http://www.arocmag.com/article/02-2019-09-037.html

计算机应用研究收稿日期:2018-01-30;修回日期:2018-04-16基金项目:国家重点研发计划基金资助项目(2017YFB0802900)作者简介:王家宝(1985-),男,安徽肥西人,讲师,博士,主要研究方向为机器学习计算机视觉(jiabao_1108@163.
com);徐伟光(1984-),男,安徽宿州人,讲师,博士,主要研究方向为机器学习网络安全防护;周振吉(1985-),男,江苏连云港人,讲师,博士,主要研究方向为网络攻击与防护;李阳(1984-),男,河北廊坊人,讲师,博士研究生,主要研究方向为计算机视觉机器学习;苗壮(1976-),男,副教授,博士,主要研究方向为智能信息处理.
网络攻击检测的门控记忆网络方法*王家宝,徐伟光,周振吉,李阳,苗壮(陆军工程大学,南京210007)摘要:针对互联网大规模网络攻击检测难题,结合词向量特征表示与循环神经网络,提出了一种门控记忆网络检测方法.
该方法首先将网络请求数据转换为低维实值向量序列表示,然后利用门控循环神经网络的长时记忆能力提取请求数据的特征,最后采用逻辑斯特回归分类器实现了对网络攻击的自动检测.
在CSIC2010公开数据集上,达到了98.
5%的10折交叉验证F1分数.
与传统方法相比,较大幅度地提高了网络攻击检测的准确率和召回率.
所提方法可自动检测网络攻击,具有良好的检测效果.
关键词:网络攻击检测;低维实值向量表示;门控循环神经网络中图分类号:TP393.
08doi:10.
3969/j.
issn.
1001-3695.
2018.
01.
0169GatedmemorynetworkapproachforWebattackdetectionWangJiabao,XuWeiguang,ZhouZhenji,LiYang,MiaoZhuang(ArmyEngineeringUniversityofPLA,Nanjing210007,China)Abstract:Tosolvetheproblemoflarge-scalenetworkattackdetection,thispaperproposedagatedmemorynetworkmethod,basedonwordvectorfeaturerepresentationandrecurrentneuralnetwork.
Firstly,theproposedmethodtransformedthenetworkrequestdataintolow-dimensionreal-valuevectorsequencerepresentation.
Andthen,itextractedthefeaturesofrequestdatabyusingthememoryabilityofgatedrecurrentneuralnetwork.
Finally,itadoptedthelogisticregressionclassifiertoachieveautomaticdetectionofnetworkattack.
OntheCSIC2010publicdataset,thismethodachieves98.
5%10-foldcross-validationF1-score.
Comparingwithtraditionalmethods,itcaneffectivelyimprovetheprecisionandrecallratesfordetectingnetworkattack.
Theproposedmethodcandetectnetworkattacksautomaticallyandhasgooddetectionresults.
Keywords:networkattackdetection;low-dimensionreal-valuevectorrepresentation;gatedrecurrentneuralnetworks0引言随着互联网规模的不断发展,网络攻击已成为各国安全部门和企业面临的重大问题.
由于网络攻击手段多样、类型各异,且极易变种,导致对网络攻击的检测也面临着巨大困难.
针对互联网大规模的网络通信行为,如果能够自动地判断通信行为的恶意性,则可以有效地避免网络攻击行为产生的破坏及其可能的次生灾害.
目前,针对网络攻击行为的检测主要分为基于模式匹配的检测和基于模式分类的检测[1].
前者是当前大多数网络安全软件的主要手段,即通过模式匹配或统计分析判断系统或网络日志中的不正常行为,如登录不期望的位置、访问未授权文件、网络流量异常、程序行为异常等[2].
该类检测方法通常是在攻击行为发生或事后进行的检测,无法在事前和事中进行预先检测判断.
后者通常先可对通信内容提取特征[3],再利用分类器直接进行检测.
该类方法可直接针对网络通信流数据进行,对发现的异常通信数据直接处理或丢弃,避免攻击行为对主机造成影响.
基于模式分类的检测方法是本文研究的重点.
目前该方法主要是借鉴文本分类技术,通过提取内容的描述特征,将网络攻击检测问题转换为模式分类问题进行处理.
