(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211417442.7 (22)申请日 2022.11.14 (71)申请人 国际关系学院 地址 100091 北京市海淀区坡上村12号 (72)发明人 张永健　王高峰　康艳梅　刘文杰　 (74)专利代理 机构 北京路浩知识产权代理有限 公司 11002 专利代理师 梁军丽 (51)Int.Cl. H04L 9/40(2022.01) G06K 9/62(2022.01) G06N 3/04(2006.01) G06N 3/08(2006.01) G06N 20/00(2019.01) (54)发明名称 基于BiLS TM-ELM的DDoS攻击分类检测方法、 装置及设备 (57)摘要 本发明公开了基于BiLSTM ‑ELM的DDoS攻击 分类检测方法、 装置及设备， 该方法包括： 从 网络 攻击流量中获取原始数据集； 对 所述原始数据集 进行数据预处理， 得到低维度数据集； 通过双向 长短词记忆BiLSTM网络提取所述低维度数据集 中的时序特征； 将所述时序特征输入到训练好的 极限学习机ELM网络中进行分类检测， 得到分类 结果； 其中， 所述BiLSTM网络和ELM网络为根据 DDoS攻击训练集预先构造好的BiLSTM ‑ELM网络 分类模型。 权利要求书2页 说明书11页 附图4页 CN 115473748 A 2022.12.13 CN 115473748 A 1.一种基于Bi LSTM‑ELM的DDoS攻击分类 检测方法， 其特 征在于， 包括： 获取原始数据集； 对所述原 始数据集进行 数据预处 理， 得到低维度数据集； 通过双向长短词记 忆BiLSTM网络提取 所述低维度数据集中的时序特 征； 将所述时序特 征输入到训练好的极限学习机 ELM网络中进行分类 检测， 得到分类结果； 其中， 所述BiLSTM网络和ELM网络为根据DDoS攻击训练集预先构造好 的BiLSTM ‑ELM网 络分类模型。 2.根据权利 要求1所述的方法， 其特征在于， 所述通过双向长短词 记忆BiLSTM网络提取 所述低维度数据集中的时序特 征， 具体包括： 对所述低维度数据集进行序列编码处理， 得到符合双向长短词 记忆BiLSTM网络数据形 式的输入序列； 通过所述BiLSTM网络中的前向传递层提取 所述输入序列中的前向特 征； 通过所述BiLSTM网络中的后向传递层提取 所述输入序列中的后向特 征； 通过所述BiLSTM网络中的输出层整合所述前向特 征和后向特 征后输出时序特 征。 3.根据权利要求1所述的方法， 其特征在于， 所述将所述 时序特征输入到训练好的极限 学习机ELM网络中进行分类 检测， 得到分类结果， 具体包括： 将所述时序特 征输入到训练好的极限学习机 ELM网络中； 通过所述ELM网络中的输入层将所述时序特征映射到隐含层， 通过以下公式计算出隐 含层的输出矩阵 ： ； 其中， x为时序特征， 为隐含层中的L个隐含节点， 为隐含层的输出矩阵； 根据所述隐含层的输出结果和所述 隐含层与输出层之间的网络参数计算得到输出层 的分类结果。 4.根据权利要求1所述的方法， 其特征在于， 所述BiLSTM网络中神经网络的层数为六 层， 其中， 六层中每层包括前向传递层和后向传递层， 且每层10 0个隐藏层节点。 5.根据权利要求1所述的方法， 其特征在于， 所述ELM网络中的隐含层中隐含节点的个 数为150个。 6.根据权利要求1所述的方法， 其特征在于， 通过Adam自适应学习率算法对所述 BiLSTM‑ELM网络分类模型进行优化。 7.根据权利要求3所述的方法， 其特征在于， 在根据 所述隐含层结果和所述隐含层与输 出层之间的网络参数计算得到 输出层的分类结果之前， 所述方法还 包括： 根据以下公式确定所述ELM隐含层与输出层之间的网络参数β： 权　利　要　求　书 1/2 页 2 CN 115473748 A 2其中， β 为网络参数， H为隐含层的输出矩阵， 为ELM网络隐含层输出矩阵 的穆尔‑ 彭罗斯Moore ‑Penrose广 义逆矩阵， 为输出矩阵H的转置， 为矩阵 的 逆矩阵， K为输出层输出矩阵。 8.一种基于Bi LSTM‑ELM的DDoS攻击分类 检测装置， 其特 征在于， 包括： 数据获取模块， 用于获取原 始数据集； 数据预处 理模块， 用于对所述原 始数据集进行 数据预处 理， 得到低维度数据集； 入侵检测模块， 用于通过双向长短词 记忆BiLSTM 网络提取所述低维度数据集中的时序 特征； 将所述时序特征输入到训练好的极限学习机ELM网络中进行分类检测， 得到分类结 果； 其中， 所述BiLSTM网络和ELM网络为根据DDoS攻击训练集预先构造好的BiLSTM ‑ELM网络 分类模型。 9.一种基于Bi LSTM‑ELM的DDoS攻击分类 检测设备， 其特 征在于， 包括： 至少一个处 理器； 以及， 与所述至少一个处 理器通过总线通信连接的存 储器； 其中， 所述存储器存储有可被所述至少一个处 理器执行的指令， 所述指令被执 行， 以实现： 获取原始数据集； 对所述原 始数据集进行 数据预处 理， 得到低维度数据集； 通过双向长短词记 忆BiLSTM网络提取 所述低维度数据集中的时序特 征； 将所述时序特 征输入到训练好的极限学习机 ELM网络中进行分类 检测， 得到分类结果； 其中， 所述BiLSTM网络和ELM网络为根据DDoS攻击训练集预先构造好 的BiLSTM ‑ELM网 络分类模型。 10.一种非易失性存储介质， 存储有计算机可执行指令， 其特征在于， 所述计算机可执 行指令由处 理器执行， 以实现下述 步骤： 获取原始数据集； 对所述原 始数据集进行 数据预处 理， 得到低维度数据集； 通过双向长短词记 忆BiLSTM网络提取 所述低维度数据集中的时序特 征； 将所述时序特 征输入到训练好的极限学习机 ELM网络中进行分类 检测， 得到分类结果； 其中， 所述BiLSTM网络和ELM网络为根据DDoS攻击训练集预先构造好 的BiLSTM ‑ELM网 络分类模型。权　利　要　求　书 2/2 页 3 CN 115473748 A 3