基于多模型并行融合网络的恶意流量检测方法

doi:10.11772/j.issn.1001-9081.2023050686

《计算机应用》唯一官方网站 ›› 2023, Vol. 43 ›› Issue (S2): 122-129.DOI: 10.11772/j.issn.1001-9081.2023050686

• 网络空间安全 • 上一篇

基于多模型并行融合网络的恶意流量检测方法

李向军¹^,², 王俊洪¹(), 王诗璐¹, 陈金霞¹, 孙纪涛¹, 王建辉¹

^1.南昌大学软件学院，南昌 330046
^2.南昌大学数学与计算机学院，南昌 330031

收稿日期:2023-05-30 修回日期:2023-09-05 接受日期:2023-09-12 发布日期:2024-01-09 出版日期:2023-12-31
通讯作者: 王俊洪
作者简介:李向军（1972—），男，江西萍乡人，教授，博士生导师，硕士，主要研究方向：人工智能、数据挖掘、网络空间安全
王俊洪（2001—），男，重庆人，主要研究方向：信息安全、人工智能
王诗璐（2000—），女，江西上饶人，硕士研究生，主要研究方向：信息安全、人工智能
陈金霞（2000—），女，甘肃白银人，硕士研究生，主要研究方向：信息安全、人工智能
孙纪涛（2002—），男，江西抚州人，硕士研究生，主要研究方向：信息安全、人工智能
王建辉（2000—），男，河北沧州人，主要研究方向：信息安全、人工智能。
基金资助:
国家自然科学基金资助项目(62262039);江西省高等学校大学生创新创业训练计划项目(202110403070);江西省科技创新平台项目(20181BCD40005);南昌大学江西省财政科技专项“包干制”项目(ZBG20230418014);江西省教育厅科学技术研究资助项目(GJJ2210701);江西省教学改革重点项目(JXJG?2020?1?2)

Malicious traffic detection method based on multi-model parallel fusion network

XiangJun LI¹^,², Junhong WANG¹(), Shilu WANG¹, Jinxia CHEN¹, Jitao SUN¹, Jianhui WANG¹

^1.School of Software，Nanchang University，Nanchang Jiangxi 330046，China
^2.School of Mathematics and Computer Science，Nanchang University，Nanchang Jiangxi 330031，China

Received:2023-05-30 Revised:2023-09-05 Accepted:2023-09-12 Online:2024-01-09 Published:2023-12-31
Contact: Junhong WANG

摘要/Abstract

摘要：

针对单一串行深度学习检测模型提取流量特征时无法完整反映原始流量信息，且恶意流量识别精度低的问题，设计多模型并行融合网络，提出一种基于多模型并行融合网络的恶意流量检测方法。所提方法采用并行方式，融合一维卷积神经网络（1D-CNN）与双向长短期记忆（Bi-LSTM）网络进行特征提取和流量识别，各条支路均直接面向原始流量，同时提取流量的空间特征与时序特征，采用共同的全连接层进行特征融合，可更精准地反映原始流量信息并有效提高恶意流量的识别准确率。在开源NSL-KDD数据集上的实验结果表明，所提方法恶意流量检测的特征提取能力、鲁棒性以及在线学习能力等方面均表现了优越的性能。

关键词: 恶意流量检测, 深度学习, 多模型并行融合, 卷积神经网络, 双向长短期记忆网络

Abstract:

A malicious traffic detection method based on a multi-model parallel fusion network was proposed to address the issue of incomplete reflection of original traffic information and poor accuracy in identifying malicious traffic when using a single sequential deep learning detection model. The parallel approach was used to combine one-Dimensional Convolutional Neural Network （1D-CNN） and Bi-directional Long Short-Term Memory （Bi-LSTM） network for feature extraction and traffic recognition. Each branch directly facing to the original traffic， both spatial and temporal features were extracted. A common fully connected layer was used for feature fusion， which could more accurately reflect the original traffic information and effectively improved the accuracy of malicious traffic identification. Experimental results on the open-source NSL-KDD dataset demonstrate the superior performance of the proposed method in terms of feature extraction capability， robustness， and online learning ability for malicious traffic detection.

Key words: malicious traffic detection, deep learning, multi-model parallel fusion, Convolutional Neural Network (CNN), Bi-directional Long Short-Term Memory (Bi-LSTM) network

中图分类号:

TP393.081

李向军, 王俊洪, 王诗璐, 陈金霞, 孙纪涛, 王建辉. 基于多模型并行融合网络的恶意流量检测方法[J]. 计算机应用, 2023, 43(S2): 122-129.

XiangJun LI, Junhong WANG, Shilu WANG, Jinxia CHEN, Jitao SUN, Jianhui WANG. Malicious traffic detection method based on multi-model parallel fusion network[J]. Journal of Computer Applications, 2023, 43(S2): 122-129.

