本發(fā)明涉及信息可視化與可視分析，具體為一種面向網(wǎng)絡(luò)入侵檢測(cè)深度學(xué)習(xí)模型的可視化方法。

背景技術(shù)：

1、互聯(lián)網(wǎng)的迅速發(fā)展在給用戶帶來(lái)便利的同時(shí)也伴隨著嚴(yán)峻的網(wǎng)絡(luò)安全挑戰(zhàn)。不法分子利用各種手段進(jìn)行漏洞掃描、拒絕服務(wù)、僵尸網(wǎng)絡(luò)等攻擊，以達(dá)到破壞系統(tǒng)、盜取信息等目的，獲取非法利益，不僅對(duì)個(gè)人和企業(yè)造成了巨大的經(jīng)濟(jì)損失，還對(duì)整個(gè)社會(huì)的信息安全構(gòu)成了嚴(yán)重威脅。網(wǎng)絡(luò)入侵檢測(cè)技術(shù)是一種網(wǎng)絡(luò)安全防護(hù)技術(shù)，通過(guò)分析網(wǎng)絡(luò)流量特征來(lái)識(shí)別異常的網(wǎng)絡(luò)流量模式，及時(shí)發(fā)現(xiàn)并阻止?jié)撛诘娜肭中袨?，是網(wǎng)絡(luò)安全領(lǐng)域重要的研究方向。

2、隨著網(wǎng)絡(luò)技術(shù)的發(fā)展、攻擊手段的更新迭代，基于深度學(xué)習(xí)模型的網(wǎng)絡(luò)入侵檢測(cè)技術(shù)因其出色的特征提取能力和在處理大規(guī)模數(shù)據(jù)時(shí)有更高的準(zhǔn)確率，成為當(dāng)前研究的熱點(diǎn)。然而，由于深度學(xué)習(xí)模型的黑盒性，研究人員無(wú)法準(zhǔn)確了解模型從數(shù)據(jù)中提取的信息和學(xué)到的模式，也無(wú)法根據(jù)專(zhuān)業(yè)知識(shí)驗(yàn)證模型的決策，這限制了深度學(xué)習(xí)模型在網(wǎng)絡(luò)入侵檢測(cè)領(lǐng)域中的應(yīng)用。因此，網(wǎng)絡(luò)安全領(lǐng)域的研究人員需要一種方法來(lái)探索模型的檢測(cè)結(jié)果、分析其工作機(jī)制，以揭示模型的優(yōu)勢(shì)和劣勢(shì)，提高研究人員對(duì)模型結(jié)果的信任。

3、目前已有相關(guān)研究通過(guò)可視化的方法來(lái)對(duì)機(jī)器學(xué)習(xí)模型進(jìn)行可視分析，輔助用戶分析模型的結(jié)果和理解模型的原理。這些研究通過(guò)可視化編碼呈現(xiàn)模型內(nèi)部的決策機(jī)制，通過(guò)交互設(shè)計(jì)幫助用戶從整體到局部地對(duì)模型進(jìn)行多層次探索，解決網(wǎng)絡(luò)安全領(lǐng)域的研究人員在分析基于深度學(xué)習(xí)技術(shù)的網(wǎng)絡(luò)入侵檢測(cè)模型中的困難。然而，這些方法無(wú)法對(duì)模型結(jié)果進(jìn)行多層次分析的同時(shí)識(shí)別相似樣本。此外，網(wǎng)絡(luò)安全分析師通常需要對(duì)感興趣的數(shù)據(jù)子集或數(shù)據(jù)實(shí)例的特征進(jìn)行分析，從特征取值和特征模式的角度分析樣本的檢測(cè)偏差。但現(xiàn)有研究主要關(guān)注特征重要性對(duì)模型性能的影響，缺乏對(duì)不同數(shù)據(jù)子集的特征取值和特征模式進(jìn)行對(duì)比。