其中特征表示方法主要包括词袋(Bag-of-Words)表示[4]、TF-IDF表示[5]、n-gram表示[6];分类检测方法主要包括贝叶斯[7]、决策树[8]、支持向量机[9,10]、多层感知机[11,12]、K-近邻[13]等经典机器学习方法.
近年来,随着深度学习的发展,特征表示与分类识别研究内容均得到了新发展.
在文本特征表示方面,谷歌研究组提出的word2vec模型能够将传统高维的one-hot词向量表示转换为低维实值向量表示,改变了文本词的表达能力,使得词与词之间可以度量距离(相似度)[14,15].
该特征表示在情感分类方面chinaXiv:201805.
00455v1ChinaXiv合作期刊录用稿王家宝,等:网络攻击检测的门控记忆网络方法得到了很好的应用[16],但主要限于与文本词内容的相关研究.
对于网络通信而言,基于网络协议的通信请求是由字符串组成的流序列,可以被转换为文本词序列以低维实值向量序列进行表示.
同时,对于产生的序列数据,循环神经网络(recurrentneuralnetwork,RNN)和门控循环神经网络(gatedRNN)具有良好的建模能力,并在文本分类[17]、入侵检测[18]、机器翻译[19]等领域得到了广泛应用.
受低维实值词向量模型[14,15]和门控循环网络模型[19,20]的启发,本文提出了一种网络攻击检测的门控记忆网络方法.
该方法中,基于HTTP网络通信的请求内容被表示为低维实值向量序列,增强了数据的特征表示能力;同时,具有长时记忆能力的门控循环神经网络模型被用于建模序列中长间隔的词间关系,有效提升了分类检测效果.
与传统方法相比,在CSIC2010公开数据集上,所提门控记忆网络方法较大幅度地提高了网络攻击检测的准确率和召回率.
1网络攻击检测的门控记忆网络方法1.
1门控记忆网络方法的流程框架图1是所提出网络攻击检测的门控记忆网络方法的流程框架.
其中,攻击用户通过Web协议发出攻击请求,该请求数据是网络攻击检测的原始数据.
图1网络攻击检测的门控记忆网络方法流程框架该流程框架中,首先从网络交换机抓取并解析数据包;然后解析后数据,经过低维实值特征表示转变为门控记忆网络模型的输入数据;最后通过预先训练的门控记忆网络模型对未知类别的输入数据进行预测,判定是攻击请求或正常请求.
门控记忆网络模型的参数是在训练数据上预先学习得到的.
训练数据包含正常数据和攻击数据两类样本.
经过低维实值特征表示输入模型进行训练.
该流程框架的核心内容是低维实值特征表示和门控记忆网络模型.
1.
2低维实值特征表示网络攻击的实施依赖于网络通信,且多以异常的通信请求出现.
通常,通信请求可以被看做是一个命令字符串,而异常的网络通信请求数据中通常包含特殊的命令字符串,如systemInfo、alert、SELECT等,因此可以通过对请求数据中包含的字符串进行分类来检测网络攻击.
图2是基于HTTP网络协议攻击数据的低维实值特征表示过程.
该过程主要包括词切分、量化和降维三个步骤.
图2HTTP网络协议攻击数据的低维实值特征表示过程1)词切分对于通信请求字符串而言,其内容是根据网络协议的规则构造的,故其格式是具有一定规范的,也是能够被转换成由一系列"单词"或符号组成的文本.
例如,针对网络服务器的访问很大一部分是基于HTTP协议的,而请求数据的载荷部分中所提交的参数字符串,可以视为由符号"&"分隔的若干段,每个段内存在键和值两部分,以"="连接.
因此,可以将请求字符串分隔成若干"单词"或符号的序列,即使"单词"或符号是没有字面意义.
在此基础上,借助现有的文本表示技术实现对请求数据的量化表示.
2)量化在词切分之后,传统文本分类的特征表示方法通常将每个词表示为一个one-hot向量.
one-hot向量是一个二进制向量,在词汇表中第个单词的第个元素被设置为1,其他元素都被设置为0,以此唯一地表示一个词.
对于一个由个词组成的序列而言,可以表示为一个长度为的one-hot序列.
