[發明專利]一種基于多維度狀態轉移矩陣特征的DDos識別方法和系統

有效

• 申請號: 201811239423.3
• 申請日: 2018-10-23
• 公開（公告）號: CN109450876B
• 公開（公告）日: 2020-12-22
• 發明（設計）人: 曹自剛;扶佩佩;管洋洋;侯江畔
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N20/00
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 邱曉鋒

1.一種基于多維度狀態轉移矩陣特征的DDos識別方法，其特征在于，包括以下步驟：

1）采集網絡流元數據，并標注DDos流量與正常流量；

2）利用采集并標注的網絡流元數據，基于狀態轉移矩陣提取DDos的多維度特征；所述多維度特征包括：基于流的特征、基于模式的特征和基于頻率的特征；所述基于流的特征對DDos流量與正常流量在統計量上的不同表征進行刻畫；所述基于模式的特征是通過對觀測數據的分析找到上下行包數及字節數的代表序列，構建上下行包數及字節數的累加值轉移矩陣，用以刻畫DDos的模式特征；所述基于頻率的特征體現DDos流量與正常流量在對目標主機的訪問頻率上存在的差異；

3）利用提取的多維度特征，采用機器學習算法訓練隨機森林分類模型；

4）將待測的網絡流數據按照步驟2）提取多維度特征，輸入到步驟3）訓練得到的隨機森林分類模型中，獲得DDos識別結果。

2.根據權利要求1所述的方法，其特征在于，步驟1）通過部署多種DDos攻擊工具，對目標網絡進行攻擊，在路由器端收集流量的Netflow數據，利用源IP標注DDos流量與正常流量。

3.根據權利要求1所述的方法，其特征在于，步驟2）首先將Netflow原始屬性按設定的時間窗口，以IP地址為key進行聚合，然后對每個時間窗口內的Netflow屬性提取多維度特征。

4.根據權利要求1所述的方法，其特征在于，所述基于流的特征包括：上行總包數、上行總字節數、上行持續時間、下行總包數、下行總字節數、下行持續時間。

5.根據權利要求1所述的方法，其特征在于，按照以下方式提取所述基于模式的特征：

a）將時間窗口內Netflow數據的上下行包數、字節數劃分成若干個時間格子；

b）對每個時間格子進行累加值頻率直方圖分析，選取能夠覆蓋設定的閾值的正常流量數據的值作為當前格子代表值，生成上下行包數、上下行字節數代表序列；

c）取時間窗口中Netflow數據的上行包數、上行字節數、下行包數、下行字節數，計算每個時間格子的累加值，利用代表序列，生成狀態轉移矩陣，并最終轉化為固定維度的模式特征。

6.根據權利要求5所述的方法，其特征在于，步驟a）所述時間窗口為10s，將10s內Netflow數據的上下行包數、字節數劃分成[0,2)、[2,4)…共5個時間格子；步驟b）所述設定的閾值為99%；步驟c）利用代表序列，生成四個5x5的狀態轉移矩陣，轉化為1x100大小作為模式特征。

7.根據權利要求1所述的方法，其特征在于，所述基于頻率的特征包括：流數目、碼率。

8.根據權利要求1所述的方法，其特征在于，步驟3）將多維度特征轉化為向量輸入到隨機森林中，調整算法參數，訓練隨機森林分類模型。

9.一種采用權利要求1~8中任一權利要求所述方法的基于多維度狀態轉移矩陣特征的DDos識別系統，其特征在于，包括：

數據采集模塊，負責采集網絡流元數據，并標注DDos流量與正常流量；

多維度特征構建模塊，負責利用采集并標注的網絡流元數據，基于狀態轉移矩陣提取DDos的多維度特征；所述多維度特征包括：基于流的特征、基于模式的特征和基于頻率的特征；所述基于流的特征對DDos流量與正常流量在統計量上的不同表征進行刻畫；所述基于模式的特征是通過對觀測數據的分析找到上下行包數及字節數的代表序列，構建上下行包數及字節數的累加值轉移矩陣，用以刻畫DDos的模式特征；所述基于頻率的特征體現DDos流量與正常流量在對目標主機的訪問頻率上存在的差異；

模型訓練模塊，負責利用提取的多維度特征，采用機器學習算法訓練隨機森林分類模型；

DDos識別模塊，負責調用所述多維度特征構建模塊對待測的網絡流數據提取多維度特征，輸入到所述模型訓練模塊得到的隨機森林分類模型中，獲得DDos識別結果。