特許 6534712 ネットワーク侵入検出方法及び装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6534712

(24)【登録日】2019年6月7日

(45)【発行日】2019年6月26日

(54)【発明の名称】ネットワーク侵入検出方法及び装置

(51)【国際特許分類】

   G06F 21/55 20130101AFI20190617BHJP

   H04L 12/70 20130101ALI20190617BHJP

   G06N 3/04 20060101ALI20190617BHJP

   G06N 3/08 20060101ALI20190617BHJP

【ＦＩ】

   G06F21/55

   H04L12/70 100Z

   G06N3/04

   G06N3/08

【請求項の数】10

【全頁数】15

(21)【出願番号】特願2017-172352(P2017-172352)

(22)【出願日】2017年9月7日

(65)【公開番号】特開2018-67304(P2018-67304A)

(43)【公開日】2018年4月26日

【審査請求日】2017年9月7日

(31)【優先権主張番号】201610920689.9

(32)【優先日】2016年10月21日

(33)【優先権主張国】CN

(73)【特許権者】

【識別番号】511138010

【氏名又は名称】ニューソフト コーポレーション

【氏名又は名称原語表記】Ｎｅｕｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎ

(74)【代理人】

【識別番号】110000578

【氏名又は名称】名古屋国際特許業務法人

(72)【発明者】

【氏名】トゥ チャン

【審査官】 宮司 卓佳

(56)【参考文献】

【文献】 山田明他，学習データを自動生成する未知攻撃検知システム，情報処理学会論文誌，日本，社団法人情報処理学会，２００５年 ８月１５日，第46巻,第8号，p.1947-p.1958

【文献】 長田元気，西出隆志，Stacked Denoising Auto-Encodersによるネットワーク攻撃の特徴抽出と可視化，ＳＣＩＳ２０１６ ［ＵＳＢ］ ＳＣＩＳ２０１６ ２０１６ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ，電子情報通信学会，２０１６年 １月，p.1-p.8

【文献】 Quamar Niyaz他，A Deep Learning Approach for Network Intrusion Detection System，BICT'15 Proceedings of the 9th EAI International Conference on Bio-inspired Information and Communications Technology，２０１５年１２月，p.21-p.26

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／５５

Ｇ０６Ｎ ３／０４

Ｇ０６Ｎ ３／０８

Ｈ０４Ｌ １２／７０

(57)【特許請求の範囲】

【請求項1】

正常サンプルと本来攻撃サンプルとを含む本来サンプルを収集するステップと、
前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得するステップと、
前記正常サンプルと、前記本来攻撃サンプルと、前記ノイズが付加された攻撃サンプルとに対して、それぞれ特徴を抽出し、前記正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを取得し、前記攻撃サンプルは、前記本来攻撃サンプルと前記ノイズが付加された攻撃サンプルとを含むステップと、
前記正常サンプルの特徴ベクトルと前記攻撃サンプルの特徴ベクトルとを訓練データとして、前記訓練データを訓練し、ディープニューラルネットワークを生成するステップと、
検出されるべきトラフィックの特徴ベクトルを取得するステップと、
前記ディープニューラルネットワークを利用して検出されるべきトラフィックの特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップと、
を含み、
前記ノイズが付加された攻撃サンプルの数量は、対応する本来攻撃サンプルが属するカテゴリの既存の攻撃サンプルの数量に反比例する、
ことを特徴とするネットワーク侵入検出方法。

【請求項2】

前記検出されるべきトラフィックの特徴ベクトルを取得するステップの後、
ディープニューラルネットワークを利用して前記検出されるべきトラフィックの特徴ベクトルを検出する必要がある場合、ディープニューラルネットワークを利用して前記検出されるべきトラフィックの特徴ベクトルを検出するように、線形分類器により前記検出されるべきトラフィックの特徴ベクトルを認識し、前記検出されるべきトラフィックをディープニューラルネットワークを利用して検出する必要があるか否かを決定するステップをさらに含む、
ことを特徴とする請求項１に記載の方法。

【請求項3】

前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得するステップは、
予め決定されたサンプルベースとルールベースに基づいて、前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得するステップを含む、
ことを特徴とする請求項１に記載の方法。

