(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211047588.7 (22)申请日 2022.08.30 (71)申请人 上海大学 地址 200444 上海市宝山区上 大路99号 (72)发明人 周鹏　张灿阳　 (74)专利代理 机构 上海上大专利事务所(普通 合伙) 3120 5 专利代理师 何文欣 (51)Int.Cl. H04L 9/40(2022.01) G06N 3/04(2006.01) G06N 3/08(2006.01) (54)发明名称 一种基于图卷积神经网络的蠕虫传播溯源 方法 (57)摘要 本发明提出了一种基于图卷积神经网络的 互联网蠕虫传播溯源 方法， 采集蠕虫传播图样本 集， 使用SI模型仿真蠕虫传播过程， 获取不同节 点作为源节 点在网络上传播的传播图样本集； 将 传播图用邻接矩阵表示， 传播图在不同观测条件 下的节点 感染状态表示为节点特征； 将传播图样 本邻接矩阵与节点特征一起作为GCN的输入， 传 播图样本对应的源节点作为图分类的标签， 经过 层次化堆叠的图卷积和图池化过程， 采用梯度下 降算法训练GCN； 将未知传播源的传播图输入到 训练好的GCN中， 得到对其传播源节点的预测结 果。 本方法采用图卷积神经网络建立传播图与源 节点标签 之间的图分类模型， 解决卷积神经网络 模型在获取传播图中非欧式结构信息上能力有 限的问题。 权利要求书2页 说明书5页 附图2页 CN 115484076 A 2022.12.16 CN 115484076 A 1.一种基于图卷积神经网络的蠕虫传播溯源方法， 其特 征在于， 包括以下步骤： 步骤1)采集蠕虫传播 图样本集， 使用SI模型仿真蠕虫传播过程， 得到不同节点作为源 节点在网络上传播的传播图样本； 步骤2)将传播图用邻接矩阵A表示， 传播图在不同观测条件下的节点感染状态表示为 节点特征F； 步骤3)将传播 图邻接矩阵A与节点特征F一起作为 图卷积神经网络GCN的输入， 传播 图 对应的源节点作为图分类的标签， 经过层次化堆叠的图卷积和图池化过程， 采用梯度下降 算法训练GCN； 步骤4)将未知传播源的传播图输入到训练好的GCN中， 得到对其传播源节点的预测结 果。 2.根据权利要求1所述的基于图卷积神经网络的蠕虫传播溯源方法， 其特征在于， 所述 步骤1)具体包括下列步骤： 步骤1.1、 传播底图为有向图， 随机赋予所有边权重weight作 为边的节点之间被感染的 概率； 步骤1.2、 在传播过程中， 随机设置传播感染概率设为q， 服从在(0,1)上的均匀分布， 当 q＞weight时， 节点被感染， 一段时间后， 能够得到从源节点s起始的蠕虫传播图； 步骤1.3、 实际传播过程中， 不能得到节点的具体感染时间， 但能够观测到节点的感染 规模， 即当感染节点数量达 到一定范围时， 停止传播。 3.根据权利要求1所述的基于图卷积神经网络的蠕虫传播溯源方法， 其特征在于， 所述 步骤2)具体包括下列步骤： 步骤2.1、 在传播底图上从源节点进行传播得到传播图， 将传播底图节点编号固定， 并 观测所有节 点所处的状态， 其中处于感染状态的节点， 用1表示， 处于未感染状态的节点， 用 0表示； 步骤2.2、 在完全观测条件下， 能够观测到所有N个节点的感染状态， 得到传播图的邻接 矩阵用A∈RN×N表示， 节点感染特 征向量为F∈RN×1； 步骤2.3、 在快照观测条件下， 只能观测部分节点， 观测节点数量为M时， 如果得到非连 通子图， 将所有子图进行对角线拼接， 得到邻接矩阵A∈RM×M， 节点特征向量为F∈RM×1； 步骤2.4、 在传感器观测条件下， 同样只能观测部分节点， 观测节点数量为M时， 如果得 到非连通子图， 将所有子图进行对角线拼接， 得到邻 接矩阵A∈RM×M， 用感染时间t表示处于 感染状态的节点特 征， 未感染节点状态仍用0表示， 此时节点特 征向量为F∈RM×1。 4.根据权利要求1所述的基于图卷积神经网络的蠕虫传播溯源方法， 其特征在于， 所述 步骤3)具体包括下列步骤： 步骤3.1、 构建3层卷积层， 每一层卷积层表示节点嵌入， 依赖于邻接矩阵、 能训练的参 数和前一步得到的节点嵌入， 聚合当前节点本身的特征和节点邻域特征， 使用跳跃连接 skip connections的方式， 在最后一层使用Co ntact函数聚合之前 各层的嵌入； 步骤3.2、 使用可微分池化层方法， 以分层的方式堆叠多个GCN模块， 计算第l层GCN的节 点嵌入Zl和分配矩阵Sl， 对图中每一个节点生成一个新的粗化邻接矩阵A(l+1)和新的嵌入矩 阵X(l+1)， 作为下一层GCN的输入， 共使用两层池化层； 步骤3.3、 将传播图邻接矩阵A和节点特征F共同作为GCN网络的输入， 传播图对应的源权　利　要　求　书 1/2 页 2 CN 115484076 A 2节点作为图分类的标签输出， 经 过梯度下降算法训练GCN网络； 步骤3.4、 图卷积神经网络训练时， 通过输入前向传播得到的输出标签与实际源节点标 签对比做差， 得到神经网络训练的损失； 步骤3.5、 将网络损失采用梯度下降法后向传播， 从而更新神经网络模型权重， 重复步 骤3.3‑3.5直到网络损失收敛。 5.根据权利要求1所述的基于图卷积神经网络的蠕虫传播溯源方法， 其特征在于， 所述 步骤4)具体包括下列步骤： 步骤4.1、 对于未知传播源的传播图， 将其输入到训练好的神经网络中， 使用softmax函 数对传播图的预测分类结果赋予不同的概率值， 选择概率最大的结果作为输出分类结果， 即作为对 源节点标签的预测值； 步骤4.2、 计算预测源节点与实际源节点之间的最短距离作为误差距离， 误差距离越 小， 则预测效果越好， 对于大量未知传播源样 本， 同时计算平均误差距离和预测准确率来评 估算法的预测效果。权　利　要　求　书 2/2 页 3 CN 115484076 A 3