图/表 10

参考文献 32

1	中国互联网络信息中心.第51 次中国互联网络发展状况统计报告［EB/OL］. ［2023-03-24］. .
2	腾讯安全. 2021年全球DDoS威胁报告：DDoS威胁成犯罪团伙首选勒索手段［EB/OL］. ［2022-01-19］. .
3	余杰.基于TensorFlow和卷积神经网络的网络恶意流量检测［C］// 中国电机工程学会电力通信专业委员会第十二届学术会议.电力通信技术研究及应用. 北京：人民邮电出版社， 2019：406-410.
4	李佳，云晓春，李书豪，等.基于混合结构深度神经网络的 HTTP 恶意流量检测方法［J］.通信学报，2019，40（1）：24-33.
5	董书琴，张斌.基于深度特征学习的网络流量异常检测方法［J］.电子与信息学报， 2020， 42（3）： 695-703. 10.11999/JEIT190266
6	李慧慧，张士庚，宋虹，等.结合多特征识别的恶意加密流量检测方法［J］.信息安全学报， 2021， 6（2）： 129-142. 10.19363/J.cnki.cn10-1380/tn.2021.03.09
7	包阳敏.网络恶意流量检测技术研究［D］.哈尔滨：哈尔滨工程大学， 2021： 1-10.
8	赵忠斌，蔡满春，芦天亮.融合多头注意力机制的网络恶意流量检测［J］.数据与计算发展前沿， 2022， 4（5）： 60-67.
9	崔弘，赵双，张广胜，等.基于机器学习的移动代理应用流量识别方法［J］.计算机工程与科学，2022，44（4）：654-664. 10.3969/j.issn.1007-130X.2022.04.009
10	杨杰，张东月，周丽华，等.基于网格耦合的数据流异常检测［J］.计算机工程与科学，2020，42（1）：25-35. 10.3969/j.issn.1007-130X.2020.01.004
11	李源，王运鹏，李涛，等.基于多特征融合的Webshell恶意流量检测方法［J］.网络与信息安全学报， 2021， 7（6）： 143-154. 10.11959/j.issn.2096-109x.2021103
12	陈铁明，金成强，吕明琪，等.基于样本增强的网络恶意流量智能检测方法［J］.通信学报， 2020， 41（6）： 128-138. 10.11959/j.issn.1000-436x.2020122
13	王伟.基于深度学习的网络流量分类及异常检测方法研究［D］.合肥：中国科学技术大学， 2018： 2-10.
14	王一丰，郭渊博，陈庆礼，等.基于对比学习的细粒度未知恶意流量分类方法［J］.通信学报， 2022， 43（10）： 12-25.
15	邹福泰，俞汤达，许文亮.基于隐马尔可夫模型的加密恶意流量检测［J］.软件学报，2022，33（7）：2683-2698.
16	CHAPANERI R， SHAH S. Detection of malicious network traffic using convolutional neural networks［C］// Proceedings of the 2019 10th International Conference on Computing， Communication and Networking Technologies. Piscataway： IEEE， 2019： 1-6. 10.1109/icccnt45670.2019.8944814
17	GAO M， MA L， LIU H， et al. Malicious network traffic detection based on deep neural networks and association analysis［J］. Sensors， 2020， 20（5）： 1452. 10.3390/s20051452
18	WANG B， SU Y， ZHANG M， et al. A deep hierarchical network for packet-level malicious traffic detection［J］. IEEE Access， 2020， 8： 201728-201740. 10.1109/access.2020.3035967
19	THAPA K N K， DURAIPANDIAN N. Malicious traffic classification using Long Short-Term Memory （LSTM） model［J］. Wireless Personal Communications， 2021， 119： 2707-2724. 10.1007/s11277-021-08359-6
20	WANG Z， FOK K W， THING V L L. Machine learning for encrypted malicious traffic detection： approaches， datasets and comparative study［J］. Computers & Security， 2022， 113： 102-542. 10.1016/j.cose.2021.102542
21	LIU J， WANG L， HU W， et al. Spatial-temporal feature with dual-attention mechanism for encrypted malicious traffic detection［J］. Security and Communication Networks， 2023， 2023. 10.1155/2023/7117863
22	HWANG R H， PENG M C， NGUYEN V L， et al. An LSTM-based deep learning approach for classifying malicious traffic at the packet level［J］. Applied Sciences， 2019， 9（16）： 3414. 10.3390/app9163414
23	MARÍN G， CAASAS P， CAPDEHOURAT G. DeepMAL — deep learning models for malware traffic detection and classification［C/OL］// Proceedings of the 3rd International Data Science Conference on Data Science — Analytics and Applications. Berlin： Springer， 2021： 105-112. 10.1007/978-3-658-32182-6_16
24	LIN K， XU X， XIAO F. MFFusion： a multi-level features fusion model for malicious traffic detection based on deep learning［J］. Computer Networks， 2022， 202： 108-658. 10.1016/j.comnet.2021.108658
25	LI C， WANG J， YE X. Using a recurrent neural network and restricted Boltzmann machines for malicious traffic detection［J］. NeuroQuantology， 2018， 16（5）： 823-831. 10.14704/nq.2018.16.5.1391
26	邹源，张甲，江滨.基于LSTM循环神经网络的恶意加密流量检测［J］.计算机应用与软件，2020，37（2）：308-312. 10.3969/j.issn.1000-386x.2020.02.048
27	杨彦召，朱程威，仇晶，等.基于TextCNN的加密恶意流量检测方法［J］.广州大学学报（自然科学版），2022，21（1）：1-9.
28	SWEKE R， WILDE F， MEYER J， et al. Stochastic gradient descent for hybrid quantum-classical optimization［J］. Quantum， 2020， 4： 3-14. 10.22331/q-2020-08-31-314
29	吕帅.基于多特征多模型的恶意代码组织分类方法［D］.北京：北京交通大学，2023： 3-10.
30	赵静，李俊，龙春，等.基于集成SVM和Bagging的未知恶意流量检测［J］.计算机系统应用，2022，31（10）：51-59.
31	罗文.基于改进DCGAN的恶意流量检测与分类方法研究［D］.衡阳：南华大学，2022： 4-10.
32	霍跃华，赵法起.基于Stacking与多特征融合的加密恶意流量检测［J］.计算机工程，2023，49（5）：165-172.