【請求項4】

各本来攻撃サンプルに対応して、相応するノイズが付加された攻撃サンプルの数量は複数である、
ことを特徴とする請求項１に記載の方法。

【請求項5】

前記ディープニューラルネットワークは、多層の自己符号化ネットワークを含む、
ことを特徴とする請求項１に記載の方法。

【請求項6】

本来サンプルを収集する訓練モジュールであって、前記本来サンプルは、正常サンプルと本来攻撃サンプルとを含み、前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得し、前記正常サンプルと、前記本来攻撃サンプルと、前記ノイズが付加された攻撃サンプルとに対して、それぞれ特徴を抽出し、前記正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを取得し、前記攻撃サンプルは、前記本来攻撃サンプルと前記ノイズが付加された攻撃サンプルとを含み、前記正常サンプルの特徴ベクトルと前記攻撃サンプルの特徴ベクトルとを訓練データとして、前記訓練データを訓練し、ディープニューラルネットワークを生成する、訓練モジュールと、
検出されるべきトラフィックの特徴ベクトルを取得するための取得モジュールと、
ディープニューラルネットワークを利用して前記検出されるべきトラフィックの特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定する検出モジュールと、
を含み、
前記ノイズが付加された攻撃サンプルの数量は、対応する本来攻撃サンプルが属するカテゴリの既存の攻撃サンプルの数量に反比例する、
ことを特徴とするネットワーク侵入検出装置。

【請求項7】

前記検出されるべきトラフィックの特徴ベクトルをディープニューラルネットワークを利用して検出する必要がある場合、前記検出モジュールをトリガして実行するように、線形分類器により前記検出されるべきトラフィックの特徴ベクトルを認識し、前記検出されるべきトラフィックをディープニューラルネットワークを利用して検出する必要があるか否かを決定するための分類モジュールをさらに含む、
ことを特徴とする請求項６に記載の装置。

【請求項8】

前記訓練モジュールが前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得することは、
予め決定されたサンプルベースとルールベースに基づいて、前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得することを含む、
ことを特徴とする請求項６に記載の装置。

【請求項9】

各本来攻撃サンプルに対応して、相応するノイズが付加された攻撃サンプルの数量は複数である、
ことを特徴とする請求項６に記載の装置。

【請求項10】

前記ディープニューラルネットワークは、多層の自己符号化ネットワークを含む、
ことを特徴とする請求項６に記載の装置。

【発明の詳細な説明】

【技術分野】

【0001】

本願は、ネットワークの安全技術分野に関し、特にネットワーク侵入検出方法及び装置に関する。

【背景技術】

【0002】

侵入検出システム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ、ＩＤＳ）は、ネットワーク安全デバイス又はアプリケーションソフトウェアであり、ネットワーク伝送に対して即時監視し、不審伝送を発現する時、警報を発したり、又は主動反応対処法を取ることができる。

【0003】

ＩＤＳの中核機能は、侵入検出技術であり、侵入検出技術は、安全ポリシーを違反するネットワーク伝送を発現するものである。また、侵入検出技術は、侵入防止システム（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、ＩＰＳ）及び次世代ファイアウォール（Ｎｅｘｔ ｇｅｎｅｒａｔｉｏｎ ｆｉｒｅｗａｌｌ、ＮＧＦＷ）等のネットワーク安全製品にも広く応用されている。

【0004】

従来の侵入検出技術は、主に、シンプルパターンマッチングと、状態パターンマッチングと、プロトコルデコードによる署名と、ヒューリスティックな署名と等の種類に分ける。これらの技術の共通の特徴は、事前に攻撃を知り、各種類の攻撃に対して特定の署名を開発することで、侵入検出技術は、主に、データストリームに署名マッチングを効率よく行う。そのため、従来技術には、（１）未知の攻撃への防止能力に欠けることと、（２）既知攻撃を認識する汎用能力が不足であり、ハッカーは、既知攻撃に対して攻撃におけるいくつかの詳細及びフローを変換することにより、検出を容易にバイパスすることと、の２つの顕著な欠陥がある。

【発明の概要】

【0005】

本願の目的は、関連技術における技術的課題の一つをある程度解決することである。

【0006】

本願の一つの目的は、ネットワーク侵入検出方法を提供することで、当該方法は、未知攻撃に対する認識能力を向上させるとともに、既知攻撃に対する汎用能力を向上させることができる。

【0007】

本願の他の目的は、ネットワーク侵入検出装置を提供することにある。

【0008】

上述の目的を達成するために、本願の第１の態様の実施例により提供されたネットワーク侵入検出方法は、検出されるべきトラフィックの特徴ベクトルを取得するステップと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップとを含み、前記ディープニューラルネットワークは、訓練データを訓練して生成されたものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0009】

本願の第１の態様の実施例により提供されたネットワーク侵入検出方法は、ディープニューラルネットワークを利用することにより、ネットワーク侵入カテゴリを検出することができ、ディープニューラルネットワークの複雑モードへの表現能力が強いという利点を利用して複雑な攻撃を認識することができ、また、ディープニューラルネットワークが訓練する時に利用する訓練データは、ノイズが付加された攻撃サンプルの特徴ベクトルを含むため、未知攻撃への認識能力を向上させるとともに、既知攻撃への汎用能力を向上させることができる。

【0010】

上述の目的を達成するために、本願の第２の態様の実施例により提供されたネットワーク侵入検出装置は、検出されるべきトラフィックの特徴ベクトルを取得するための取得モジュールと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するための、検出モジュールと、を備え、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0011】

