【免费】基于CNN和LSTM深度网络的伪装用户入侵检测1_深度学习解决区域入侵资源-CSDN文库

需积分: 0 196 浏览量 2022-08-04 11:51:10 上传评论收藏 2.13MB PDF 举报

资源详情

资源评论

计算机科学与探索

www.ceaj.org

基于 C NN 和 LSTM 深度网络的伪装用户入侵检测

王毅

，冯小年

，钱铁云

，朱辉

，周静

1. 武汉大学计算机学院，武汉 430072

2. 中国电力财务有限公司，北京 100005

3. 北京汇通金财信息科技有限公司，北京 100094

CNN and LSTM Deep Network Based Intrusion Detection for M alicious Users

􀆽

WANG Yi

, FENG Xiaonian

, QI AN Tieyun

, ZHU H ui

, ZHOU Jing

1. School of Computer Science, Wuha n University, Wuhan 430072, China

2. China Power Finance Co ., Ltd., Beijing 100005, China

3. Beijing Huitong Financial Information Technology Co., L td., Beijing 1 00094, China

+ Corresponding author: E-ma il: qty@whu.edu.cn

WANG Yi, FENG Xiaonian, QIAN Tieyun, et al. CNN and LSTM d eep network based intrusion de tection for

malicious users. Journal of Frontiers of Computer Science an d Technology, 2018, 12(4)：575-585.

Abstract: The intrusion detection of internal malicious users, as an active securi ty protection technology, has been a

hot rese arch topic in recent years. Existing methods are unable to accurat ely model the users􀆳 be havior. Thi s paper

proposes a no vel CCNN-LSTM met hod which combines the convolution neural network (CNN) and lon g short-term

me mory (LSTM) neural network for camouflage intrusion detection. The basic idea is to use convolution neural net-

wo rk to capture the loca l correlation in users􀆳 activity data, and use l ong short-term memory neural network to deal

wit h sequential relationship and long-range dependency. The proposed method can automatically learn the represen-

tation of data without artificial extraction of complex features, and can also scale to large volume of high dimensional

data. The experimental results show that the proposed me thod has hig her detecti on rate and lower detection co st

than a number of baselines.

Ke y wo rds: intrusion detection of malicious users; depth neural network; convolution neural network; long and

short-term memory a rtificial neura l network

* The National Natural Science Foundation of China under Grant No. 61572376 (国家自然科学基金).

Received 2017-07, Accepted 2017-11.

CN KI 网络出版: 2017-11-28, http://kns.cnki.net/kcms/d etail/11.5602. TP.20171128.0823.002.html

ISS N 1673-9418 CO DEN JKYTA8

Journal of Front iers of Computer Science and Technology

1673-9418/2018/12(04)-0575-11

doi: 10.3778/j.issn. 1673 -9418.1707049

E-mail: fcst@vip.1 63.com

http://www.ceaj.o rg

Tel: +86-10-89056056

计算机科学与探索

www.ceaj.org

Journal of Frontiers of Computer Sc ience and Technology 计算机科学与探索 2018, 12(4)

1 引言

互联网+时代，信息网络已深入国民经济的各个

环节，人、物及商业已通过信息网络逐步互联，网络

安全问题也日渐凸显出来。从组织信息系统遭受的

直接攻击来源看，可将入侵分为外部入侵和内部用

户伪装入侵。内部用户伪装入侵是指未授权用户通

过伪装成内部合法用户进入系统，访问、修改关键数

据或执行其他非法操作的行为

[1]

。

根据建模用户行为模式所侧重的信息（频率信

息、相关信息、转移信息）

[2]

