[發明專利]一種基于SVM的攻擊流量分類方法

有效

• 申請號: 201911291446.3
• 申請日: 2019-12-16
• 公開（公告）號: CN111107077B
• 公開（公告）日: 2021-12-21
• 發明（設計）人: 和達;劉杰;王一凡;陳劍鋒;徐銳;饒志宏
• 申請（專利權）人: 中國電子科技網絡信息安全有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 劉世權

1.一種基于SVM的攻擊流量分類方法，其特征在于：

在惡意流量檢測中，給定N_t為訓練樣本，其中單個樣本x_i∈R^d，代表一個d維的網絡流量，每個維度都對應著流量的一個屬性；

流量分類是在d維的空間中解出決策函數f(x)＝wx+b，從而找到邊界，將樣本x_i∈R^d映射到對應的流量分類標簽y∈Y上，使樣本分布于邊界兩側；

在二維平面中，邊界是一條直線；在高維空間中，邊界是一個超平面；基于SVM分類問題的核心在于找到一個服從于最小誤分類比的邊界，即找到凸二次規劃問題的解；

在求得二次規劃問題的參數后，未知流量樣本x_i即可通過計算決策函數進行分類；

采用分類巡回的方式來實現SVM多分類，分類巡回的方式包括如下內容：

首先隨機配對所有類別，在經過第一輪的分類后，將第一輪的分類結果隨機配對，并進行第二輪分類；如此往復直到獲得最終結果；

包括如下步驟：

第一：對需要安全防護的端口做流量獲取與解析，利用tcpdump監聽端口TCP流量；

第二：使用python的scapy模塊對tcpdump生成的pcap文件進行解析，提取出流量中的載荷，輸入到一個一對多二值分類SVM中，選用載荷的特殊字符，特殊符號，字符符號比和載荷長度作為特征，將正常流量與異常流量分開；

第三：對異常流量做精準分類，利用分類巡回方法，實現多分類，減輕計算量，最終，統計分類結果，檢測出攻擊類型。

2.根據權利要求1所述的一種基于SVM的攻擊流量分類方法，其特征在于：在SVM算法模型給定的情況下，提取樣本的特征對決策函數進行擬合。

3.根據權利要求2所述的一種基于SVM的攻擊流量分類方法，其特征在于：特征的選擇需要滿足以下要求：1.特征是否發散，方差是否接近為0；2.特征與目標的相關性。

4.根據權利要求2或3所述的一種基于SVM的攻擊流量分類方法，其特征在于：將攻擊載荷特征分為：(1).載荷中包含的特殊符號數量f_syb；(2).載荷中包含的特殊字符數量f_str；(3).字符符號比f_ratio；(4).載荷長度f_len；其中載荷特殊符號數量f_syb和特殊字符數量f_str與攻擊類型強相關。

5.根據權利要求1所述的一種基于SVM的攻擊流量分類方法，其特征在于：攻擊載荷樣本選用三類共30000條數據作為惡意載荷數據集，三類攻擊載荷樣本包括SQL注入、目錄遍歷、命令注入攻擊載荷樣本。

6.根據權利要求1所述的一種基于SVM的攻擊流量分類方法，其特征在于：通過詞頻統計方法獲得每類攻擊中出現頻率最高的特殊字符和特殊符號作為對應攻擊的特征。