本願の第２の態様の実施例により提供されたネットワーク侵入検出装置は、ディープニューラルネットワークを利用して、ネットワーク侵入カテゴリを検出することにより、ディープニューラルネットワークの複雑モードへの表現能力が強いという利点を利用して複雑な攻撃を認識することができ、また、ディープニューラルネットワークが訓練する時に利用する訓練データは、ノイズが付加された攻撃サンプルの特徴ベクトルを含むため、未知攻撃への認識能力を向上させるとともに、既知攻撃への汎用能力を向上させることができる。

【0012】

本発明の実施例は、ネットワークデバイスをさらに提供し、前記ネットワークデバイスは、１つまたは複数のプロセッサと、メモリと、１つまたは複数のプログラムと、を含み、前記１つまたは複数のプログラムは、前記メモリに記憶され、前記１つまたは複数のプロセッサにより実行される場合に、検出されるべきトラフィックの特徴ベクトルを取得するステップと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップと、を含む方法を実行し、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0013】

本発明の実施例は、不揮発性コンピュータ記憶媒体をさらに提供し、前記コンピュータ記憶媒体は、１つまたは複数のモジュールを記憶し、前記１つまたは複数のモジュールが実行される場合に、検出されるべきトラフィックの特徴ベクトルを取得するステップと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップと、を含む方法を実行し、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0014】

本発明の実施例は、コンピュータプログラムをさらに提供し、前記プログラムが実行される場合に、検出されるべきトラフィックの特徴ベクトルを取得するステップと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップと、を含む方法を実行し、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0015】

本願の付加的な特徴及び利点は、以下の説明において部分的に示され、この説明から一部が明らかになるか、または、本願の実施により理解され得る。

【図面の簡単な説明】

【0016】

本願の上述および／または付加的な特徴と利点は、下記の添付図面を参照した実施例に対する説明により、明らかになり、理解されることが容易になる。

【図1】本願の一つの実施例により提供されたネットワーク侵入検出方法のフローチャートである。

【図2】本願のもう一つの実施例により提供されたネットワーク侵入検出方法のフローチャートである。

【図3】本願の一つの実施例により提供されたネットワーク侵入検出装置の構造模式図である。

【図4】本願のもう一つの実施例により提供されたネットワーク侵入検出装置の構造模式図である。

【発明を実施するための形態】

【0017】

以下に、本願の実施例を詳細に説明する。前記実施例の例が図面に示されるが、同じ符号または類似的符号は、常に、同じモジュール又は類似的モジュール、或いは、同じ機能又は類似的機能を有するモジュールを表す。以下に、図面を参照しながら説明される実施例は例示的なものであり、本願を解釈するためだけに用いられ、本願を限定するものと理解されてはならない。逆に、本願の実施例は、特許請求の範囲の要旨でのすべての変化、修正、等価物を含む。

【0018】

図１は、本願の一つの実施例により提供されたネットワーク侵入検出方法のフローチャートである

【0019】

図１に示すように、本実施例の方法は、以下のようなステップを含む。

【0020】

Ｓ１１は、検出されるべきトラフィックの特徴ベクトルを取得するステップである。

【0021】

検出されるべきトラフィックとは、ネットワーク伝送中のデータである。

【0022】

検出されるべきトラフィックの特徴ベクトルとは、検出されるべきトラフィックの特徴情報からなるベクトルであり、特徴情報は、ニーズに応じて設定されることができる。検出されるべきトラフィックがネットワークにおいて連続的に伝送されるため、検出されるべきトラフィックは、予め設定された単位で切り分け、各単位のトラフィックを１つの予め設定された次元の特徴ベクトルに変更することができ、上述の単位が設定可能であり、例えば、セッション（ｓｅｓｓｉｏｎ）を単位とする。

【0023】

各特徴ベクトルは、複数の特徴情報を含み、特徴情報は、複数の選択可能な態様があり、本実施例において、特徴情報がストリーム特徴情報及びコンテンツ特徴情報を含む場合を例とする。

【0024】

そのため、各単位（例えば、ｓｅｓｓｉｏｎ）のトラフィックに対応して、当該単位トラフィックのストリーム特徴情報ｆ１及びコンテンツ特徴情報ｆ２を抽出し、ｆ１とｆ２とを再び組み合わせて対応する特徴ベクトルｆを取得し、即ち、ｆ＝｛ｆ１，ｆ２｝であり、例えば、ｆ１＝［０，１］であり、ｆ２＝［１，０］である場合、ｆ＝［０，１，１，０］である。

