基于邻域节点结构编码的图神经网络异常检测方法与装置.pdf

(19)国家知识产权局(12)发明专利申请(10)申请公布号CN115859143A(43)申请公布日2023.03.28(21)申请号202211424557.9(22)申请日2022.11.14(71)申请人之江实验室地址311121浙江省杭州市余杭区之江实验室南湖总部(72)发明人胡汉一李栓刘智许浩焦旭徐圣源梁变周婷婷(74)专利代理机构杭州求是专利事务所有限公司33200专利代理师邱启旺(51)Int.Cl.G06F18/24(2023.01)H04L41/142(2022.01)H04L9/40(2022.01)G06F18/23213(2023.01)权利要求书3页说明书6页附图5页(54)发明名称基于邻域节点结构编码的图神经网络异常检测方法与装置(57)摘要本发明公开了基于邻域节点结构编码的图神经网络异常检测方法与装置，包括：将原始数据转换为图神经网络的输入数据，输入数据包括节点属性矩阵、邻接矩阵；从邻接矩阵抽取出结构特征并进行矩阵分解，得到节点角色特征与角色结构特征因子；将节点角色特征与其转置矩阵相乘，得到高阶邻接矩阵；将节点属性矩阵与邻接矩阵、节点属性矩阵与高阶邻接矩阵分别输入图神经网络，得到节点角色语义潜变量和节点角色语义潜变量；并进行动态加权，得到最终节点表示，将其输入至激活函数，训练图神经网络，直至图神经网络收敛，将激活函数的输出向量中概率最高的标签作为分类结果即异常类别，异常类别对应的节点即为检测到的异常目标。CN115859143ACN115859143A权利要求书1/3页1.一种基于邻域节点结构编码的图神经网络异常检测方法，其特征在于，所述方法具体包括以下步骤：(1)将具有拓扑结构的原始数据转换为支持图神经网络编码的输入数据，所述输入数据包括节点属性矩阵、邻接矩阵；(2)采用匿名随机游走、和/或递归式图结构统计特征从邻接矩阵抽取出结构特征；(3)对结构特征进行矩阵分解，得到节点角色特征与角色结构特征因子；(4)将节点角色特征与其转置矩阵相乘，并且将相乘得到的矩阵中的非负值设置为1，得到高阶邻接矩阵；(5)将节点属性矩阵与邻接矩阵输入第一图神经网络，得到节点邻域语义潜变量；(6)将节点属性矩阵与高阶邻接矩阵输入第二图神经网络，得到节点角色语义潜变量；(7)采用多头注意力机制对节点邻域语义潜变量与节点角色语义潜变量基于相似性进行动态加权，得到最终节点表示；(8)将最终节点表示输入至激活函数，训练图神经网络，使用交叉熵作为损失函数计算损失并将损失反向传播学习参数，直至图神经网络收敛，将激活函数的输出向量中概率最高的标签作为分类结果，分类结果即为异常类别，异常类别对应的节点即为检测到的异常目标。2.根据权利要求1基于邻域节点结构编码的图神经网络异常检测方法，其特征在于，所述步骤(1)中具有拓扑结构的原始数据为网络DNS防御任务中的数据，包括：将客户端、服务器以及中间路由器的IP地址作为图神经网络的节点，客户端与、服务器以及中间路由器对应的地理位置、网络访问协议的请求头等作为节点属性，将由一个IP到另一个IP的一次访问作为图神经网络的边。3.根据权利要求1基于邻域节点结构编码的图神经网络异常检测方法，其特征在于，所述步骤(2)中采用递归式图结构统计特征生成结构特征的过程包括：计算图结构统计特征，即节点的局部特征与自中心网络特征，其中，节点的局部特征包括节点的入度、出度、加权度、中心度、中介度、权重，节点的自中心网络特征包括以节点为中心k跳范围作为子图；逐步增加邻域跳数进行递归，扩展节点邻域范围至预设的最大邻域跳数，计算该范围内的节点的局部特征、自中心网络特征的均值与总和作为每一跳范围下的结构特征；计算递归产生的特征空值、方差，自定义特征空值阈值、方差阈值，对特征空值超过特征空值阈值或方差小于方差阈值的图结构统计特征进行剪枝，最终保留剩余图结构统计特征维度作为结构特征。4.根据权利要求1基于邻域节点结构编码的图神经网络异常检测方法，其特征在于，所述步骤(3)中对结构特征进行矩阵分解的过程包括：选用非负矩阵分解法对结构特征进行矩阵分解。5.根据权利要求1或4基于邻域节点结构编码的图神经网络异常检测方法，其特征在于，所述步骤(3)还包括对分解得到的节点角色特征与角色结构特征因子进行优化的过程，具体包括以下子步骤：将结构特征V分解后得到的节点角色特征Mrole与角色结构特征因子Fstructure更新，使用K‑Means聚类方法分别计算节点角色特征Mrole与角色结构特征因子Fstructure矩阵元素的K个2CN115859143A权利要求书2/3页质心，并将节点角色特征Mrole与角色结构特征因子Fstructure矩阵中的元素更新为经K‑Means聚类方法得到的对应的质心，记更新后的节点角色特征为M′role