技術(shù)實(shí)現(xiàn)思路

1、針對(duì)上述問(wèn)題，本發(fā)明的目的在于提供一種面向網(wǎng)絡(luò)入侵檢測(cè)深度學(xué)習(xí)模型的可視化方法，能夠?yàn)橛脩籼峁┒喾N數(shù)據(jù)可視化方法以及交互聯(lián)動(dòng)分析手段，幫助網(wǎng)絡(luò)安全領(lǐng)域的研究人員從模型性能概覽、關(guān)鍵樣本分析、模型機(jī)制理解三個(gè)方面，探索模型的檢測(cè)結(jié)果、深入分析其工作機(jī)制，以揭示入侵檢測(cè)深度學(xué)習(xí)模型的優(yōu)勢(shì)和局限性，為模型進(jìn)一步的優(yōu)化獲取重要的見(jiàn)解。技術(shù)方案如下：

2、一種面向網(wǎng)絡(luò)入侵檢測(cè)深度學(xué)習(xí)模型的可視化方法，包括以下步驟：

3、s1：數(shù)據(jù)獲取與處理

4、獲取現(xiàn)有的網(wǎng)絡(luò)安全數(shù)據(jù)集作為實(shí)驗(yàn)數(shù)據(jù)，同時(shí)進(jìn)行數(shù)據(jù)預(yù)處理工作并基于現(xiàn)有的開(kāi)源代碼和超參數(shù)訓(xùn)練dbn(deep?belief?network深度信念網(wǎng)絡(luò))模型，其次保存訓(xùn)練的結(jié)果數(shù)據(jù)用以繪制可視化視圖；

5、s2：可視化映射

6、通過(guò)視覺(jué)通道將經(jīng)步驟s1獲得的數(shù)據(jù)進(jìn)行可視化映射：

7、設(shè)計(jì)結(jié)果探索視圖：使用導(dǎo)航欄展示模型的總體評(píng)估指標(biāo)，通過(guò)混淆矩陣顯示模型在每個(gè)類(lèi)別上的正確預(yù)測(cè)數(shù)量和錯(cuò)誤預(yù)測(cè)數(shù)量，并支持用戶對(duì)感興趣的一類(lèi)樣本展開(kāi)交互式探索分析；

8、設(shè)計(jì)數(shù)據(jù)聚合視圖：使用散點(diǎn)圖的形式呈現(xiàn)與模型結(jié)果探索視圖單元格關(guān)聯(lián)的數(shù)據(jù)樣本的降維結(jié)果，輔助用戶發(fā)現(xiàn)相似樣本和特殊樣本；

9、設(shè)計(jì)互信息視圖：互信息視圖包括上方的并列熱力圖以及下面的折線圖；所述并列熱力圖展示dbn模型的逐層推理過(guò)程，顯示dbn模型從第一層到最后一層神經(jīng)網(wǎng)絡(luò)對(duì)特征的學(xué)習(xí)情況；所述折線圖表示每個(gè)特征在dbn模型的不同層神經(jīng)網(wǎng)絡(luò)上的學(xué)習(xí)演變情況；

10、設(shè)計(jì)交互概念視圖：交互概念視圖包括上方的弧線關(guān)聯(lián)圖以及下面的熱力矩陣圖；所述弧線關(guān)聯(lián)圖編碼特征的獨(dú)立效用和特征之間的交互效用，幫助用戶理解模型學(xué)到的重要攻擊模式；所述熱力矩陣圖顯示各個(gè)特征具體的效用數(shù)值；

11、s3：可視化布局與實(shí)現(xiàn)

12、對(duì)s2中完成映射的視覺(jué)模塊進(jìn)行可視化布局并實(shí)現(xiàn)：

13、在結(jié)果探索視圖中，模型的總體評(píng)估指標(biāo)數(shù)據(jù)顯示在頂部的導(dǎo)航欄；混淆矩陣的行表示實(shí)際類(lèi)別，列表示預(yù)測(cè)類(lèi)別，矩陣單元格內(nèi)的數(shù)值和顏色表示模型在每個(gè)類(lèi)別上的預(yù)測(cè)數(shù)量，混淆矩陣旁邊放置一個(gè)顏色圖例指示樣本數(shù)量與顏色的對(duì)應(yīng)關(guān)系；