【0025】

理解できるように、上述のｆ１及びｆ２に対する説明は、例示に過ぎず、具体的なストリーム特徴情報及びコンテンツ特徴情報は、ニーズまたは経験に応じて選択されることができ、１つでも複数でもよく、ストリーム特徴情報は、例えば、平均メッセージレンス、再送率、タイムラグ平均二乗偏差等を含む。コンテンツ特徴情報は、例えば、アプリケーションを認識し、コンテンツ情報をデコードし（必要であれば）、デコードされたコンテンツ情報と静的特徴ベース（ベースは複数の文字列または正規表現を含む）とのマルチモードマッチングを介して、各静的特徴のヒット回数をコンテンツ特徴ベクトルｆ２に計上することを含む。静的特徴ベースにおける特徴エントリが多いため、ｆ２は、高次元のスパースが特徴ベクトルである。

【0026】

Ｓ１２は、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップで、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0027】

ディープラーニング（ｄｅｅｐ ｌｅａｒｎｉｎｇ）は、機械学習のブランチであり、複雑構造を含みあるいは多重非線形変換からなる複数の処理層でデータを上位層抽象化し、十分に複雑なモードを表現することができる。

【0028】

ディープニューラルネットワークは、ディープラーニングに基づくニューラルネットワークであり、例えば教師なし学習のディープビリーフネットワーク（Ｄｅｅｐ Ｂｅｌｉｅｆ Ｎｅｔ、ＤＢＮ）、複数の自己符号化器（ａｕｔｏ−ｅｎｃｏｄｅｒ）層を含むネットワーク、教師あり学習の畳み込みニューラルネットワーク（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ｎｅｕｒａｌ ｎｅｔｗｏｒｋ、ＣＮＮ）等を含む。具体的に、本願では、ディープニューラルネットワークが複数の自己符号化器（ａｕｔｏ−ｅｎｃｏｄｅｒ）層を含むネットワークであることを例とする。

【0029】

ディープニューラルネットワークは、複数の自己符号化器の層を含むネットワークである場合、当該ネットワークは、入力層、中間層及び出力層を含み、その中、入力層は、トラフィックの特徴ベクトルを入力するためのものであり、中間層は、複数の自動符号化層及び複数の全結合層からなり、出力層は、検出結果を出力するためのものである。その中、出力層に含まれるノード数と、ネットワーク侵入カテゴリ数とは同一であり、ネットワーク侵入カテゴリをｎ種とし、出力層のノード数はｎ個であり、出力値はそれぞれ相応するカテゴリの確率値である。さらに、ネットワーク侵入カテゴリは、非攻撃型と攻撃型との２種類に分けることができ、これにより、ディープニューラルネットワークを利用して検出されるべきトラフィックが攻撃型であるか否かを認識することができる。または、ネットワーク侵入カテゴリは、非攻撃型、攻撃型のみならず、攻撃を区画するカテゴリをさらに含むことができ、即ち、ネットワーク侵入カテゴリは、１種の非攻撃型、及びｎ−１種の攻撃型を含む。この場合、検出されるべきトラフィックが攻撃型であるか否かを認識できるだけではなく、攻撃型である場合に具体的な攻撃カテゴリを認識することもできる。攻撃カテゴリを設置することができ、例えば、分散型サービス拒否（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ、ＤＤｏＳ）攻撃、構造化照会言語（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ、ｓｑｌ）注入攻撃等を含む。

【0030】

ディープニューラルネットワークを利用して検出する前に、まずデータを訓練してディープニューラルネットワークを生成する必要がある。データを訓練してディープニューラルネットワークを生成する場合、訓練データを訓練して、ディープニューラルネットワークを生成する必要がある。訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルを含む。その中、正常サンプルとは、非攻撃型サンプルを指す。既存のネットワーク伝送状況により、正常サンプル及び攻撃サンプルを収集することができる。

【0031】

特に、本願において、攻撃サンプルは、本来攻撃サンプルのみならず、本来攻撃サンプルにノイズが付加されたサンプルをさらに含み、その中、本来攻撃サンプルとは、収集された攻撃サンプルの本来データを指し、ノイズが付加されたサンプルとは、本来データにノイズを付加したデータを指す。

【0032】

実際的なネットワーク伝送において、大部分は正常メッセージであり、攻撃メッセージの数量が少ないため、大量の正常サンプルを収集できるが、少ない攻撃サンプルを収集することしかできない。本願において、本来攻撃サンプルにノイズを付加する操作により、未知攻撃への認識能力を向上させるとともに、既知攻撃を認識する汎用能力を向上させることができる。

【0033】

本実施例において、ディープニューラルネットワークを利用して、ネットワーク侵入カテゴリを検出することにより、ディープニューラルネットワークの複雑モードへの表現能力が強いという利点を利用して複雑な攻撃を認識することができ、また、ディープニューラルネットワークが訓練する時に利用する訓練データは、ノイズが付加された攻撃サンプルの特徴ベクトルを含むため、未知攻撃への認識能力を向上させるとともに、既知攻撃への汎用能力を向上させることができる。