但是,one-hot向量是一个稀疏高维二值向量,该特征表示在计算是耗时较大,且难以度量两个词之间的距离(相似度)关系,如两个词是语义相近的同义词.
3)降维为了克服one-hot向量表示的不足,本文将一个one-hot向量投影为一个低维空间中的实值向量(为空间维度).
该投影过程可以通过对向量左乘一个投影矩阵实现(式(1)),其中是无重复词典中词的个数.
(1)矩阵可以通过随机赋值得到或通过包含一个隐层的网络学习得到.
实验表明,通过学习得到的矩阵具有更好的低维表示.
矩阵学习的网络输入一个one-hot词向量,输出与其相邻的下一个one-hot向量词,以此来学习两个共现词之间的关系.
网络训练完成后,其隐藏输出即为低维实值向量.
降维表示将一个高维稀疏的one-hot序列转换为一个低维实值向量序列.
1.
3门控记忆网络模型门控记忆网络模型由一个门控循环神经网络和一个逻辑斯特回归分类器组成.
其中,门控循环神经网络对序列数据进行建模,抽取长时记忆特征表示;逻辑斯特回归分类器完成对请求数据的二类分类预测判定.
1.
3.
1门控循环神经网络近年来,循环神经网络在语音识别领域取得了优越的成果,其结构主要由一个循环过程构成:(2)其中:时刻的激活由时刻的输入和时刻的激活chinaXiv:201805.
00455v1ChinaXiv合作期刊录用稿王家宝,等:网络攻击检测的门控记忆网络方法决定,如图3左侧所示.
循环神经网络通过循环迭代计算使信息可以得到长时记忆,对于序列数据具有优秀的建模能力.
但是经典的循环神经网络在训练模型时面临着梯度弥散问题[21].
为了克服该问题,长短期记忆(longshort-termmemory,LSTM)单元结构[18,22]被引入循环神经网络.
该结构由输入门、遗忘门、输出门等门控单元组成,以维持长时序列数据的信息记忆.
由于网络由一系列门控单元组成,也被称为门控循环神经网络.
受门控循环神经网络[19,20]的启发,网络攻击检测的门控记忆网络单元结构如图3右侧所示.
其中,为低维实值特征表示的输入向量;为网络时刻的隐状态;为网络时刻输出的隐状态;不仅作为时刻的输入,还作为计算最终输出结果的输入.
虚线框中,箭头表示数据流向;表示点乘操作;表示向量加操作;表示对输入x变量1-x操作;表示sigmoid激活操作;tanh表示tanh激活操作.
低维实值向量序列进入门控记忆网络后会按序列展开进行计算,当最后一个向量进入网络经计算后,对应输出即为门控记忆网络的输出.
图3循环神经网络(左)与门控记忆网络单元结构(右)图3中门控记忆网络单元结构主要由重置门和更新门组成,形式化如下:(3)(4)其中:与分别为输入和隐状态的权重;为对应的偏置;为sigmoid函数.
最终输出:,(5)其中:;为tanh函数;为元素点乘;、和分别为输入和隐状态的权重,以及对应偏置.
的计算结果受重置门控制,若,则,即时刻的信息输入不起作用,此时隐含信息仅由时刻输入信息控制,即遗忘了其历史信息,被时刻输入信息重置.
最终输出是由控制加权平均时刻隐含信息与时刻隐含信息得到.
与LSTM相比,门控记忆网络单元结构将输入门和遗忘门整合为更新门,以平衡时刻的激活和时刻的更新激活,同时重置门通过元素点乘决定是否遗忘时刻的激活.
序列数据的最终输出为具有长时记忆特性的隐含状态,该向量作为分类器的输入.
1.
3.
2逻辑斯特回归分类器对于网络攻击检测二类分类问题,输入为网络协议请求数据,经低维实值特征表示转换为长度为的向量序列;再经门控循环神经网络提取长时记忆特征;最终通过一个二类分类器进行分类输出.
本文采用逻辑斯特回归分类器.
训练时,给定一组二值标签样本,其中:为第个样本的特征向量;为其对应的真实类别标签(1表示攻击样本,0表示正常样本);为训练样本个数.
