通常指服务于特定行业或领域的专有网络系统，如工业控制网络、军事通信网络、金融交易网络等，其流量模式相对稳定、协议规范相对明确，为入侵检测提供了较为理想的研究环境。现有针对专用网络的入侵检测方案多沿用通用网络的检测框架，通过采集网络流量数据、提取统计特征或协议特征、构建分类模型的方式，实现对已知攻击类型的识别与预警。

3、现有公开的专利技术文献如cn107277070a、cn108924129a等均聚焦于入侵检测系统的被动检测与防御机制，采用特征匹配或统计异常检测方法识别已知攻击行为。这些技术方案在应对已知攻击类型时表现出较高的检测准确率，但在面对新型攻击或变种攻击时往往表现出明显的局限性。

4、现有入侵检测系统普遍依赖于已知攻击特征库或预训练模型，其检测能力受限于特征库完备程度和模型训练数据覆盖范围，一旦遭遇特征库未曾收录的新型攻击或经过伪装处理的变种攻击，检测系统便难以有效识别。此外，在专用网络场景下，由于网络环境的封闭性和特殊性，获取足量且多样的真实攻击样本用于模型训练面临极大困难，而依赖少量已知样本进行学习的传统方法又难以支撑高质量检测模型的构建。

技术实现思路

1、本发明的目的在于提供一种面向专用计算机网络的攻击小样本生成及入侵自主感知方法，以解决背景技术中提出的问题。

2、为实现上述目的，本发明提供如下技术方案：一种面向专用计算机网络的攻击小样本生成及入侵自主感知方法，包括以下步骤：

3、步骤1：采集专用网络流量数据，通过流量采集模块实时获取专用网络的原始流量数据，并进行数据清洗和格式标准化处理；

4、步骤2进行多模态流量特征提取与融合，分别提取网络层特征、应用层特征和安全日志特征，构建高维多模态特征空间，其中网络层特征包括包长度统计特征、协议类型分布特征、端口统计特征和流量时序统计特征，应用层特征包括请求内容特征、域名查询模式和会话统计特征，安全日志特征包括告警记录、会话状态和事件时序特征；

5、步骤3执行专用网络拓扑自适应学习，在流量采集与分析模块中嵌入拓扑自适应学习算法，自动检测网络拓扑变化，动态更新网络特征模型，确保特征提取的准确性和时效性；

6、步骤4生成攻击小样本，基于条件生成对抗网络或变分自编码器，以专用网络的正常流量特征作为条件输入，通过生成器-判别器对抗训练机制或潜在空间重构机制，生成具有攻击语义但区别于已知攻击模式的合成攻击样本；

7、步骤5进行对抗性测试评估，构建对抗性评估框架，将生成的合成攻击样本输入现有入侵检测系统，根据检测系统的识别结果判定样本有效性，筛选出能够绕过检测的高质量攻击小样本；

8、步骤6执行多标签自动标注，为生成的合成攻击样本自动生成分类标签，支持攻击类型、威胁等级和攻击阶段的多维度标签标注；

9、步骤7实现生成模型增量更新，设计支持增量学习的生成模型更新架构，当检测到新型攻击或网络环境变化时，对模型进行增量训练，无需全量重训练。

10、优选的，所述步骤1中流量采集模块采用被动式流量镜像方式获取网络数据，流量采集模块部署于专用网络的汇聚交换机或核心交换机的旁路监听端口，流量采集模块的网络接口支持千兆以太网或万兆以太网规格，数据清洗过程包括去除重复报文、校正时间戳和处理格式异常，数据存储采用分布式时序数据库。

11、优选的，所述步骤2中网络层特征提取包括数据包长度均值、数据包长度标准差、数据包长度最大值、数据包长度最小值，协议类型分布比例，源端口统计特征和目的端口统计特征，单位时间内流量速率特征，连接持续时间特征；应用层特征提取针对http、dns、smtp、ftp等专用网络常见协议进行深度解析，提取请求方法分布、响应码分布、域名查询频率和文件传输大小分布。