【0034】

図２は、本願のもう一つの実施例により提供されたネットワーク侵入検出方法のフローチャートである。

【0035】

上記の実施例は、主に検出段階の流れを示しているが、本実施例において、訓練段階の流れを加え、その中、訓練段階でディープニューラルネットワークを生成することにより、検出段階で検出されるべきトラフィックに対してネットワーク侵入検出する。

【0036】

一方、上記の実施例において、ディープニューラルネットワークを利用して検出することを主に表現するが、全トラフィック検出によるコストが非常に多いため、ディープニューラルネットワークを利用して検出する前にフィルタし、ディープニューラルネットワークを利用して検出の必要のない一部のトラフィックをフィルタすることにより、コストを低減する。そのため、本実施例にいて、検出段階ではフィルタフローがさらに含まれる。

【0037】

図２を参照し、本実施例の方法は、以下のようなステップを含む。

【0038】

Ｓ２１は、正常サンプルと本来攻撃サンプルとを含む本来サンプルを収集するステップである。

【0039】

その中、既存のネットワーク伝送メッセージを収集し、大量のサンプルを取得することができ、かつ既存の情報に基づいて正常サンプル及び攻撃サンプルを分けることができる。また、後続のノイズが付加されたサンプルとの区分を行うために、この場合に収集された攻撃サンプルと呼ばれてもよい。

【0040】

Ｓ２２は、前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得するステップである。

【0041】

収集できる正常サンプルの数量が多いことを考えるため、正常サンプルにノイズを付加しなく、攻撃サンプルのみにノイズを付加することができる。もちろん、理解できるように、本願は、正常サンプルにノイズを付加する可能性を排除するわけではない。本実施例は、攻撃サンプルにノイズを付加する場合を例とする。

【0042】

本来攻撃サンプルをｄで表示し、ノイズが付加された攻撃サンプルをＮ（ｄ）で表示する。

【0043】

一方、付加方式について、サンプルベースとルールベースに基づいてノイズを付加することができる。サンプルベースには、大量のタグありデータサンプル（即ち、正常サンプル及び攻撃サンプルを含む）を含み、ノイズガ付加される素材として、ルールベースは、セキュアエキスパートの攻撃変異及び脱出への理解により、ノイズ付加ルールを人為的に作成し、これによりこれらのルールに基づいてサンプルベースからサンプルを選択してノイズが付加された攻撃サンプルを取得する。これらのルールは、例えば「攻撃サンプルｄ１において正常サンプルｄ２のデータのセグメントをランダムに挿入し、攻撃の性質を変更しない」を含み、これらのルールは、絶対的に正確であることを保証しなく、大きい確率で正確であればよい。これは、少数のエラーが生成したサンプルに対して、ニューラルネットワーク自身のノイズ抵抗能力により自然に処理できるためである。

【0044】

一方、数量上、各ｄに対応して、相応するＮ（ｄ）の的数量は、複数であってもよい。さらに、異なる本来攻撃サンプルが対応するノイズが付加されたサンプルの数量が異なってもよく、例えば、下式で示す：

【数1】

【0045】

ただし、ｌ_ｉは、ある本来攻撃サンプルｄが対応するノイズが付加されたサンプルＮ（ｄ）の数量であり、γは、既知の大きい値であり、ｎは、ネットワーク侵入カテゴリの総計であり、ｃ_ｉは、ｄが属するカテゴリにおける既存の攻撃サンプルの数量である。

【0046】

上式により分かるように、ｌ_ｉはｃ_ｉに反比例するため、ネットワークに汎用能力を向上させるとともに、ネットワークの訓練サンプルが各カテゴリでバランスに保つことを可能にし、バランスのとれた訓練セットは、ネットワークの最終訓練結果の誤差を制御することに寄与する。

【0047】

Ｓ２３は、前記正常サンプルと、本来攻撃サンプルと、ノイズが付加された攻撃サンプルとに対して、それぞれ特徴を抽出し、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを取得し、前記攻撃サンプルは、本来攻撃サンプルとノイズが付加された攻撃サンプルとを含むステップである。

【0048】

例えば、１つのサンプルに対応して、ストリーム特徴情報ｆ１及びコンテンツ特徴情報ｆ２を抽出し、再びｆ１とｆ２とを組み合わせて当該サンプルの特徴ベクトルを取得することができる。具体的な特徴抽出のフローは、上記の実施例に示すとおりである。

【0049】

Ｓ２４は、前記正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを訓練データとして、前記訓練データを訓練してディープニューラルネットワークを生成するステップである。