层数	名称	输入	输出	参数数
参数总量		187 960
1	Input_1	（？，41，1）	（？，41，1）	0
2	Conv1D	（？，41，1）	（？，40，64）	192
3	Conv1D	（？，40，64）	（？，39，64）	256
4	Conv1D	（？，39，64）	（？，38，64）	320
5	Conv1D	（？，38，64）	（？，37，64）	384
6	Conv1D	（？，37，64）	（？，36，64）	448
7	MaxPool	（？，40，64）	（？，64）	0
8	MaxPool	（？，39，64）	（？，64）	0
9	MaxPool	（？，38，64）	（？，64）	0
10	MaxPool	（？，37，64）	（？，64）	0
11	MaxPool	（？，36，64）	（？，64）	0
12	Concatenate	（？，64）*5	（？，320）	0
13	Dropout	（？，320）	（？，320）	0
14	BN	（？，320）	（？，320）	1 280
15	Input_2	（？，1，41）	（？，1，41）	0
16	Bi‑LSTM	（？，1，41）	（？，256）	174 080
17	Dropout	（？，256）	（？，256）	0
18	BN	（？，256）	（？，256）	1 024
19	Concatenate	（？，256）（？，320）	（？，576）	0
20	Dense	（？，576）	（？，16）	9 232
21	Dropout	（？，16）	（？，16）	0
22	BN	（？，16）	（？，16）	64
23	Output	（？，40）	（？，40）	680

层数	名称	输入	输出	参数数
参数总量		187 960
1	Input_1	（？，41，1）	（？，41，1）	0
2	Conv1D	（？，41，1）	（？，40，64）	192
3	Conv1D	（？，40，64）	（？，39，64）	256
4	Conv1D	（？，39，64）	（？，38，64）	320
5	Conv1D	（？，38，64）	（？，37，64）	384
6	Conv1D	（？，37，64）	（？，36，64）	448
7	MaxPool	（？，40，64）	（？，64）	0
8	MaxPool	（？，39，64）	（？，64）	0
9	MaxPool	（？，38，64）	（？，64）	0
10	MaxPool	（？，37，64）	（？，64）	0
11	MaxPool	（？，36，64）	（？，64）	0
12	Concatenate	（？，64）*5	（？，320）	0
13	Dropout	（？，320）	（？，320）	0
14	BN	（？，320）	（？，320）	1 280
15	Input_2	（？，1，41）	（？，1，41）	0
16	Bi‑LSTM	（？，1，41）	（？，256）	174 080
17	Dropout	（？，256）	（？，256）	0
18	BN	（？，256）	（？，256）	1 024
19	Concatenate	（？，256）（？，320）	（？，576）	0
20	Dense	（？，576）	（？，16）	9 232
21	Dropout	（？，16）	（？，16）	0
22	BN	（？，16）	（？，16）	64
23	Output	（？，40）	（？，40）	680

环境	版本
操作系统	Windows10 22H2
CPU	Intel Core i5-11400H
GPU	GeForce RTX 3050
内存	DDR4 Samsung 8 GB*2
Anaconda3	2022.10-x86_64
Python	Python 3.7