14、在數(shù)據(jù)聚合視圖中，將用戶在結(jié)果探索視圖選擇的單元格中的樣本通過(guò)t-sne降維算法投影到散點(diǎn)圖中，用散點(diǎn)顏色編碼不同預(yù)測(cè)情況的樣本點(diǎn)，不同樣本之間的相對(duì)位置關(guān)系反映它們?cè)谠几呔S空間中的相似性和差異性；

15、在互信息視圖中，并列熱力圖每一列從上至下分別編碼dbn模型的不同層神經(jīng)網(wǎng)絡(luò)對(duì)不同特征的學(xué)習(xí)情況，從左至右不同列分別編碼n個(gè)不同的特征，在每列特征的正下方，使用折線表示該特征經(jīng)過(guò)dbn模型的每一層時(shí)，模型對(duì)其信息的保留情況；

16、在交互概念視圖中，表示特征效用情況的帶中心標(biāo)記的環(huán)形餅圖均勻分布在視圖最頂端，并在其下方繪制表示特征交互關(guān)系的貝塞爾曲線；下方的熱力矩陣圖對(duì)交互效用數(shù)值從小到大進(jìn)行排序，按順序依次平鋪在弧線關(guān)聯(lián)圖下方；s4：交互設(shè)計(jì)

17、在結(jié)果探索視圖中，用戶通過(guò)混淆矩陣查看模型在不同類(lèi)別上的表現(xiàn)進(jìn)行評(píng)估，并通過(guò)鼠標(biāo)單擊選中混淆矩陣的特定單元格，實(shí)現(xiàn)聯(lián)動(dòng)更新數(shù)據(jù)聚合視圖的內(nèi)容，以共同進(jìn)行數(shù)據(jù)分析；數(shù)據(jù)聚合視圖允許用戶通過(guò)套索選中感興趣的數(shù)據(jù)點(diǎn)，進(jìn)一步查看選擇樣本數(shù)據(jù)相應(yīng)的互信息視圖和交互概念視圖內(nèi)容。

18、進(jìn)一步的，在步驟s1中，數(shù)據(jù)獲取與處理具體為：

19、s11：采用現(xiàn)有的cicids2017數(shù)據(jù)集作為實(shí)驗(yàn)數(shù)據(jù)，對(duì)數(shù)據(jù)集進(jìn)行以下處理：數(shù)據(jù)集合并、數(shù)據(jù)清洗、數(shù)據(jù)集劃分和數(shù)據(jù)轉(zhuǎn)換；

20、s12：刪除數(shù)據(jù)集中標(biāo)準(zhǔn)差小于設(shè)定誤差值的特征，以及刪除兩個(gè)特征之間皮爾遜相關(guān)系數(shù)大于設(shè)定相關(guān)值的其中一個(gè)特征；

21、s13：對(duì)攻擊類(lèi)型進(jìn)行重組，將具有相似特征和行為的攻擊類(lèi)合并成新的攻擊類(lèi)，提高少數(shù)類(lèi)樣本在整個(gè)數(shù)據(jù)集中的比例；

22、s14：進(jìn)行可視分析研究，并重新訓(xùn)練dbn模型，并以訓(xùn)練的結(jié)果為準(zhǔn)進(jìn)行后續(xù)分析。

23、更進(jìn)一步的，在步驟s2中，可視化映射具體包括：

24、s21：結(jié)果探索視圖中，將宏平均f1micro、微平均f1macro、加權(quán)平均f1weight數(shù)值顯示在頂部的導(dǎo)航欄；結(jié)果探索視圖的混淆矩陣的行表示實(shí)際類(lèi)別，從上至下依次表示各標(biāo)簽類(lèi)型；列表示預(yù)測(cè)類(lèi)別，從左至右用相同順序表示各標(biāo)簽類(lèi)型；混淆矩陣旁邊放置一個(gè)顏色圖例指示樣本數(shù)量與顏色的對(duì)應(yīng)關(guān)系；