根据最大似然估计原理,计算所有样本的似然如下:(6)其中:逻辑斯特函数,其值可表示对输入样本判定为攻击样本的概率;为待学习参数向量.
为了方便优化,将最大化转变为最小化负的对数似然:(7)对于一个训练样本而言,式(7)中求和的两项只有一项不为零(取决于标签是1或0).
当,最小化优化目标意味着需要使变大;当,则需要使变大.
实际过程中,逻辑斯特回归分类器可与门控记忆网络连接起来共同训练,门控记忆网络输出隐状态通过一个一个全连接层来计算输出,再连接一个sigmoid层实现的计算,最后损失层计算式(7)结果.
优化时,采用随机梯度下降算法进行参数更新,从后向前先计算偏导数,再根据反向传播算法,依次计算各层的偏导数以实现网络参数的学习.
测试时,将损失函数替换为一个逻辑斯特函数.
当需要预测判定一个新的样本是属于"1"还是属于"0"时,则可以通过比较与的大小来进行判定.
若,则判为"1",否则判为"0".
1.
4门控记忆网络方法的实现细节对于CSIC2010数据集,先从中提取的通信请求数据.
对于GET请求直接提取URI信息,对于PUT和POST请求提取URI和负载数据并将两者拼接起来,作为低维实值特征表示的输入,经过低维实值特征表示转换为一个词向量序列.
具体实现时,词向量序列由一个词索引序列和一个词索引到词向量的映射矩阵组成.
词索引序列中每个索引对应一个预训练好的词向量,根据词索引可从词索引到词向量的映射矩阵中找到词向量,该表示可大大节省空间.
词索引到词向量的查找由一个网络嵌入层(embeddinglayer)实现.
值得注意的是,词向量序列会根据数据集的整体特征被统一截断或补齐为长度56的序列,chinaXiv:201805.
00455v1ChinaXiv合作期刊录用稿王家宝,等:网络攻击检测的门控记忆网络方法目的是可以批量输入数据进行训练.
门控记忆网络方法采用了深度学习的架构体系,其具体框架如表1所示.
表1门控记忆网络方法框架网络层描述输入层输入词索引序列,不做处理直接输出嵌入层输入词索引序列和词索引到词向量的映射矩阵,将词索引转化为词向量输出门控记忆层输入词向量序列,门控记忆单元计算的最后一个隐状态作为输出Dropout层输入隐状态,以一定概率丢弃权值后输出全连接层通过全连接映射到两个值输出Softmax层输出两个数值,归一化为两个概率值输出表中,输入层和嵌入层完成低维实值特征表示;Dropout层是深度学习中用于抑制过拟合的主要手段,使用该策略可以获得更好的测试精度;全连接层和Softmax层实现逻辑斯特回归,对应计算式(6)中的,全连接完成线性映射计算,Softmax对映射后的两个值归一化得到和.
训练时,网络计算损失并进行梯度回传和参数更新;测试时,网络计算和大小,判定类别标签.
基于Windows7操作系统(3.
5GHz主频,8GB内存)和tensorflow平台,实现门控记忆网络方法,所有训练和测试均采用CPU完成.
网络输入为维的向量序列,单层门控记忆单元的隐状态维度为128,其后网络接一个Dropout层,Dropout率为0.
9,然后将128维输出全连接映射到2维结果输出.
训练网络时,将批处理大小设置为128,学习率设置为0.
001.
训练代数为10,使用Adam优化器训练.
2实验结果与分析实验以CSIC2010数据集作为测试数据集.
该数据集包含上万条自动生成的HTTP协议请求,主要用于测试网络攻击防护系统,它是由西班牙研究委员会(CSIC)信息安全研究所制作的.
该数据集针对的是一个电子商务Web应用程序,已发布的数据被分为训练(只有正常)和测试(异常和正常)集.
在实验中,采用的是测试集中36000多个正常请求和25000多个异常请求.
该数据集中的攻击请求包含多种网络攻击,如SQL注入、缓冲区溢出、信息收集、文件披露,CRLF注入、跨站脚本和参数窜改等.
其中,针对隐藏(或不可用)资源的请求也被视为异常[1,14].