【0050】

ディープニューラルネットワークの訓練流れは、２つの段階に分け、それぞれｐｒｅ−ｔｒａｉｎｉｎｇ(プレトレーニング)段階とｆｉｎｅ−ｔｕｎｉｎｇ（ファインチューニング）段階である。ｐｒｅ−ｔｒａｉｎｉｎｇ段階において、教師なしで各層のネットワークのパラメータを学習することにより、ネットワークの初期化を完成する。その中、教師なし学習において、最下層から、一度に１層のみを訓練し、その結果を１層高い層の抽出をとする。ｆｉｎｅ−ｔｕｎｉｎｇ段階において、最上層から最下層までの教師アルゴリズム（例えばＢＰアルゴリズム）を利用して各層の初期化パラメータを調整する。

【0051】

ディープニューラルネットワークが複数の自己符号化器の層を含むネットワークを例として、訓練段階の目的は、ノイズのない入力ベクトルとノイズ付き入力ベクトルとが、ディープニューラルネットワークを経由した出力が近接するようにする。即ち、ノイズのない入力ベクトルをｘで表示し、ノイズ付き入力ベクトルをｘ’で表示し、ｘ’のディープニューラルネットワークを経由した出力をｚ（ｘ’）で表示し、訓練段階の目的は、ｘ及びｚ（ｘ’）ができるだけ近接するようにする。

【0052】

上述のノイズのない入力ベクトルとは、本来サンプルに対して特徴を抽出して取得された特徴ベクトルを指し、ノイズ付き入力ベクトルとは、ノイズが付加されたサンプルに特徴を抽出して取得された特徴ベクトルを指す。

【0053】

そのため、本来サンプルを収集した後、本来サンプルにノイズを付加してノイズが付加されたサンプルを取得することができ、上述のように、攻撃サンプルにノイズを付加することを例として、ｄ及びＮ（ｄ）を取得することができ、上記の実施例に示す特徴抽出方式により、それぞれｄが対応する特徴ベクトルｘ、及びＮ（ｄ）が対応する特徴ベクトルｘ’を取得することができ、その後、各対の｛ｘ，ｘ’｝を１組の独立なベクトルとして、上述の目的で、ディープニューラルネットワークを訓練し、各層のネットワークのパラメータを取得する。

【0054】

例えば、各層のネットワークのパラメータは、Ｗ、ｂ、ｂ’を含み、ＨがＷ、ｂ、ｂ’からなるベクトルとし、勾配降下法によりＨを更新して各層のネットワークのパラメータを取得することができ、

【数2】

で示し、一定数の反復により、各層のネットワークのパラメータを取得することができる。ただし、αが既知のパラメータであり、△_ＨＬは、Ｌを微分するものを示し、

【数3】

ｓは非線形の写像関数であり、例えばｓｉｇｍｏｉｄ関数である。

【0055】

理解できるように、一般的なディープニューラルネットワークの訓練流れとの差異は、本実施例の訓練データは、ノイズが付加されたサンプルの特徴ベクトルをさらに含み、訓練段階の目的は、ｘとｚ（ｘ’）とができるだけ近接するようにすることであり、他の説明のないステップは、一般的なフローを参照して行ってもよく、ここで詳しく説明しない。

【0056】

上述のＳ２１−Ｓ２４は、以下の検出段階に適用するように訓練段階で完成することができる。

【0057】

Ｓ２５は、検出されるべきトラフィックの特徴ベクトルを取得するステップである。

【0058】

具体な内容は、上記の実施例に示すとおりであり、ここで詳しく説明しない。

【0059】

Ｓ２６は、線形分類器により前記特徴ベクトルを認識し、前記検出されるべきトラフィックをディープニューラルネットワークを利用して検出する必要があるか否かを決定し、「はい」の場合、Ｓ２７を実行し、そうでない場合、Ｓ２８を実行するステップである。

【0060】

その中、線形分類器は、訓練段階で訓練データを訓練することにより生成してもよい。

【0061】

線形分類器の目的は、トラフィックを快速に分類し、トラフィックが不審トラフィックであるか否かを区分し、不審トラフィックをディープニューラルネットワークに伝送して処理を行うことにある。線形分類器により決定された不審トラフィックは、さらにディープニューラルネットワークに伝送されるため、線形分類器への設計は、攻撃認識の誤報率ではなく漏報率に重点を置いている。

【0062】

線形分類器の実現として、具体的にはロジスティック回帰アルゴリズムを利用することができ、訓練する時、収集された一定数の攻撃サンプル及び正常トラフィックサンプルにより訓練することができ、訓練の過程は、その内部重みへの調整過程であり、これにより、出力値は、攻撃である確率を示す。その運行段階において、一つのトラフィックの特徴ベクトルを入力して、アルゴリズムは、それが攻撃である確率ｐ（０≦ｐ≦１）を出力する。ｐがある閾値定数ｋよりも大きいと、相応するトラフィックをディープニューラルネットワークを利用して検出する必要があることを決定し、そうでない場合、ディープニューラルネットワークを利用して検出する必要がない。