25、s22：數(shù)據(jù)聚合視圖通過(guò)散點(diǎn)圖的形式呈現(xiàn)與混淆矩陣單元格關(guān)聯(lián)的數(shù)據(jù)樣本的降維結(jié)果，散點(diǎn)圖采用t-sne方式進(jìn)行降維，視圖中樣本點(diǎn)的顏色編碼樣本點(diǎn)的不同預(yù)測(cè)情況；

26、s23：互信息視圖從上至下分別編碼dbn模型的不同層神經(jīng)網(wǎng)絡(luò)對(duì)不同特征的學(xué)習(xí)情況，從左至右分別編碼不同的特征，視圖使用線性漸變色映射dbn模型學(xué)習(xí)過(guò)程中不同層神經(jīng)網(wǎng)絡(luò)對(duì)特征信息的遺忘程度；在每列特征的正下方，使用折線表示該特征經(jīng)過(guò)dbn模型的每一層時(shí)，模型對(duì)其信息的保留情況；

27、s24：交互概念視圖包括一個(gè)帶中心標(biāo)記的環(huán)形餅圖，每個(gè)環(huán)形餅圖代表一個(gè)特征，外層編碼特征之間交互效用值中正值與負(fù)值的比例，內(nèi)層是一個(gè)圓形標(biāo)記，標(biāo)記對(duì)應(yīng)特征是否在模型預(yù)測(cè)中具有獨(dú)立效用；通過(guò)貝塞爾曲線連接具有交互效用的特征環(huán)形餅圖，貝塞爾曲線的粗細(xì)表示交互效用的數(shù)值大小；視圖下方的矩陣熱力圖編碼顯示特征具體的效用數(shù)值；

28、更進(jìn)一步的，在步驟s3中，可視化布局實(shí)現(xiàn)中數(shù)據(jù)聚合可視化布局與實(shí)現(xiàn)具體如下：

29、s311:數(shù)據(jù)采樣

30、s311a：確定采樣上限:對(duì)樣本數(shù)量的降維結(jié)果進(jìn)行分析，確定能夠保持?jǐn)?shù)據(jù)的代表性的樣本數(shù)量作為采樣上限；

31、s311b：確定采樣下限：以混淆矩陣各單元格的數(shù)量計(jì)算數(shù)據(jù)的最小值、上四分位數(shù)、中位數(shù)、下四分位數(shù)和最大值，獲得數(shù)據(jù)樣本數(shù)量的分布情況，根據(jù)計(jì)算結(jié)果確定采樣下限；

32、s312：樣本點(diǎn)投影實(shí)現(xiàn)

33、s312a：計(jì)算高維空間中樣本數(shù)據(jù)的相似度

34、樣本xi和xj之間的相似度pj|i的計(jì)算公式如下：

35、

36、式中，σi是根據(jù)樣本xi的局部密度自適應(yīng)的高斯核寬度；xk為高維空間中除樣本xi外的其他樣本；

37、同理計(jì)算出樣本xj和xi之間的相似度pi|j；

38、s312b：采用平均的方式定義高維空間中樣本xi和xj間的對(duì)稱(chēng)相似度pij，計(jì)算方法如下：

39、

40、其中，n0是樣本總數(shù)；

41、s312c:計(jì)算低維空間中樣本間的相似度

42、在低維空間中，使用t分布來(lái)定義樣本yi和yj間的相似度qij，具體的計(jì)算公式如下：

43、

44、其中，yk和yl為低維空間中不相等的任意兩個(gè)樣本；

45、s312d:最小化高維空間和低維空間之間的kl散度

46、定義kl散度作為目標(biāo)函數(shù)c，通過(guò)優(yōu)化低維空間中的坐標(biāo)來(lái)最小化個(gè)目標(biāo)函數(shù)c，從而得到最終的降維結(jié)果；目標(biāo)函數(shù)c計(jì)算公式如下：

