CN119420581A 网络异常行为特征检测方法、设备、计算机可读存储介质 （中国星网网络应用研究院有限公司）

提供一种网络异常行为特征检测方法、设网设备的网络行为数据输入轨迹群体异常检测获得联网设备之间数据传输过程中的非异常行可以提高联网设备之间网络异常行为检测的准2构建基于注意力的轨迹群体异常检测模型，构建异常将联网设备的网络行为数据输入所述轨迹群体异常检测模型，获将所述群体轨迹初步异常检测数据输入所述异常行为检测模型，将所述非异常行为数据输入所述正态性和异常性建模模型，获所述将联网设备的网络行为数据输入所述轨迹群体异常检测模型，获得利用所述注意力异常得分模块对所述注意力群体异常检测数据进行注意力矩阵加权利用所述Transformer编码器层处理所述矩阵加权数据，从而获得所述群体轨迹初步3.如权利要求1或2所述的方法，其特征在于，4.如权利要求1或2所述的方法，其特征在于，所述将所述输入所述异常行为检测模型，获得所述联网设备之间数据传输过程中的非异常行为数据，从所述群体轨迹初步异常检测数据中检测出异常行过滤掉所述群体轨迹初步异常检测数据中的所述异将所述群体轨迹初步异常检测数据中剩余的数据作为所述非异跟踪收集所述群体轨迹初步异常检测数据并3根据交互树识别出所述异常行为数据对应的异常联网设备联网设备的测量或读数触发的相互连接的事件序8.如权利要求1或2所述的方法，其特征在于9.如权利要求1或2所述的方法，其特征在于，所述将根据预设的决策树集合对所述非异常行为数据根据密度评分机制估计每棵决策树的叶子节点的所述目标属性的密至少一个存储器，其上存储指令，所述指令当被所述至少45[0004]目前可以采用机器学习方法、深度学习方法来进行联网设备的网络异常行为检体轨迹初步异常检测数据；将所述群体轨迹初步异常检测数据输入所述异常行为检测模[0009]在第四方面，提供了一种存储有机器可执行指令的非瞬时计算机可读存储介6[0013]通过在附图中对本公开的一些实施例的更详细的描述，本公开的上述和其它目图2示出了根据本公开的一些实施例的基于无监督学习的网络异常行为特征检测图3示出了根据本公开的一些实施例的基于注意力的轨迹群体异常检测模型的示图5示出了根据本公开的一些实施例的无监督异常检测中的正态性和异常性建模7 终端设备和网络设备之间的通信可以根据任何适当的一代通信协议来执行，包括但不限于可以应用于卫星通信系统中。考虑到通信中的快速发展，当然也将存在未来类型的通信技[0023]卫星上的联网设备可以指作为卫星载荷的基站(BS)或接入点(AP)，例如节点B [0025]尽管本文所述的功能可以在各种示例性实施例中在固定和/或无线网络节点中执8用户设备装置可以适当地具有与固定和/或无线网络节点相关的所述的相应能力。用户设以通过向用户设备装置提供被配置为从这些功能/节点的角度使用户设备装置执行的软件[0027]群体异常检测(GroupAnomalyDetection,GAD)是许多学科和领域的重要任方法是递归神经网络，如LSTMs和GRUs（LSTM的英文全称是LongShort_TermMemorynetwork，GRU的英文全称是GatedRe器的形式参与对图像执行GAD。部分研究提供了不同的基于机器学习的算法来检测多个轨检测模型。这是一种基于BERT（BidirectionalEncoderRepresentationsfrom9[0043]在此先对本公开的联网设备的网络行为数据进行说明，上述的步骤S110至步骤[0044]在一些实施例中，将联网设备的网络行为数据输入轨迹[0048]图2示出了根据本公开的一些实施例的基于无监督学习的网络异常行为特征检测为特征。常见的统计信息包括平均值、方差、最大值、最小值、峰度（kurtosis）、偏度述网络流量行为的方式。[0064]常用的两种方法是最小_最大归一化和标准化。最小_最大归一化（Min_Max果。因此，可以使用降维技术来减少数据维度。常用的降维方法有主成分分析（PCA，PrincipalComponentAnalysis）和线性判别分析（LDA，LinearDiscriminantAnalysis它们能够保留大部分原始数据信息的同时减少数据维度。产生的异常行为数据。本公开构建的无监督异常检测中的正态性和异常性建模模型AD_[0069]下面先统一介绍本公开的基于注意力的轨迹群体异常检测模型11（GADFormer[0071]图3示出了根据本公开的一些实施例的基于注意力的轨迹群体异常检测模型的示[0072]2.