目前,由于个人隐私保护等原因,公开可用的Web攻击检测问题的数据集非常少,诸如DARPAKDD99攻击检测数据集中的攻击很多都已过时,且不包括许多新型的攻击类型.
对于原始的请求数据,实验主要提取GET、POST、PUT请求数据来进行检测.
请求数据提取后对数据进行分词,即字符串分割.
分词依据HTTP请求特点进行,主要涉及URL中字符解码,参数项、键值对、特殊符号的分割,请求数据的分词可以为后续低维实值特征表示提供基础.
2.
1方法对比为了验证本文方法的有效性,分别与传统方法和深度学习方法进行对比分析.
传统方法包括朴素贝叶斯(naveBayes,NB)、线性支持向量机(linearsupportvectormachine,LSVM)、神经网络(neuralnetwork,NN)、K-近邻(K-nearneighbor,KNN)、决策树(decisiontree,DT).
深度学习方法包括LSTM.
在特征表示方面,传统方法统一采用TF-IDF特征向量.
深层学习方法采用1.
2节中描述的数据特征低维表示.
在分类检测方面,传统方法的参数设置如下:NB恒定的参数为0.
01.
LSVM采用线性分类器.
NN采用两个隐层,隐单元个数分别为50和10.
KNN设置邻居参数为3.
DT采用熵最小,且叶子中的最小样本数被设置为3.
所有方法采用10折交叉验证技术进行结果评估.
数据集随机分为10份,其中一份用于测试,其余用于训练.
10次运行的结果取平均得到整体性能.
测试结果以准确率、召回率和F1分数作为评测指标.
实验结果见表2.
表2实验训练和测试数据方法准确率召回率F1分数本文方法0.
9840.
9850.
985LSTM0.
9770.
9790.
978DT0.
9250.
9170.
920KNN0.
9070.
9110.
908NN0.
8950.
8820.
887LSVM0.
8870.
8670.
875NB0.
7670.
7760.
765由表2可以发现,门控记忆网络方法明显优于其他方法,准确率和召回率分别达到了98.
4%和98.
5%,较LSTM超出0.
7%的准确率和0.
6%的召回率,且远超传统方法.
该结果表明本文方法具有很好的攻击检测效果.
2.
2隐变量参数分析门控记忆网络中,隐状态维度是影响网络能力的关键参数因子.
为了进一步分析该参数变化对性能的影响.
本节中固定Dropout参数为0.
9,低维实值词向量维度为40.
测试不同维度条件下,模型检测方法的F1分数综合性能.
为了进一步说明本文方法的有效性,同时对比不同参数条件下LSTM方法的F1分数,实验结果如图4所示.
此外,不同参数条件下,模型训练耗时如表3所示.
表3模型训练耗时/min方法\隐变量维度163264128256512本文方法17244058132416LSTM17243667175539chinaXiv:201805.
00455v1ChinaXiv合作期刊录用稿王家宝,等:网络攻击检测的门控记忆网络方法图4不同隐节点维度下的F1分数由图4和表3可以得到如下结论:a)模型的性能随着参数维度的增加而不断增加,但增加的幅度越来越小;b)对比LSTM模型,可知本文方法在相同参数条件下较LSTM模型结果更好;c)模型计算耗时会随着维数的增加而增加,故实际应用需要在效果与性能之间进行折中.
2.
3Dropout策略分析考虑到CSIC2010数据集的规模中等,为了抑制学习的过拟合问题,在模型训练中,加入了Dropout策略.
该策略中Dropout率决定了模型的效果.
故研究固定隐变量维度为128,低维实值词向量维度为40的条件下,不同Dropout率的影响.
图5给出了不同方法的Dropout率的结果.
图5不同Dropout率下的F1分数由图5可以得到:a)模型泛化性能随着Dropout率增加而不断增长,但增长幅度不断减小.
b)Dropout策略(较大的Dropout率)具有很好的抑制过拟合的能力,并取得了较好的性能.
Dropout率为0.
9时,达到了98.
40%的F1分数.
2.
4低维实值词向量分析低维实值词向量具有很好的特征表示能力,可以度量不同词间的相似性关系.
具有相似关系或相同属性的词汇在向量空间中距离更近,易聚集在一起.
