[發明專利]一種木馬事件預測方法

無效

• 申請號: 201110183219.6
• 申請日: 2011-07-01
• 公開（公告）號: CN102467635A
• 公開（公告）日: 2012-05-23
• 發明（設計）人: 夏榕澤;賈焰;韓偉紅;楊樹強;周斌;鄭黎明;徐鏡湖;張建鋒;劉斐;劉東;李遠征;王雯霞
• 申請（專利權）人: 中國人民解放軍國防科學技術大學
• 主分類號: G06F21/00
• 分類號: G06F21/00;H04L29/06
• 代理公司: 北京泛華偉業知識產權代理有限公司 11280
• 代理人: 王勇

技術領域

本發明屬于網絡安全，尤其涉及木馬事件預測方法。

背景技術

當前，隨著信息技術的高速發展，互聯網的網絡規模，網絡信息量以及網絡應用等都在不斷增長。互聯網在涉及到人們生活的各方面領域，如政治，商業，金融，文教，通信等，發揮著越來越重要的作用。但是互聯網在帶給人們極大便利的同時，也面臨著越來越多的網絡安全事件。

網絡安全事件預測技術是在充分收集當前網絡流量狀況、獲取網絡歷史安全事件發生情況的基礎之上進行預測的一門技術。由于木馬攻擊在大規模網絡下的安全事件中占很大比例，通過對未來時刻網絡中木馬事件發生數量進行預測，一方面可以方便網絡管理人員對整個網絡的大體情況有一個初步的判斷，并根據判斷的情況制定與之相符的網絡安全策略，另一方面可以提前預判將要發生的網絡災害或者攻擊，并且在災害和攻擊發生之前及時采取應對措施，把問題消滅在萌芽狀態。

現有的木馬事件預測方法有如下幾種：

線性回歸方法：以經典的自回歸滑動平均模型為代表，這類方法認為未來木馬事件發生數量是受以前數量和噪聲的直接影響，因此預測值即是歷史數據和噪聲數據的加權求和，表達式如下：

其中p為自回歸模型階數，q為滑動平均模型階數，x為歷史觀測數據，(i＝1，2，L，p)，θ_j(j＝1，2，L，q)分別為自回歸參數和滑動平均參數。其特點是模型簡單，容易實現，但是其一方面需要用戶正確的配置模型的參數，這需要用戶具備相應的領域經驗，限制了算法的使用，另一方面對該方法對預測函數的逼近不夠準確，所以預測效果不夠好。

基于規則發現的方法：如時序規則發現，這類方法是通過根據頻繁項集在時間上的先后順序，推出它們的時序關聯規則，并根據這個規則對后面將要發生的時間進行預測。這種方法由于不能對預測這種復雜非線性問題建立一個結構清晰的模型，所以預測效果不夠好。

發明內容

因此，本發明的目的在于針對網絡中木馬事件發生數量預測的問題，提供一種基于二叉樹建模的預測方法來滿足網絡安全對木馬事件發生數量的預測準確度，時間復雜性等方面的要求。

本發明的目的是通過以下技術方案實現的：

本發明提供了一種木馬事件預測方法，包括以下步驟：

步驟1)確定終端集和函數集，所述終端集包括變量和常數，所述函數集中的元素則是用來對終端集中的元素進行操作的運算符；

步驟2)根據終端集和函數集隨機生成一系列函數表達式，所述函數表達式用于計算當前木馬事件發生數量，其輸入為歷史時間段中木馬事件發生的數量；

步驟3)將每個函數表達式用二叉樹的形式來表示，所述二叉樹的根節點在函數集隨機選取，中間節點可在函數集和終端集中隨機選擇，葉節點在終端集中隨機選擇；

步驟4)將整個二叉樹群體作為初始的父代群體，以根據所述函數表達式所計算出的當前網絡中木馬數量與實際的木馬數量的差值作為對適應度的評價來對所述初始的父代群體執行遺傳算法；

步驟5)利用步驟4)最終生成的最佳個體所對應的所述差值最小的函數表達式來對網絡中將來的木馬事件的發生數量進行預測。

根據本發明實施例的木馬事件預測方法，其中，在步驟3)之前還包括對終端集和函數集進行編碼的步驟：對終端集和函數集中的每個的元素以自然數進行編碼。

根據本發明實施例的木馬事件預測方法，其中，步驟3)中每棵樹的最大深度取4～6。

根據本發明實施例的木馬事件預測方法，其中步驟4)包括以下步驟：

步驟4-1)對父代群體進行適應度評價，從父代群體中選擇要進行遺傳操作的子代群體；

步驟4-2)對步驟4-1)得到的子代群體執行交叉操作和變異操作；

步驟4-3)將步驟4-2)得到的二叉樹群體作為父代群體，重復執行步驟4-1)、4-2)和4-3)，直到滿足指定的重復次數為止。

根據本發明實施例的木馬事件預測方法，其中步驟4-1)包括以下步驟：采用輪盤賭的方法來從父代群體中選擇適應度高的二叉樹群體；對所選中二叉樹群體中的每顆樹執行復制操作；將所復制的二叉樹群體作為子代群體。

根據本發明實施例的木馬事件預測方法，其中，步驟4-2)中交叉概率為0.9；變異概率為0.05。步驟4-3)中所述的重復次數為100次。