环境	版本
操作系统	Windows10 22H2
CPU	Intel Core i5-11400H
GPU	GeForce RTX 3050
内存	DDR4 Samsung 8 GB*2
Anaconda3	2022.10-x86_64
Python	Python 3.7

类别	子类
DoS	apache2， back， land， neptune， mailbomb， pod， processtable
Probe	ipsweep， mscan， nmap， portsweep， saint， satan
U2R	buffer_over， flow， loadmodule， perl， ps， rootkit， sqlattck， xterm
R2L	ftp_write， guess_passwd， httptunnel， imap， multihop， named， phf

基于多模型并行融合网络的恶意流量检测方法

Malicious traffic detection method based on multi-model parallel fusion network

RichHTML

PDF

可视化

摘要/Abstract

引用本文

使用本文

图/表 10

参考文献 32

相关文章 15

编辑推荐

Metrics

数据集	Normal	DoS	Probe	U2R	R2L
训练集	53.00	37.00	9.11	0.04	0.85
测试集	43.00	33.00	11.00	0.90	12.10

模型	准确率	精确率	召回率	F1度量
多模型并行融合网络	0.955 2	0.969 8	0.967 4	0.968 5
LightGBM	0.946 4	0.950 5	0.955 1	0.952 8
集成SVM	0.947 1	0.939 2	0.932 7	0.935 9
改进DCGAN	0.959 8	0.932 5	0.897 2	0.914 5
Stacking多特征融合	0.929 3	0.914 4	0.905 2	0.909 8

[1]	尚绍法, 蒋林, 李远成, 朱筠. 异构平台下卷积神经网络推理模型自适应划分和调度方法[J]. 《计算机应用》唯一官方网站, 2023, 43(9): 2828-2835.
[2]	何子仪, 杨燕, 张熠玲. 深度融合多视图聚类网络[J]. 《计算机应用》唯一官方网站, 2023, 43(9): 2651-2656.
[3]	张涵钰, 李振波, 李蔚然, 杨普. 基于机器视觉的水产养殖计数研究综述[J]. 《计算机应用》唯一官方网站, 2023, 43(9): 2970-2982.
[4]	陈俊韬, 朱子奇. 基于多尺度特征提取与融合的图像复制-粘贴伪造检测[J]. 《计算机应用》唯一官方网站, 2023, 43(9): 2919-2924.
[5]	路琨婷, 费蓉蓉, 张选德. 融合卷积神经网络的遥感图像全色锐化[J]. 《计算机应用》唯一官方网站, 2023, 43(9): 2963-2969.
[6]	李校林, 杨松佳. 基于深度学习的多用户毫米波中继网络混合波束赋形[J]. 《计算机应用》唯一官方网站, 2023, 43(8): 2511-2516.
[7]	王一, 谢杰, 程佳, 豆立伟. 基于深度学习的RGB图像目标位姿估计综述[J]. 《计算机应用》唯一官方网站, 2023, 43(8): 2546-2555.
[8]	郭祥, 姜文刚, 王宇航. 基于改进Inception-ResNet的加密流量分类方法[J]. 《计算机应用》唯一官方网站, 2023, 43(8): 2471-2476.
[9]	崔雨萌, 王靖亚, 刘晓文, 闫尚义, 陶知众. 融合注意力和裁剪机制的通用文本分类模型[J]. 《计算机应用》唯一官方网站, 2023, 43(8): 2396-2405.
[10]	张琨, 杨丰玉, 钟发, 曾广东, 周世健. 基于混合代码表示的源代码脆弱性检测[J]. 《计算机应用》唯一官方网站, 2023, 43(8): 2517-2526.
[11]	李豆豆, 李汪根, 夏义春, 束阳, 高坤. 基于特征交互与自适应融合的骨骼动作识别[J]. 《计算机应用》唯一官方网站, 2023, 43(8): 2581-2587.
[12]	梁敏, 刘佳艺, 李杰. 融合迭代反馈与注意力机制的图像超分辨重建方法[J]. 《计算机应用》唯一官方网站, 2023, 43(7): 2280-2287.
[13]	叶坤佩, 熊熙, 丁哲. 基于领域融合和时间权重的招工推荐模型[J]. 《计算机应用》唯一官方网站, 2023, 43(7): 2133-2139.
[14]	何嘉明, 杨巨成, 吴超, 闫潇宁, 许能华. 基于多模态图卷积神经网络的行人重识别方法[J]. 《计算机应用》唯一官方网站, 2023, 43(7): 2182-2189.
[15]	拓雨欣, 薛涛. 融合指针网络与关系嵌入的三元组联合抽取模型[J]. 《计算机应用》唯一官方网站, 2023, 43(7): 2116-2124.