为了说明低维实值词向量的表示能力,本文选取部分低维实值词向量并通过t-SNE方法[23]嵌入二维平面显示词间的关系,如图6所示.
图6低维实值词向量嵌入的分布图6给出了13个低维实值词向量的嵌入显示.
其中select、like、script、alert、waitfor是SQL入侵攻击的关键词,这些词在嵌入空间中均聚集在一起,而正常词汇如login、password等则呈现随机分布的特性,这种相似词聚集的特性更容易帮助分类器学习网络攻击行为的模式.
此外,不同的低维实值词向量维度也会对模型的精度产生影响.
为了研究低维实值词向量维度对算法性能的影响,分别选取10、20、40、80、160、320,测量模型对攻击检测的效果和耗时.
图7给出了对应的测试结果.
图7低维实值词向量不同维度下的F1分数和耗时由图7可知:a)本文方法随着低维实值词向量维度的增加,检测效果也不断增加,在维度为160时,达到了99.
10%的F1分数;b)同时,本文方法的耗时会随低维实值词向量维度的增加不断增长,且基本保持线性增长速率;c)在实际应用中,可根据应用的差异选择一定的低维实值词向量维度以实现速度和效果的折中.
3结束语针对网络攻击检测问题,本文提出了一个门控记忆网络方法,在CSIC2010数据集上达到了98.
40%的F1分数,超越了传统方法和LSTM等检测方法.
该方法实现简单、效果显著.
同时,算法在检测时速度可达到实时应用需要.
但是,由于数据特征低维表示的学习通常需要一定规模的数据支撑,所以本文需要大量网络请求数据来进行学习.
此外,本文方法仅采用单层门控循环神经网络结构,下一chinaXiv:201805.
00455v1ChinaXiv合作期刊录用稿王家宝,等:网络攻击检测的门控记忆网络方法步拟采用多层网络结构进一步提高检测精度.
考虑到多层网络的时间耗费,可根据实际情况构造两层或三层网络结构,以折中检测精度和时间耗费.
同时,为了进一步验证本文的效果,后续将在实际网络环境中进行测试,以检验方法的实际可用性.
参考文献:[1]ElbachirelmoussaidN,ToumanariA.
Webapplicationattacksdetection:asurveyandclassification[J].
InternationalJournalofComputerApplications,2014,103(12):1-6.
[2]徐周波,张永超,古天龙,等.
面向入侵检测系统的模式匹配算法研究[J].
计算机科学,2017,44(9):125-130.
(XuZhoubo,ZhangYongchao,GuTianlong,etal.
Researchonpatternmatchingalgorithminintrusiondetectionsystem[J].
ComputerScience,2017,44(9):125-130.
)[3]戴远飞,陈星,陈宏,等.
基于特征选择的网络入侵检测方法[J].
计算机应用研究,2017,34(8):2429-2433.
(DaiYuanfei,ChenXing,ChenHong,etal.
Featureselectionbasedapproachtonetworkintrusiondetection[J].
ApplicationResearchofComputers,2017,34(8):2429-2433.
)[4]马林进,万良,马绍菊,等.
基于词袋模型的分布式拒绝服务攻击检测[J].
计算机应用,2017,37(6):1644-1649.
(MaLinjin,WanLiang,MaShaoju,etal.
Distributeddenialofserviceattackrecognitionbasedonbagofwordsmodel[J].
JournalofComputerApplication,2017,37(6):1644-1649.
)[5]MaoChinghao,LeeHM,LiuEnsi,etal.
WebmimicryattacksdetectionusingHTTPtokencausalcorrelation[J].
InternationalJournalofInnovativeComputingInformation&Control,2011,7(7):4347-4362.
[6]OzaA,RossK,LowRM,etal.
HTTPattackdetectionusingn-gramanalysis[J].
Computers&Security,2014,45(3):242-254.
[7]SinghKJ,DeT.
AnapproachofDDOSattackdetectionusingclassifiers[M]//EmergingResearchinComputing,Information,CommunicationandApplications.
NewDelhi:Springer,2015:429-437.
[8]GarcíaVH,MonroyR,QuintanaM.