47、

48、更進(jìn)一步的，在步驟s3中，可視化布局實(shí)現(xiàn)中互信息可視化布局與實(shí)現(xiàn)具體如下：

49、s321：準(zhǔn)備輸入數(shù)據(jù)，包括待解釋的數(shù)據(jù)樣本x、待解釋dbn模型第n層的前向傳播函數(shù)φn以及訓(xùn)練數(shù)據(jù)集d；

50、s322：計(jì)算正則化項(xiàng)：使用數(shù)據(jù)集d、待解釋dbn模型第n層的前向傳播函數(shù)φn來(lái)計(jì)算正則化項(xiàng)，即計(jì)算模型隱藏狀態(tài)的標(biāo)準(zhǔn)方差；

51、s323：以正則化項(xiàng)、第n層的前向傳播函數(shù)φn、待解釋的數(shù)據(jù)樣本x作為參數(shù)，初始化一個(gè)interpreter類(lèi)，即初始化一個(gè)解釋模型第n層的解釋器；

52、s324：優(yōu)化解釋器，并獲取解釋器關(guān)于數(shù)據(jù)樣本x的每個(gè)特征對(duì)模型第n層的隱藏狀態(tài)的貢獻(xiàn)程度；

53、s325：重復(fù)步驟21至步驟24，直到獲取數(shù)據(jù)樣本x的每個(gè)特征對(duì)模型各個(gè)層次的解釋結(jié)果。

54、更進(jìn)一步的，在步驟s3中，可視化布局實(shí)現(xiàn)中交互概念可視化布局與實(shí)現(xiàn)具體如下：

55、s331:交互概念學(xué)習(xí)：

56、s331a：準(zhǔn)備輸入數(shù)據(jù)，包括待解釋的數(shù)據(jù)樣本x，待解釋的模型f，訓(xùn)練數(shù)據(jù)集d；

57、s331b：初始化基線值：將基線值ri初始化為所有樣本中變量i的平均值，然后將ri約束在一個(gè)相對(duì)較小的范圍內(nèi)，即||ri-riinit||≤τ；其中τ為所有樣本中變量i的標(biāo)準(zhǔn)差與邊界閾值的乘積；

58、s331c：定義掩碼函數(shù)：將被掩碼的特征替換為基線中的對(duì)應(yīng)值，而未被掩碼的特征保持?jǐn)?shù)據(jù)樣本中的原始值；

59、s331d：計(jì)算交互效用：將深度學(xué)習(xí)模型的推理分?jǐn)?shù)分解為所有潛在相互作用效應(yīng)的總和，如下式所示：

60、

61、其中，n表示待解釋的數(shù)據(jù)樣本中所有的特征，s表示特征的所有非空子集，i(s)表示s中特征的交互效用，i(s)的計(jì)算公式如下：

62、

63、其中，t是s的所有子集；xt是一個(gè)掩碼樣本，表示樣本x在集合t以外的輸入單元被遮擋，而在集合t中的輸入單元保持不變，f(xt)則表示神經(jīng)網(wǎng)絡(luò)在該遮擋樣本xt上的輸出；

64、s331e：學(xué)習(xí)最佳基線值來(lái)進(jìn)一步提高交互模式的稀疏性，從而增強(qiáng)解釋的簡(jiǎn)潔性；

65、s331f：保存結(jié)果用于視圖繪制；

66、s332：弧線關(guān)聯(lián)圖字形實(shí)現(xiàn)

67、交互概念可視化視圖字形包括帶中心標(biāo)記的環(huán)形餅圖和貝塞爾曲線圖兩個(gè)部分；其中每個(gè)環(huán)形餅圖代表一個(gè)特征，內(nèi)層的圓形標(biāo)記根據(jù)顏色編碼特征是否在模型預(yù)測(cè)中具有獨(dú)立效用，外層環(huán)根據(jù)特征的交互效用值中的正負(fù)比例進(jìn)行計(jì)算，每個(gè)特征的正負(fù)效用值的圓環(huán)弧角度計(jì)算公式如下：

68、θk＝2π*p??????????????????????????(7)

69、θp＝2π*(1-p)???????????????????????(8)

