[發明專利]一種基于XGBoost的硬件木馬檢測方法及裝置

在審

• 申請號: 201911296352.5
• 申請日: 2019-12-16
• 公開（公告）號: CN111177713A
• 公開（公告）日: 2020-05-19
• 發明（設計）人: 李鑫;李海明
• 申請（專利權）人: 上海電力大學
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/71
• 代理公司: 上海科盛知識產權代理有限公司 31225
• 代理人: 翁惠瑜

1.一種基于XGBoost的硬件木馬檢測方法，其特征在于，包括：

S1：以F-score為評價標準從觸發節點特征集中選取觸發節點最佳特征集；

S2：基于XGBoost算法構建并訓練第一檢測模型和第二檢測模型，提取未知網表中每個節點的觸發節點最佳特征集并將其分別輸入第一檢測模型和第二檢測模型，對應獲得2組檢測結果，每組檢測結果包括未知網表中的所有可疑觸發節點及對應的可疑值，在2組檢測結果中選取可疑值平均值高的1組檢測結果作為最終檢測結果；

其中，所述的訓練過程為：

將多個已知網表劃分為組合電路和時序電路，提取已知網表中所有節點的觸發節點最佳特征集，獲得組合電路和時序電路各自的訓練集并進行排重和擴充處理，利用組合電路的訓練集和時序電路的訓練集對應訓練第一檢測模型和第二檢測模型。

2.根據權利要求1所述的一種基于XGBoost的硬件木馬檢測方法，其特征在于，步驟S1具體為：

S101：從觸發節點特征集中挑選不同數量的觸發節點特征組成多種觸發節點特征子集；

S102：基于XGBoost算法構建第三檢測模型，每次將所有已知網表中每個節點的1種觸發節點特征子集輸入第三檢測模型，獲得1組檢測結果，重復上述步驟獲得多組檢測結果，其中F-score最優的1組檢測結果所選取的觸發節點特征子集的觸發節點特征數量為最佳數量；

S103：將所有已知網表中每個節點的觸發節點特征集輸入第三檢測模型，獲得所有觸發節點特征在第三檢測模型中的特征權重并進行排序，按照排名由高到低的順序選取最佳數量的觸發節點特征組成觸發節點最佳特征集。

3.根據權利要求1所述的一種基于XGBoost的硬件木馬檢測方法，其特征在于，所述的觸發節點特征集包括LGFix、ΔLGFi、FFox、ΔFFo、min(FFo)、PI和PO。

4.根據權利要求1所述的一種基于XGBoost的硬件木馬檢測方法，其特征在于，所述的排重的具體過程為：保留訓練集中的所有觸發節點特征值完全相同的多個節點中的一個節點，刪除其余節點。

5.根據權利要求1所述的一種基于XGBoost的硬件木馬檢測方法，其特征在于，所述的擴充的具體過程為：正常節點和觸發節點的總數分別記為m₁和m₂，復制觸發節點的觸發節點最佳特征集m₁/m₂次。

6.根據權利要求1所述的一種基于XGBoost的硬件木馬檢測方法，其特征在于，所述的訓練第一檢測模型和第二檢測模型的具體過程為：

S201：將組合電路的訓練集輸入第一檢測模型進行訓練，獲得組合電路中每個節點是觸發節點的可疑值并由高到低進行排序，將排序前n₁％的節點標記為可疑觸發節點；將時序電路的訓練集輸入第二檢測模型進行訓練，獲得時序電路中每個節點是觸發節點的可疑值并由高到低進行排序，將排序前n₂％的節點標記為可疑觸發節點；

S202：采用TPR、TNR、Precision和F-score作為評價結果指標，獲取n₁％和n₂％的最優值。

7.根據權利要求6所述的一種基于XGBoost的硬件木馬檢測方法，其特征在于，所述的TPR、TNR、Precision和F-score的計算公式如下：

其中TP、FP、FN和TN為檢測結果的統計數據，TP即標記節點為正常節點，實際上該節點也是正常節點，FP即標記節點為正常節點，實際上該節點是觸發節點，FN標記節點為觸發節點，實際上該節點是正常節點，TN即標記節點為觸發節點，實際上該節點也是觸發節點。

8.一種基于XGBoost的硬件木馬檢測裝置，其特征在于，包括存儲器和處理器，所述存儲器存儲有計算機程序，所述處理器調用所述程序指令能夠執行如權利要求1至7任一所述的方法。