公开(公告)号：CN116318787B

公开(公告)日：2023-11-07

申请号：CN202211571092.X

申请日：2022-12-08

Applicant: 中国科学院信息工程研究所

Inventor： 张晓宇 ,  李文灏 ,  刘峰

IPC: H04L9/40 ,  G06N5/01 ,  G06N3/0442 ,  G06N3/08 ,  G06F18/2431

Abstract: 本发明公开了一种基于可解释人工智能的实时入侵检测方法及系统。本方法为：1)将数据集中每一网络流的前置字节作为对应网络流的特征表示；2)将不可导的决策树模型连接到流序列深度模型之后；将流序列深度模型中输出层的参数与网络流的特征表示对位相乘后，作为决策树模型的输入，训练决策树模型；3)使用多层感知机替代决策树模型，使用处理后的数据集进行训练；训练时使用决策树模型的平均决策路径深度函数作为损失函数；4)循环迭代进行步骤2)～3)，训练结束后得到可解释的决策树模型；5)遍历决策树模型中的入侵流量判定路径上的决策条件，形成等价的入侵流量检测规则集合；6)根据入侵流量检测规则集合对网络流量进行实时检测。

公开(公告)号：CN115225310A

公开(公告)日：2022-10-21

申请号：CN202210547678.6

申请日：2022-05-18

Applicant: 中国科学院信息工程研究所

Inventor： 张晓宇 ,  李文灏 ,  刘峰

IPC: H04L9/40

Abstract: 本发明提供了一种基于优化元学习的轻量恶意软件流量检测方法及装置，所述方法包括：将每一恶意软件家族产生的加密流量数据分割为若干网络会话，并生成每一网络会话的二维会话灰度图样本；基于所述二维会话灰度图样本，训练原始网络，得到恶意软件流量检测模型；将待测软件流量的二维会话灰度图输入至所述恶意软件流量检测模型，得到恶意软件流量检测结果。本发明使用元学习框架提高了恶意软件加密流量的检测与分类效率，通过原点优化算法与三元组优化算法提高了原型网络在高维度量空间中的样本使用效率和特征分布合理性，并在只使用少量训练样本的前提下，训练能具备更高检出率的恶意软件加密流量检测模型。

公开(公告)号：CN114866301A

公开(公告)日：2022-08-05

申请号：CN202210440703.0

申请日：2022-04-25

Applicant: 中国科学院信息工程研究所

Inventor： 张晓宇 ,  李文灏 ,  刘峰

IPC: H04L9/40 ,  H04L67/14

Abstract: 本发明公开了一种基于直推图的加密流量识别与分类方法及系统。本方法包括：首先，收集已知网络环境下已知类别的加密流量数据与跨网环境下未知标签信息的加密流量数据；然后，收集到的网络流量数据分割为单个网络会话；聚合具有相同地址信息的会话，形成会话簇集合；然后，以会话簇集合中的会话簇为结点单位，计算结点之间的特征相似度，构建结点之间的关系边；以结点信息与结点之间的关系边构建直推图；然后，通过迭代的“聚合扩散”的图推理算法预测未知结点的类别信息。本发明可以在网络流量训练样本多样性不足的情况下，高效稳定地识别与分类通用网络下收集的网络应用流量，并识别出训练集合中未包含的新类网络应用流量数据。

公开(公告)号：CN104657744A

公开(公告)日：2015-05-27

申请号：CN201510046879.8

申请日：2015-01-29

Applicant: 中国科学院信息工程研究所

Inventor： 张晓宇 ,  王树鹏 ,  吴广君

IPC: G06K9/62

CPC classification number: G06K9/6256 ,  G06K9/627

Abstract: 本发明公开了一种基于非确定主动学习的多分类器训练方法及分类方法。本方法为：1)选取或初始化一多分类器；对未标注样本集中的每一样本，利用该多分类器计算该样本的总体信息量Info；所述总体信息量为：模型变更信息量与模型调优信息量之和；2)对该未标注样本集进行聚类，得到J个子类；3)从每个子类中选取总体信息量Info值最小的若干未标注样本；再从所选样本中选取K个样本进行标注后加入到已标注样本集L；4)将更新后的已标注集L作为训练数据重新训练该多分类器；5)迭代执行步骤1)～4)设定次数；然后利用最终得到的多分类器对未标注集进行分类。本发明实现样本信息量的综合评价，从而获得高效化、智能化的多分类器。