WebattackdetectionusingID3[M]//ProfessionalPracticeinArtificialIntelligence.
Boston,MA:Springer,2006:323-332.
[9]RawatR,KumarShrivastavS.
SQLinjectionattackdetectionusingSVM[J].
InternationalJournalofComputerApplications,2012,42(13):1-4.
[10]吴少华,程书宝,胡勇.
基于SVM的Web攻击检测技术[J].
计算机科学,2015,42(6A):362-364.
(WuShaohua,ChengShubao,HuYong.
Webattackdetectionmethodbasedonsupportvectormachines[J].
ComputerScience,2015,42(6A):362-364.
)[11]SilvaLDS,SantosACFD,SilvaJDSD,etal.
Aneuralnetworkapplicationforattackdetectionincomputernetworks[C]//ProcofIEEEInternationalJointConferenceonNeuralNetworks.
Budapest,.
Hungary:IEEEPress,2004:1569-1574.
[12]LiJin,LiuYong,GuLin.
DDoSattackdetectionbasedonneuralnetwork[C]//ProcofIEEEInternationalSymposiumonAwareComputing.
[S.
l.
]:IEEEPress,2010:196-199.
[13]肖甫,马俊青,黄洵松,等.
SDN环境下基于KNN的DDoS攻击检测方法[J].
南京邮电大学学报:自然科学版,2015,35(1):84-88.
(XiaoFu,MaJunqing,HuangXunsong,etal.
DDoSattackdetectionbasedonKNNinsoftwaredefinednetworks[J].
JournalofNanjingUniversityofPostsandTelecommunications:NaturalScienceEdition,2015,35(1):84-88.
)[14]MikolovT,ChenK,CorradoG,etal.
Efficientestimationofwordrepresentationsinvectorspace[J/OL].
CoRR,2013,abs/1301.
3781.
https://arxiv.
org/abs/1301.
3781.
[15]MikolovT,SutskeverI,ChenK,etal.
Distributedrepresentationsofwordsandphrasesandtheircompositionality[C]//Procof27thAnnualConferenceonNeuralInformationProcessingSystems.
LakeTahoe,Nevada:CurranAssociates,Inc,2013:3111-3119.
[16]NowakJ,TaspinarA,SchererR.
LSTMrecurrentneuralnetworksforshorttextandsentimentclassification[C]//ProcofInternationalConferenceonArtificialIntelligenceandSoftComputing.
Cham:Springer,2017:553-562.
[17]LiuPengfei,QiuXipeng,HuangXuanjing.
Recurrentneuralnetworkfortextclassificationwithmulti-tasklearning[C]//ProcofInternationalJointConferenceonArtificialIntelligence.
NewYork,NY:IJCAI//AAAIPress,2016:2873-2879.
[18]KimJ,KimJ,ThuHLT,etal.
Longshorttermmemoryrecurrentneuralnetworkclassifierforintrusiondetection[C]//ProcofIEEEInternationalConferenceonPlatformTechnologyandService.
Jeju,SouthKorea:IEEEPress,2016:1-5.
[19]ChoK,MerrienboerBV,GulcehreC,etal.
LearningphraserepresentationsusingRNNencoder-decoderforstatisticalmachinetranslation[J/OL].
CoRR,2014,abs/1406.
1078.
https://arxiv.
org/abs/1406.
1078.
[20]ChungJ,GulcehreC,ChoKH,etal.
Empiricalevaluationofgatedrecurrentneuralnetworksonsequencemodeling[J/OL].
CoRR,2014,abs/1412.
3555.
https://arxiv.
org/abs/1412.
3555[21]PascanuR,MikolovT,BengioY.
Onthedifficultyoftrainingrecurrentneuralnetworks[C]//ProcofInternationalConferenceonMachineLearning.
Altanta,Georgia:PMLR,2013:1310-1318.
[22]HochreiterS,SchmidhuberJ.
Longshort-termmemory[J].
NeuralComputation,1997,9(8):1735-1780.
[23]MaatenLVD,HintonG.
Visualizingdatausingt-SNE[J].
JournalofMachineLearningResearch,2008,9(2605):2579-2605.
chinaXiv:201805.
00455v1ChinaXiv合作期刊