[發明專利]基于分類回歸決策樹的路由器數據平面異常行為檢測方法

有效

• 申請號: 201611050332.6
• 申請日: 2016-11-22
• 公開（公告）號: CN106789912B
• 公開（公告）日: 2020-02-21
• 發明（設計）人: 徐恪;趙乙;沈蒙;譚崎;呂亮
• 申請（專利權）人: 清華大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京清亦華知識產權代理事務所(普通合伙) 11201
• 代理人: 張大威

1.一種基于分類回歸決策樹的路由器數據平面異常行為檢測方法，其特征在于，包括以下步驟：

S1：根據數據傳輸需求和應用場景需求選擇多個屬性，根據所述多個屬性構建與已有數據規模一致的屬性向量數據集合和標記數據集，所述標記數據集是根據路由器的歷史運行記錄進行標注的，所述標記數據集中每個標記包括正常標記或異常標記；

步驟S1進一步包括：

S101：根據歷史數據日志建立長度為N+M維的屬性向量v＝(l₁,…,l_N,l_N+1,…,l_N+M)，其中，N為所述數據傳輸需求的屬性數量，M為所述應用場景需求的屬性數量，確定每份數據的屬性向量，構成與已有數據規模一致的屬性向量數據集合Ω＝{v₁,…,v_n}，其中n為數據集的大小；

S102：根據歷史路由器運行情況，人為通過二元組h＝(h',h”)標記數據行為是否異常,其中h'為1表示正常標記或者為0表示異常標記，h”表示不同異常行為對應的ID碼，為0表示行為類別未知，不為0表示行為類別已知，所述屬性向量數據集合中每個屬性向量分別對應一個標記，從而構成的標記數據集Θ＝{h₁,h₂,…,h_n-1,h_n}；

S2：根據所述屬性向量數據集合和標記數據集離線構建分類回歸決策樹；

S3：根據所述分類回歸決策樹對新數據進行異常行為的檢測；

步驟S3進一步包括：

S301：提取所述新數據的各個屬性值，自頂向下執行所述分類回歸決策樹的判定流程，以識別具有突出特征的異常行為；

在步驟S301之后還包括：

S302：對于所述分類回歸決策樹無法判定的未知行為緩存屬性向量，當所述未知行為達到預定數量時進行離線訓練，根據離線訓練結果更新所述分類回歸決策樹，其中，所述無法判定的未知行為對應的標記數據為h＝(0,0)。

2.根據權利要求1所述的基于分類回歸決策樹的路由器數據平面異常行為檢測方法，其特征在于，所述數據傳輸需求包括源地址、目的地址、源端口號、目的端口號和數據傳輸類型。

3.根據權利要求1所述的基于分類回歸決策樹的路由器數據平面異常行為檢測方法，其特征在于，所述應用場景需求包括數據類型、數據大小、數據到達和離開時間。

4.根據權利要求1所述的基于分類回歸決策樹的路由器數據平面異常行為檢測方法，其特征在于，步驟S2進一步包括：

S201：根據預設的基尼 值的計算方法體現數據集Ω的純度；

S202：根據數據集Ω的純度計算所涉及的每個屬性的基尼 指數；

S203：選取基尼 指數最小的屬性作為劃分屬性，構建所述分類回歸決策樹。

5.根據權利要求4所述的基于分類回歸決策樹的路由器數據平面異常行為檢測方法，其特征在于，在步驟S203之后還包括：

S204：在構建所述分類回歸決策樹后，根據非葉子節點是否對所述分類回歸決策樹的泛化能力的增強有益來決定是否將非葉節點合并為葉子節點。