基于BERT的Transformer编码器模型与现有的深度生成模型的GAD特征化和聚合函数不同，所使用的深度双向GADFormer的特征化函数将群组G的群组成员q之间的双向关系（轨迹点p或GADFormer的聚合函数不像对于正常群组表示ccr)的分布进行近似，而是利用习设置下定义，并假设大多数数据集实例为正常。因此，可以将二元交叉熵损失LBCE为大多数正常群组概率设置固定辅助目标概率mh=0，以确保对其的预测是确定的(型，返回其分组异常概率，并使用它来计算二元交叉熵损失L和相关的分组异常得分为所使用的GADFormer模型引入一个块注意力异常得分（BAS，BlockAttentionAnomaly到的两个投影组嵌入它们的相似性权重了一对组成员在不同头部h中的双向关系的重要迹路径模式而它与第三个投影组成员嵌入连接后的点积提供了整体重要性加权的常组注意力矩阵平均值之间的距离以及正常组注意力矩阵平均值与异常组注意力矩[0089]考虑到在四个GADFormer编码器块层中轨迹BAS的以下示[0091]参考图3所示，在一些实施例中，轨迹群体异常检测模型11具有基于BERT的[0094]利用注意力异常得分模块对注意力群体异常检测数据进[0095]利用Transformer编码器层处理矩阵加权数据，从而获得群体轨迹初步异常检测数据的分组轨迹并返回分组轨迹的异常概率；根据异常概率计算二元交叉熵损失L和群体轨迹初步异常检测数据jim。每个数据包的时间戳。交换数据包的头部用于识别模型设备之间的通信模式，并为每个模型设备保留事件日志。事件是本地网络中两个或多个具有相互依赖关系的物联网模型设备之间的一系[0115]有研究表明，每个事件具有根据模型设备和制造商而异事件相关的信息，例如触发事件的模型设备以及由于该特定事件而更改了哪个设备的状[0119]可以将模型设备之间的交互定义为物联网环境中一个模型设备由另一个模型设从群体轨迹初步异常检测数据中检测出异常行TCP标志类型、每个事件的时间跨度和时间跨度内数据包的传输方向中的一种或任意种的设备的测量或读数触发的相互连接的事件序列。[0140]下面先统一介绍本公开的无监督异常检测中的正态性和异常性建模模型（AD_MERCS以便于理解后文所说的技术手段。[0142]图5示出了根据本公开的一些实施例的无监督异常检测中的正态性和异常性建模选择该子空间是为了使其中的信息在最大程度上预测目标；也即检测到了最强大的“模并介绍了本公开确保AD_MERCS能够识别异常行为成为规范性上下文说明了基于密度的评分在目标值双峰分布上节点的纯度可能仍然超过父节点的纯度。如果从父节点到一个子节点的纯度降低足够大，调整各个实例的异常分数：当一个实例在正常上下文中看起来异常或者属于异常上下文常性以及它在该上下文中自身的异常性。它们本质上是1（如果上下文是异常的）和[0176]基于注意力的轨迹群体异常检测模型能够有效地识别出群体行为中的异常轨通过关注个体之间的相互作用权重，该模型可以捕捉到个体对整个群体行为的贡献程度，的框架是一种用于监测和识别联网设备之间行为的方法。该框架基于设备之间的互连关[0179]检测互连物联网模型设备之间异常的框架能够帮助监测和识别物联网环境中的常见的方法包括高斯混合模型(GMM，GaussianMixtureModel)、核密度估计(KDE，KernelDensityEstimation)或者其他概率分布模型。这些模型会根据训练数据学习正[0182]无监督异常检测中的正态性和异常性建模框架可以帮助[0183]本公开还提出一种网络异常行为特征检测设备，该设备一个或多个处理器被配置为执行如前文所说的网络异[0186]处理器610可以是适合于本地技术网络的任何类型，并且作为非限制性例子可以[0187]存储器620可以包括一个或多个非易失性存储器和一个或多个易失性存储器。非[0188]计算机程序630包括由相关处理器610执行的计算机可执行指令。程序630可以存讨论的公开的任何过程。本公开的实施例也可以通过硬件或通过软件和硬件的组合来实[0191]本公开还提供有形地存储在非瞬时计算机可读存储介质上的至少一个计算机程[0192]用于执行本公开的方法的程序代码可以用一种或多种编程语言的任意组合来编能/操作得以实现。程序代码可以作为独立的软件包完全在机器上执行，部分在机器上执[0193]在本公开的上下文中，计算机程序代码或相关数据可以当组合。计算机可读存储介质的更具体的例子包括具有一个或多个导线的电连接、便携式的任何适当组合。特征的描述。在单独实施例的上下文中描述的某些特征也可以在单个实施例中组合