不同，目前的伪装入侵检

测方法分为如下 3 种类型：（1）基于用户行为频率信

息的伪装入侵检测，如文献[3-5 ]，这类方法比较简

单、高效，但其忽略了行为序列的时序性，因而其检

测率往往较低。（2）基于用户行为相关信息的伪装入

侵检测，如文献[6]通过 n-gram 模型考虑了相邻行为

间相关信息（局部强相关性），文献[7-8]同时考虑了

相邻行为和不相邻行为这两类相关信息。总体来

说，这类方法能较好捕获行为序列的局部强相关性

以及行为的长程依赖性，但不能准确捕获整个行为

序列的时序性，因而其建模用户行为模式的能力有

限。（3）基于用户行为转移信息的伪装入侵检测，如

文献[1,9-11]，这类方法能较好地捕获行为序列的时

序信息，但未能兼顾行为的长程依赖性，故建模某些

复杂且有长程依赖关系的行为序列时也捉襟见肘。

用户伪装入侵检测关键技术在于如何有效地进

行用户行为模式的建模，虽然已有的方法就其用户

行为建模能力相比早期的伪装入侵检测方法有较大

提升，但面对海量网络数据及复杂高维入侵行为特

征等安全挑战时，传统检测技术存在建模能力不足

及“维数灾难”等问题。而深度学习运用了分层次抽

象思想，能学习非常复杂的函数，能更好地应对大量

的高维复杂数据，同时有着更高的建模能力。在深

度学习的各种框架中，卷积神经网络（convo lutio n

neural network，CNN）需要的参数更少，非常适合处

理具有统计平稳性和局部关联性的数据；长短期记

忆（long short- term memory，LSTM）神经网络被专门

设计用于学习具有长依赖关系的时间序列数据，在

学习更高级别特征序列中的长程依赖性和时序性上

有着很大的优势。因此，本文就内部用户伪装入侵

检测提出了一种结合卷积和长短期记忆的统一网络

框架（uni fied model combin ed convolution neural net-

wo rk with long short- term memory，CCNN-LSTM）的

内部用户伪装入侵检测方法，并进行了大量实验和

详细的实验分析。

本文组织结构如下：第 2 章阐述了 CCNN-LSTM

网络结构的详细设计和 C CNN-LSTM 模型学习，并

提出了一种新的负样本采集方法；第 3 章阐述了基于

CCNN-LSTM 伪装入侵检测的具体流程；第 4 章通过

实验对本文方法进行评估；第 5 章总结全文并展望

未来。

2 CCNN-LS TM 模型

2.1 CCNN-LSTM 网络结构

2.1.1 问题特征

企业或组织内部常常通过行为监控和收集器进

行用户行为的搜集，这些行为按时间段进行截取，便

可形成行为流。用户行为流往往具有局部强关联

性、长程依赖性以及时序性等。以 Shell 命令流为例，

摘要：用户伪装入侵检测技术作为一种主动式安全防护技术已成为当前的研究热点。现有的用户伪装入侵检

测技术存在难以准确建模用户行为模式的缺陷。利用卷积神经网络（convolution neural network，CNN）处理局

部关联性数据和特征提取的优势，以及长短期记忆（long short-term memory，LSTM）神经网络捕获数据时序性

和长程依赖性的优势，设计了一种结合卷积和长短期记忆的深度神经网络（CCNN-LSTM）用于伪装入侵检

测。该方法具有较强的学习能力，能自动学习数据的表征而无需人工提取复杂特征，在面对复杂高维的海量数

据时具有较强的潜力。实验结果表明，该方法具有更高的检测率及更低的检测代价，其性能胜过多个基线系统。

关键词：伪装用户入侵检测；深度神经网络；卷积神经网络；长短期记忆人工神经网络

文献标志码：A 中图分类号：TP311

576

计算机科学与探索

www.ceaj.org

王毅等：基于 CNN 和 LSTM 深度网络的伪装用户入侵检测

对这 3 种特性进行阐述：（1）用户的 Shell 命令流中往

往有很多局部关联很强的命令块，如“cd ls cat”、“gdb

gcc make”等。可以从上述示例发现前一个命令块是

用来查看某个文件的，而后者是用来编译某份 C++源

码的。“查看文件”和“编译 C++源码”等用户行为，在

系统中具体执行时，往往需要分解为更多的子行为，

并由子行为组合而成。从上述观察，可以推断出：用

户的抽象行为往往由 Shell 命令的组合来实现，这正

是 Shell 命令流中很多命令有较强的局部关联性的原

因。（2）用户的 Shell 命令流中某些命令往往和其跨度

较远的命令具有很强的关联性，如“login、x…x、log-

out ”和“open、x…x、close”等，这类似于自然语言处理

中的长程依赖性。（3）Shell 流具有很强的时序性，这

往往体现了用户的行为习惯。

卷积神经网络是一种分层的计算模型，随着网

络层数的增加其可提取越来越复杂抽象的模式。

CNN 典型架构为 Input➝Conv➝Pool➝FullCon，该架

构融合了局部感受野、共享权重以及空间或时间子

采样这 3 种思想。这样的架构使得 CNN 非常适合处

理具有统计平稳性和局部关联性的数据，并使它对

平移、缩放、倾斜等具有高度的不变形特性。长短期

记忆是一种时间递归神经网络（recurrent neur al net-

wo rk，RNN）。它与 RNN 的区别主要在于它在算法

中加入了一个判断信息有用与否的“处理器”，这个

处理器作用的结构被称为 cell。一个 cell 中被放置了

3 扇门，分别叫作输入门、遗忘门和输出门。一个信

息进入 LSTM 的网络中，可以根据规则来判断是否有

用。只有符合算法认证的信息才会留下，不符的信

息则通过遗忘门被遗忘，在反复运算下解决神经网

络中长期存在的问题。因此在卷积和池化层之上选

择 LSTM 可学习更高级别特征序列中的长程依赖性

和时序性。

2.1.2 CCNN-LSTM 具体结构

基于上述观察和分析，本文结合深度神经网络，

设计了一个如图 1 所示的 CCNN-LSTM 网络。

首先使用一个卷积层对 Shell 流进行处理，接着

使用基于块的最大池化层

[12]

