用于使用机器学习生成对通信网络中的攻击的响应的设备和方法与流程

各种示例实施例总体上涉及用于在通信网络中使用来处理安全威胁的设备和方法。

背景技术：

1、网络中的安全是一个关键问题和真正的差异化因素，对于充分利用新一代网络(例如，5g网络)提供的能力和服务来说是至关重要。

2、例如，5g中iot(物联网)设备的激增给网络安全带来了至关重要的影响。由于5gran(无线电接入网络)和核心网络中的iot流量而造成的安全威胁的一个主要领域被称为“分布式拒绝服务”(ddos)或“僵尸网络”攻击：易受攻击的iot设备被恶意软件感染并形成由攻击者控制的机器人大军，该机器人大军被诱导以使目标网络/资源过载，从而导致对常规服务流量的ddos。

3、在ran级别确保交换的传统解决方案是基于入侵检测机制。它们不足以满足针对5g网络规定的服务质量(qos)要求。

4、其它安全解决方案是基于行为分析。它们产生很高的误报率，这使得其他解决方案不那么有吸引力和值得信赖。

技术实现思路

1、保护范围由所附权利要求阐述。本说明书中描述的未落入保护范围的实施例、示例和特征(如果有的话)应被解释为对于理解落入保护范围的各种实施例或示例有用的示例。

2、根据第一方面，公开了一种用于生成对通信网络中的攻击的响应的设备，所述设备包括至少一个处理器和包括计算机程序代码的至少一个存储器，所述至少一个存储器和所述计算机程序代码被配置为用所述至少一个处理器来使所述设备至少：基于预定义的方案生成从所述通信网络接收的网络数据的图表示；通过使用图神经网络，基于所述图表示从接收的数据预测攻击，图神经网络利用表示候选攻击的子图来训练；通过将推理规则应用于所述图表示从所述接收的数据检测攻击；在预测到攻击时或在检测到攻击时发起攻击响应。

3、根据实施例，所述设备被进一步配置为通过比较预测所述攻击的结果和检测所述攻击的结果来获得预测置信水平，其中所述攻击响应根据所述预测置信水平在预测到攻击时被发起。

4、根据另一实施例，所述设备被进一步配置为训练所述图神经网络。

5、根据另一实施例，所述设备被进一步配置为基于所述预测置信水平触发所述图神经网络的训练。

6、根据另一实施例，所述设备被进一步配置为当预测到但未检测到确认的攻击时触发对推理规则的更新。

7、根据另一实施例，所述设备被进一步配置为确定预测到所述攻击与检测到所述攻击之间的时间差，其中所述攻击响应根据所述时间差在预测到攻击时被发起。

8、根据第二方面，公开了一种用于生成对通信网络中的攻击的响应的方法，所述方法包括：基于预定义的方案生成从所述通信网络接收的网络数据的图表示；通过使用图神经网络，基于所述图表示从接收的数据预测攻击，图神经网络利用表示候选攻击的子图来训练；通过将推理规则应用于所述图表示，从所述接收的数据检测攻击；在预测到攻击时或在检测到攻击时发起攻击响应。

9、根据实施例，所述方法进一步包括：通过比较预测所述攻击的结果和检测所述攻击的结果来获得预测置信水平，其中所述攻击响应根据所述预测置信水平在预测到攻击时被发起。

10、根据实施例，所述方法进一步包括：基于所述预测置信水平触发所述图神经网络的训练。

11、根据实施例，所述方法进一步包括：当预测到但未检测到确认的攻击时触发对推理规则的更新。

12、根据另一实施例，所述方法进一步包括：确定预测到所述攻击与检测到所述攻击之间的时间差，其中所述攻击响应根据所述时间差在预测到攻击时被发起。

13、在公开的设备和方法的另一实施例中，通过查询训练数据的图表示来获得用于训练所述图神经网络的所述子图，其中所述训练数据包括攻击，并且训练数据的所述图表示基于所述预定义的方案而生成。

14、根据公开的设备和方法的另一实施例，所述推理规则推理所述图表示中一类攻击的存在，并且针对不同类型的攻击获得不同的预测置信水平。

15、根据公开的设备和方法的另一实施例，所述推理规则推理所述图表示中一类攻击的存在，并且针对不同类型的攻击获得不同的时间差。

16、根据公开的设备和方法的另一实施例，所述图神经网络是卷积图神经网络。

17、根据第三方面，公开了一种用于无线电接入网络中的无线电智能控制器，所述无线电智能控制器包括如本文所公开的用于生成对通信网络中的攻击的响应的设备，其中所述数据从所述无线电接入网络中的至少一个基站接收。