70、其中，θk為每個(gè)特征的正效用值的圓環(huán)弧角度，θp為每個(gè)特征的負(fù)效用值的圓環(huán)弧角度，p表示特征交互概念計(jì)算結(jié)果中正效用值的比例；

71、貝塞爾曲線用來(lái)表示兩個(gè)特征之間的交互效用；根據(jù)兩個(gè)特征對(duì)應(yīng)的環(huán)形餅圖的中心坐標(biāo)，計(jì)算得到貝塞爾曲線起點(diǎn)和終點(diǎn)，控制點(diǎn)的坐標(biāo)根據(jù)環(huán)形餅圖的距離和視圖的高度進(jìn)行調(diào)整，以控制貝塞爾曲線的高度；

72、首先計(jì)算兩個(gè)特征之間的距離，也即兩個(gè)圓環(huán)餅圖的之間的距離，具體計(jì)算公式如下：

73、

74、其中，(sourcex,sourcey)，(targetx,targety)是兩個(gè)特征圓環(huán)餅圖的坐標(biāo)位置，接著計(jì)算貝塞爾曲線的高度，具體計(jì)算公式如下：

75、linksheight＝min(distance/2+height/1.4)????????(10)

76、其中，height是整個(gè)基于交互概念視圖的高度；

77、使用三次貝塞爾曲線順次連接兩個(gè)特征圓環(huán)餅圖節(jié)點(diǎn)；繪制三次貝塞爾曲線需要用到的四個(gè)點(diǎn)分別是：起始點(diǎn)startpoint，坐標(biāo)位置為(sourcex,sourcey)，終止點(diǎn)endpoint，坐標(biāo)位置為(targetx,targety)以及控制點(diǎn)controlpoint1和controlpoint2，其中：

78、controlpoint1＝(sourcex,maxy+linksheight)???????????(11)

79、controlpoint2＝(targetx,maxy+linksheight)???????????(12)

80、其中，maxy是sourcey和targety中的較大值；

81、曲線寬度根據(jù)交互效用的絕對(duì)值進(jìn)行編碼，曲線寬度計(jì)算公式如下：

82、stroke_width?＝max(min(|link_interaction|),?10),?1)?????(13)

83、其中，link_interaction為特征的交互效用值；

84、s333：繪制熱力矩陣圖

85、將獲取的交互效用值進(jìn)行排序，然后依次繪制需要的矩形，根據(jù)交互效用值的大小使用對(duì)應(yīng)的顏色編碼方案進(jìn)行填充，對(duì)于負(fù)值到0之間的交互效用數(shù)值，創(chuàng)建顏色1到白色之間的線性漸變色進(jìn)行映射；對(duì)于0到正值之間的交互效用數(shù)值，創(chuàng)建白色到顏色2之間的線性漸變色進(jìn)行映射；最后，將對(duì)應(yīng)的交互效用數(shù)值顯示在對(duì)應(yīng)的矩形上。

86、本發(fā)明的有益效果是：

87、1)針對(duì)現(xiàn)有方法難以同時(shí)分析模型結(jié)果和識(shí)別相似樣本的問(wèn)題，本發(fā)明方法允許用戶從模型的總體檢測(cè)結(jié)果、各個(gè)攻擊類(lèi)別的檢測(cè)結(jié)果、數(shù)據(jù)實(shí)例的檢測(cè)結(jié)果三個(gè)層次進(jìn)行自由探索，并在分析具體的數(shù)據(jù)實(shí)例時(shí)，編碼數(shù)據(jù)實(shí)例之間的相似性。

88、2)針對(duì)現(xiàn)有方法難以解釋模型單個(gè)樣本特征的學(xué)習(xí)演變以及對(duì)模型結(jié)果具有重要影響的特征組合的問(wèn)題，本發(fā)明方法允許用戶分析模型的不同層對(duì)單個(gè)樣本特征的學(xué)習(xí)演變情況，以及發(fā)現(xiàn)對(duì)模型結(jié)果具有重要影響的特征組合。