一、文章簡介
名稱：《MS-LSTM: a Multi-Scale LSTM Model for BGP Anomaly Detection》
時間：2016年
期刊：2016 IEEE 24thInternational Conference on Network Protocols (ICNP)
二鸳谜、論文總結(jié)
2.1 論文目的
? ? 使用LSTM對BGP流量進(jìn)行異常檢測挪蹭。
2.2 寫作動機(jī)????
? ? 前人采用簽名、統(tǒng)計(jì)赠涮、機(jī)器學(xué)習(xí)等方法進(jìn)行BGP流量異常檢測有很多不足：（1）所有方法通常都會選擇當(dāng)前的流量特征來做出決定子寓，而與流量數(shù)據(jù)的時間序列無關(guān)，因?yàn)闀r間序列分析會帶來額外的影響笋除；（2）基于統(tǒng)計(jì)的技術(shù)假設(shè)數(shù)據(jù)集遵循一定的分布斜友，并且需要領(lǐng)域知識，例如閾值參數(shù)垃它。但是鲜屏，規(guī)則流量是隨機(jī)的烹看，因此很難確定流量模型的固定參數(shù)。因此墙歪，基于統(tǒng)計(jì)的技術(shù)在實(shí)際使用中并不實(shí)用听系。
? ??建議采用長期短期記憶（LSTM）模型進(jìn)行BGP異常檢測。我們發(fā)現(xiàn)BGP流量的時間序列在不同的時間尺度上表現(xiàn)出不同的不同模式虹菲。選擇適當(dāng)?shù)臅r標(biāo)可以幫助分類模型更好地執(zhí)行靠胜。基于此觀察毕源，我們將時標(biāo)屬性整合到LSTM模型中（本文中稱為MS-LSTM模型）浪漠，并驗(yàn)證其在多個時標(biāo)中的性能。
2.3 實(shí)現(xiàn)思路
??? 輸入：前N個流量,
, ....,
霎褐；
? ? 輸出：第個流量狀態(tài)（是否異常）址愿。
（1）數(shù)據(jù)預(yù)處理
? ? 假設(shè)窗口長度為，狀態(tài)
與子序列
相關(guān)聯(lián)响谓；每個子序列
被時間尺度
壓縮，
省艳；
? ??是
中
個樣本的平均值娘纷，
。
這樣就得到個訓(xùn)練數(shù)據(jù)集
跋炕，每個數(shù)據(jù)集標(biāo)簽與最后一個向量的狀態(tài)相同赖晶，
。
（2）構(gòu)建MS-LSTM分類模型
? ? 讓作為memory cell的輸入辐烂，
表示cell狀態(tài)遏插，
表示時間為
時輸出門的值，
?,
,
,
,
?,
,
,
代表權(quán)重矩陣纠修，
,
,
是偏差向量胳嘲。
?? ??LSTM網(wǎng)絡(luò)的關(guān)鍵是能夠向單元狀態(tài)添加或刪除信息，該功能由稱為門的結(jié)構(gòu)來控制扣草。 門就像過濾器一樣胎围，使可選信息通過。它們由S型神經(jīng)層組成德召，其輸出在0到1之間。上圖汽纤，我們可以看到一個LSTM cell有三個這樣的門來控制信息上岗。 通過LSTM，信息被傳輸蕴坪，過濾肴掷，合并敬锐，最后將整體消息輸出到下一個存儲單元。
? ? 步驟如下：
-?丟棄多余的舊信息：
- 存儲有用的新信息：
-?更新單元狀態(tài)：
-?下一個存儲單元的輸出：
文章使用的LSTM模型由一個LSTM層呆瞻，一個平均輪詢層和一個Logistic回歸層組成台夺。 在平均池化層中對輸出門值，
痴脾，...颤介，
進(jìn)行平均，并得出新的
赞赖。 Logistic回歸層是一個二進(jìn)制分類層滚朵，它訓(xùn)練
和
的損失函數(shù)。