18、根据第四方面，公开了一种计算机程序产品，所述计算机程序产品包括指令集，所述指令集当在设备上执行时被配置为使所述设备执行如本文所公开的用于生成对通信网络中的攻击的响应的方法。

19、一般而言，所述设备包括用于执行如本文所公开的用于在通信网络中生成攻击响应的方法的一个或多个或者所有步骤的器件。所述器件可以包括被配置为执行如本文所公开的用于在通信网络中生成攻击响应的方法的一个或多个或者所有步骤的电路。所述器件可以包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中所述至少一个存储器和所述计算机程序代码被配置为用所述至少一个处理器来使所述设备执行如本文所公开的用于在通信网络中生成攻击响应的方法的一个或多个或者所有步骤。

20、一般而言，计算机可执行指令/程序代码使所述设备执行如本文所公开的用于在通信网络中生成攻击响应的方法的一个或多个或者所有步骤。

技术特征：

1.一种用于生成对通信网络中的攻击的响应的设备，包括至少一个处理器和包括计算机程序代码的至少一个存储器，所述至少一个存储器和所述计算机程序代码被配置为与所述至少一个处理器一起使所述设备至少：

2.根据权利要求1所述的设备，被进一步配置为通过比较预测所述攻击的结果和检测所述攻击的结果来获得预测置信水平，其中所述攻击响应根据所述预测置信水平在预测到攻击时被发起。

3.根据权利要求1或2所述的设备，被进一步配置为训练所述图神经网络。

4.根据权利要求1至3中任一项所述的设备，被进一步配置为基于所述预测置信水平触发对所述图神经网络的训练。

5.根据权利要求1至4中任一项所述的设备，被进一步配置为当确认的攻击被预测到但未检测到时，触发对所述推理规则的更新。

6.根据权利要求1至5中任一项所述的设备，被进一步配置为确定预测到所述攻击与检测到所述攻击之间的时间差，其中所述攻击响应根据所述时间差在预测到攻击时被发起。

7.一种用于生成对通信网络中的攻击的响应的方法，包括：

8.根据权利要求7所述的方法，进一步包括：通过比较预测所述攻击的结果和检测所述攻击的结果来获得预测置信水平，其中所述攻击响应根据所述预测置信水平在预测到攻击时被发起。

9.根据权利要求7或8中任一项所述的方法，进一步包括：基于所述预测置信水平触发对所述图神经网络的训练。

10.根据权利要求7至9中任一项所述的方法，进一步包括：当确认的攻击被预测到但未检测到时触发对所述推理规则的更新。

11.根据权利要求7至10中任一项所述的方法，进一步包括：确定预测到所述攻击与检测到所述攻击之间的时间差，其中所述攻击响应根据所述时间差在预测到攻击时被发起。

12.根据权利要求1至6中任一项所述的设备或者根据权利要求7至11中任一项所述的方法，其中通过查询训练数据的图表示来获得用于训练所述图神经网络的所述子图，其中所述训练数据包括攻击，并且训练数据的所述图表示基于所述预定义的方案而生成。

13.根据权利要求2或4中任一项所述的设备或者根据权利要求8或9中任一项所述的方法，其中所述推理规则推理所述图表示中一类攻击的存在，并且针对不同类型的攻击获得不同的预测置信水平。

14.根据权利要求6所述的设备或者根据权利要求11所述的方法，其中所述推理规则推理所述图表示中一类攻击的存在，并且针对不同类型的攻击获得不同的时间差。

15.根据权利要求1至6或12至14中任一项所述的设备或者根据权利要求7至14中任一项所述的方法，其中所述图神经网络是卷积图神经网络。

16.一种无线电接入网络中的无线电智能控制器，包括根据权利要求1至6或12至15中任一项所述的设备，其中所述数据从核心网络中的至少一个基站接收。

17.一种计算机程序产品，包括指令集，所述指令集当在设备上执行时被配置为使所述设备执行根据权利要求7至15中任一项所述的方法。

技术总结
在通信网络中，一种设备被配置为从接收(71)自网络的数据日志预测攻击和检测攻击，并且在预测到或检测到攻击时生成(77，81)对攻击的响应。基于预定义的方案生成(72)数据日志的图表示。通过将推理规则应用于所述数据日志的图表示来检测(74)攻击。通过使用用子图训练的图神经网络来预测(73)攻击，所述子图通过查询与正常流量和攻击相对应的训练数据的图表示来获得。

技术研发人员：S·克里亚,A·费基,A·哈勒比德,S·帕皮永
受保护的技术使用者：诺基亚技术有限公司
技术研发日：
技术公布日：2024/1/16