【0063】

Ｓ２７は、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップである。

【0064】

その中、ディープニューラルネットワークの入力は、検出されるべきトラフィックの特徴ベクトルｆであり、出力は、各ネットワーク侵入カテゴリの確率値であり、

【数4】

で表示すると、即ち、出力はｎ次元のベクトルであり、当該ベクトルの各次元の値は０〜１であり、各次元の値は、１種のネットワーク侵入カテゴリに対応し、ネットワーク侵入カテゴリは、具体的に１種の非攻撃カテゴリ及びｎ−１種の攻撃カテゴリを含むことができ、具体的な値により検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定することができ、例えば、出力ベクトルが対応する非攻撃の値は１（または１に近似する）であり、他の値は０（または０に近似する）である場合に、検出されるべきトラフィックが非攻撃型であることを決定し、または、出力ベクトルが対応するＤＤｏＳ攻撃の値は１（または１に近似する）であり、他の値は０（または０に近似する）である場合に、検出されるべきトラフィックがＤＤｏＳ攻撃であることを決定する。

【0065】

Ｓ２８は、検出されるべきトラフィックが非攻撃型であることを決定するステップである。

【0066】

本実施例において、ディープニューラルネットワークを利用して、ネットワーク侵入カテゴリを検出することにより、ディープニューラルネットワークの複雑モードへの表現能力が強いという利点を利用して複雑な攻撃を認識することができ、また、ディープニューラルネットワークが訓練時に利用する訓練サンプルは、ノイズが付加された攻撃サンプルを含むため、未知攻撃への認識能力を向上させるとともに、既知攻撃への汎用能力を向上させることができる。さらに、ディープニューラルネットワーク処理の前に線形分類器を利用して検出されるべきトラフィックを分類することにより、ディープニューラルネットワーク処理の必要あるトラフィックを減らし、システムコストを低減し、実際なネットワーク環境での攻撃認識性能を向上させることができる。

【0067】

図３は、本願の一実施例により提供されたネットワーク侵入検出装置の構造模式図である。図３に示すように、本実施例の装置３０は、取得モジュール３１と検出モジュール３２とを含む。

【0068】

取得モジュール３１は、検出されるべきトラフィックの特徴ベクトルを取得するためのものである。

【0069】

検出モジュール３２は、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するためのものであり、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0070】

一部の実施例において、図４を参照すると、当該装置３０は、さらに分類モジュール３３を含む。

【0071】

分類モジュール３３は、線形分類器により前記特徴ベクトルを認識し、前記検出されるべきトラフィックをディープニューラルネットワークを利用して検出する必要があるか否かを決定し、これによりディープニューラルネットワークを利用して検出する必要がある場合、前記検出モジュールをトリガして実行させるためのものである。

【0072】

一部の実施例において、図４を参照し、当該装置３０は、さらに訓練モジュール３４を含む。

【0073】

訓練モジュール３４は、正常サンプルと本来攻撃サンプルとを含む本来サンプルを収集し、前記本来攻撃サンプルにノイズが付加され、ノイズが付加された攻撃サンプルを取得し、前記正常サンプルと、本来攻撃サンプルと、ノイズが付加された攻撃サンプルとに対して、それぞれ特徴を抽出し、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを取得し、前記攻撃サンプルは、本来攻撃サンプルとノイズが付加された攻撃サンプルとを含み、前記正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを訓練データとして、前記訓練データを訓練し、前記ディープニューラルネットワークを生成するためのものである。

【0074】

一部の実施例において、前記訓練モジュール３４は、予め決定されたサンプルベースとルールベースに基づいて、前記本来攻撃サンプルにノイズを付加し、ノイズが付加された攻撃サンプルを取得するためのものである。

【0075】

一部の実施例において、各本来攻撃サンプルに対応して、相応するノイズが付加された攻撃サンプルの数量は複数である。

【0076】

一部の実施例において、前記ノイズが付加された攻撃サンプルの数量は、対応する本来攻撃サンプルが属するカテゴリの既存の攻撃サンプルの数量に反比例する。

【0077】

一部の実施例において、ディープニューラルネットワークは、多層の自己符号化ネットワークを含む。

【0078】

理解できるように、本実施例の装置は、上述の方法実施例に対応し、具体的な内容は、方法実施例における関連説明を参照し、ここで詳しく説明しない。

【0079】

本実施例において、ディープニューラルネットワークを利用して、ネットワーク侵入カテゴリを検出することにより、ディープニューラルネットワークの複雑モードへの表現能力が強いという利点を利用して複雑な攻撃を認識することができ、また、ディープニューラルネットワークが訓練する時に利用する訓練データは、ノイズが付加された攻撃サンプルの特徴ベクトルを含むため、未知攻撃への認識能力を向上させるとともに、既知攻撃への汎用能力を向上させることができる。