12、优选的，所述步骤2中安全日志特征与网络流量特征采用基于时间窗口的对齐策略，时间窗口大小为预设的时间窗口参数，对齐后的多模态特征空间采用特征拼接方式实现融合，具体做法是将网络层特征向量、应用层特征向量和安全日志特征向量在特征维度上进行直接拼接，形成统一的高维特征向量表示。

13、优选的，所述步骤3中拓扑自适应学习算法包括网络拓扑发现模块、拓扑变化检测模块和特征模型更新模块，网络拓扑发现模块基于设备发现协议和流量分析结果构建网络拓扑图，拓扑发现协议包括arp协议扫描、lldp协议链路发现和icmp协议探测，拓扑变化检测模块通过周期性拓扑探测检测设备增减和链路变更，当检测到拓扑变化时触发特征模型更新操作。

14、优选的，所述步骤4中条件生成对抗网络包括生成器和判别器两个深度神经网络模块，生成器输入为正常流量特征的随机噪声向量和条件向量，输出为合成攻击样本特征，判别器用于区分真实攻击样本与生成样本，生成器包含多个隐藏层，隐藏层采用全连接层结构并配置批归一化层，判别器采用与生成器对称的深度神经网络架构，生成样本数量与真实样本比例控制在预设的比例范围内。

15、优选的，所述步骤4中变分自编码器采用编码器-解码器结构，编码器将正常流量特征映射至潜在空间，编码器包含多个全连接隐藏层，编码器的潜在空间映射层输出均值向量和标准差向量，潜在空间维度为预设的潜在空间维度，变分自编码器通过重参数化技术实现随机采样，解码器从潜在空间采样点重构生成攻击样本特征，损失函数包含重构损失和潜在空间分布约束。

16、优选的，所述步骤5中对抗性评估框架集成多种现有入侵检测系统作为评估基准，评估基准涵盖基于特征匹配的检测系统、基于统计异常检测的检测系统和基于机器学习分类的检测系统，合成攻击样本分别输入各评估基准进行检测，检测结果分为绕过、成功识别和不确定三类，样本有效性判定采用多数投票机制，当超过半数评估基准未能识别时判定为高质量样本。

17、优选的，所述步骤6中多标签自动标注模块为每个生成样本标注攻击类型标签、威胁等级标签和攻击阶段标签，攻击类型标签包括扫描类、入侵类、拒绝服务类和数据窃取类，威胁等级标签包括低危、中危、高危和严重，攻击阶段标签包括侦察阶段、武器化阶段、投递阶段和利用阶段，标签向量与样本特征数据关联存储于样本库中，支持多维检索功能。

18、优选的，所述步骤7中增量更新机制采用经验回放策略保留历史样本的子集，样本保留比例为预设的第一保留比例，增量训练时将新生成样本与保留的历史样本混合训练，学习率调整为预设的学习率调整比例，采用弹性权重固化技术保护重要参数不被覆盖，弹性权重固化技术基于参数重要性度量确定每个参数的保护程度。

19、与现有技术相比，本发明的技术效果和优点：

20、该面向专用计算机网络的攻击小样本生成及入侵自主感知方法，通过条件生成对抗网络或变分自编码器技术，首次实现攻击样本的主动生成，突破了现有技术依赖已知攻击特征库的限制，为专用网络环境下的新型攻击研究提供了数据支撑，有效解决了真实攻击样本获取困难的技术难题；

21、通过多模态流量特征融合策略，综合网络层、应用层和安全日志多维信息，构建高维特征空间，显著提升生成样本的真实性和复杂性，使生成样本与真实攻击流量的特征分布一致性达到高度一致；

22、通过对抗性测试评估框架，将生成样本输入多种现有入侵检测系统进行验证，采用多数投票机制自动筛选高质量攻击样本，筛选准确率达到显著水平，实现了评估过程的自动化和量化；

23、通过专用网络拓扑自适应学习机制，自动检测网络拓扑变化并动态更新特征模型，确保系统在网络环境变化时仍能保持准确的特征提取能力，特征模型更新响应时间满足预设时效性要求；

24、通过攻击类型多标签自动标注模块，为每个生成样本自动标注攻击类型、威胁等级、攻击阶段等多维度标签，减少人工标注工作量，标注效率得到显著提升，显著提升样本库的可用性。