进行局部重要特征的挑

选，然后使用 LSTM 层捕获数据的时序性和长程依赖

性，最后使用 sigmoid 激活的全连接层进行正常概率

计算。下面将对该网络各层的设计做详细阐述。

嵌入表示查询层存储了一个各命令的嵌入表

，当该网络面对一个命令序列

s =[c

⋯c

]

时，其中

∈ ℝ

× 1

表示命令

的嵌入表示，嵌入表示查询层即

对每一个命令

，在

中查询其嵌入表示。若有命

令未曾出现在训练命令集中，即

∉ C，

直接取查询表

中第一个位置的嵌入表示

；反之，则取对应命令

的嵌入表示

。

经过上述处理后，原始命令 token 的 id

序列变成了相应的命令嵌入表示序列

=[v

…v

]

。相比其他的命令表示（如 one-hot），命令嵌

入表示具有低维稠密、计算高效的优势。

卷积层对命令嵌入表示序列

进行卷积操作。

具体而言，卷积层设置多个卷积核 W ∈ ℝ

× d

，每个卷

积核都对窗口

中的特征进行概述并且产生一个新

的特征。对于窗口

中的命令嵌入表示

i:i + l

- 1

，一个

卷积核

（

1 ≤ l ≤ L

，其中

表示该卷积层卷积核的

数目）按式（1）产生新的特征

：

= f (W

∙V

i:i + l

- 1

+ b

)

（1）

其中，

是卷积层使用的非线性激活函数（ReLU）；

∈ ℝ

× d

是该层的第 l 个卷积核；b

是该卷积核的偏

置项；V

i:i + l

- 1

∈ ℝ

× l

是

, v

i + 1

,…,v

i + l

- 1

堆叠而成的矩

Fig .1 CCNN-LSTM network structure

图 1 CCNN-LSTM 网络结构示意图

577

剩余10页未读，继续阅读

评论收藏

内容反馈

基于CNN和LSTM深度网络的伪装用户入侵检测1

评论0

最新资源

基于CNN和LSTM深度网络的伪装用户入侵检测1

评论0

最新资源

相关推荐

基于CNN与LSTM相结合的恶意域名检测模型.docx

Anomaly-Detection-KDD99-CNNLSTM:使用机器学习和深度学习的入侵检测系统

基于神经网络和长短期记忆网络的网络入侵检测

基于CNN-BiLSTM与三支决策的入侵检测方法.docx

基于CNN和SVM的报文入侵检测方法

kddcup 数据两层CNN入侵检测

CNN处理kdd99数据集（tensorflow实现）

基于CNN-LSTM融合网络的溢流早期预测深度学习方法.pdf

基于CNN+LSTM的网络流量检测系统python源码(课设项目).zip

MATLAB实现CNN-LSTM神经网络多输入回归预测（完整源码和数据）

基于CNN和双向LSTM融合的实体关系抽取

LCTFP：基于 CNN 和 LSTM 的高速公路交通流量预测模型(python代码)

基于CNN和LSTM的睡眠呼吸暂停检测算法.docx

基于CNN、LSTM 和SAE 深度学习方法的流量数据分类（Python完整源码和数据）

cnn+lstm+attention对时序数据进行预测

基于鲸鱼算法(WOA)优化卷积神经网络-长短期记忆网络(CNN-LSTM)分类预测（Matlab完整源码和数据）

CNN-LSTM Matlab源码，包括原数据

基于CNN和LSTM的流量分析识别系统设计与实现源码+训练好的模型+PDF报告.zip

Matlab实现基于BO-CNN-LSTM贝叶斯优化卷积神经网络-长短期记忆网络时间序列预测（完整程序和数据）

基于torch实现cnn+lstm+attention 模型时间序列预测 代码模板 通用

基于CNN+LSTM实现的网络流量检测系统python源码(课设项目)+文档说明

lstm-char-cnn, 基于CNN的LSTM语言模型.zip

人工智能课程设计-基于cnn-lstm的轴承故障诊断python源码(带数据+训练好的模型+详细代码注释+说明).zip

基于CNN+LSTM时空神经网络的在线流量分类模型源码+全部数据+PDF文档.zip

最新版ISO/IEC 27001:2022、ISO 27002:2022中英文合集

Goby红队版-win-x64-2.4.7版本

Chrome Header Editor 插件

ISO SAE 21434-2021 中文版.pdf

基于torch实现cnn+lstm+attention 模型时间序列预测代码模板通用