【0080】

本発明の実施例は、ネットワークデバイスをさらに提供し、前記ネットワークデバイスは、１つまたは複数のプロセッサと、メモリと、１つまたは複数のプログラムとを含み、前記１つまたは複数のプログラムは、前記メモリに記憶され、前記１つまたは複数のプロセッサにより実行される場合に、検出されるべきトラフィックの特徴ベクトルを取得するステップと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップと、を含む方法を実行し、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0081】

本発明の実施例は、不揮発性コンピュータ記憶媒体をさらに提供し、前記コンピュータ記憶媒体は、１つまたは複数のモジュールを記憶し、前記１つまたは複数のモジュールが実行される場合に、検出されるべきトラフィックの特徴ベクトルを取得するステップと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップと、を含む方法を実行し、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0082】

本発明の実施例は、コンピュータプログラムをさらに提供し、前記プログラムが実行される場合に、検出されるべきトラフィックの特徴ベクトルを取得するステップと、ディープニューラルネットワークを利用して前記特徴ベクトルを検出し、前記検出されるべきトラフィックが属するネットワーク侵入カテゴリを決定するステップと、を含む方法を実行し、前記ディープニューラルネットワークは、訓練データを訓練して生成されるものであり、前記訓練データは、正常サンプルの特徴ベクトルと攻撃サンプルの特徴ベクトルとを含み、前記攻撃サンプルは、本来攻撃サンプルと、前記本来攻撃サンプルにノイズが付加されたサンプルとを含む。

【0083】

理解できるように、上述の各実施例での同一または類似部分は、お互い参照することができ、一部の実施例において説明していない内容について、他の実施例での同一または類似内容を参照してもよい。

【0084】

なお、本願の説明において、「第１」、「第２」の用語は目的を説明するためだけに用いられるものであり、比較的な重要性を指示又は暗示すると理解してはいけない。また、本発明の説明において、特に説明がない限り、「複数」とは、二つ又は二つ以上のことを意味する。

【0085】

フローチャート又は他の方式で説明した過程や方法は、一つ又は複数の、判定ロジック性能又は過程のステップの動作できるコマンドのコードのモジュール、セクターあるいは部分を含む。本発明の望ましい実施方式の範囲は、他の実現を含み、表示又は討論の順序に従わなくてもよい。述べられた機能に基づいて基本的に同様な方式又は逆の順序で、その機能を動作することができる。これは、本発明の実施例の所属技術領域の技術者に理解される。

【0086】

理解すべきなのは、本発明の各部分は、ハードウェア、ソフトウェア、部品又はそれらの組み合わせで実現できる。実施例には、複数のステップ又は方法がメモリに保存され、適当なコマンド実行システムのソフトウェア又は部品で実現される。たとえば、ハードウェアで実現する場合、他の実施方式と同じように、本領域周知の下記の任意一つ又はそれらの組み合わせで実現できる。すなわち、デジタル信号に対してロジック機能を実現するロジックゲート回路を有する個別のロジック回路、ロジックゲート回路を組み合わせた適当な専用ＩＣ、プログラマブルゲートアレイ（ＰＧＡ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などである。

【0087】

当業者は、実施例の方法にある全部又は一部のステップをプログラムにより関連のハードウェアを実行することで完成され、プログラムは一つのコンピュータの読み出し書き込み可能な記憶メディアに記憶され、当プログラムを実行するとき、実施例方法のステップの一つ又はそれらの組み合わせを含むことであると、理解されるべきである。

【0088】

なお、本発明の各実施例の各機能モジュールを一つの処理モジュールに集中し、又は、単独に存在し、あるいは、二つ又は二つ以上モジュールを一つの処理モジュールに集中することができる。集成したモジュールは、ハードウェアの形式、又は、ソフトウェアの形式で実現される。集成したモジュールは、ソフトウェアの形式で実現し、また、独立の製品として販売や使用するとき、コンピュータの読み出し書き込み可能な記憶メディアに記憶されることができる。

【0089】

上述の記憶メディアは、ディスク、又は、ＣＤなどであってもよい。

【0090】

本明細書において、「一つの実施例」、「一部の実施例」、「示例」、「具体的な示例」或いは「一部の示例」など用語を参考した説明とは、該実施例或いは示例に結合して説明された具体的特徴、構成、材料或いは特徴が、本発明の少なくとも一つの実施例或いは示例に含まれることである。本明細書において、上記用語に対する例示的な表述は、必ずしも同じ実施例或いは示例を示すことではない。又、説明された具体的特徴、構成、材料或いは特徴は、いずれか一つ或いは複数の実施例又は示例において適切に結合することができる。

【0091】

以上、本発明の実施例を示して説明したが、当業者にとって理解できるのは、上記の実施例は例示的なものであり、本発明を制限するように解釈されることができない。本発明の原理と要旨から逸脱しない範囲で、これらの実施例に対し様々な変更、修正、置換、及び変形をすることができる。

【図1】

【図2】

【図3】

【図4】