[發(fā)明專(zhuān)利]一種基于極限學(xué)習(xí)機(jī)的僵尸網(wǎng)絡(luò)識(shí)別方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202010069439.5
• 申請(qǐng)日: 2020-01-21
• 公開(kāi)（公告）號(hào): CN111224998B
• 公開(kāi)（公告）日: 2020-12-25
• 發(fā)明（設(shè)計(jì)）人: 董晨;董旭東;郭文忠;程燁;何輝;楊旸
• 申請(qǐng)（專(zhuān)利權(quán)）人: 福州大學(xué)
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;G06N3/08;G06N3/04
• 代理公司: 福州元?jiǎng)?chuàng)專(zhuān)利商標(biāo)代理有限公司 35100
• 代理人: 錢(qián)莉;蔡學(xué)俊

1.一種基于極限學(xué)習(xí)機(jī)的僵尸網(wǎng)絡(luò)識(shí)別方法，其特征在于：包括以下步驟：

步驟S1：依據(jù)不同僵尸網(wǎng)絡(luò)的特征，對(duì)網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行解析，提取網(wǎng)絡(luò)流量數(shù)據(jù)，采集得到包含僵尸網(wǎng)絡(luò)特征的僵尸網(wǎng)絡(luò)數(shù)據(jù)集；

步驟S2：采用K折交叉驗(yàn)證方法，將僵尸網(wǎng)絡(luò)特征數(shù)據(jù)集劃分為訓(xùn)練數(shù)據(jù)集和驗(yàn)證數(shù)據(jù)集；

所述的將僵尸網(wǎng)絡(luò)特征數(shù)據(jù)集劃分為訓(xùn)練數(shù)據(jù)集和驗(yàn)證數(shù)據(jù)集的具體內(nèi)容是，將不同網(wǎng)絡(luò)流量提取出的僵尸網(wǎng)絡(luò)特征數(shù)據(jù)集分別記作botnet(1),botnet(2),…,botnet(i),...botnet(k),對(duì)數(shù)據(jù)集進(jìn)行k種組合分組，并進(jìn)行k次實(shí)驗(yàn)；其中，第i次分組的情況是將botnet(i)作為驗(yàn)證數(shù)據(jù)集，其余的k-1個(gè)特征數(shù)據(jù)集組合為訓(xùn)練數(shù)據(jù)集；

步驟S3：將訓(xùn)練數(shù)據(jù)集和驗(yàn)證數(shù)據(jù)集輸入極限學(xué)習(xí)機(jī)分類(lèi)器進(jìn)行訓(xùn)練，得到初始僵尸網(wǎng)絡(luò)檢測(cè)模型；

步驟S4：將獲取的K組測(cè)試數(shù)據(jù)集即botnet(1),botnet(2),…,botnet(i),...botnet(k)輸入到訓(xùn)練好的僵尸網(wǎng)絡(luò)模型中，用以測(cè)試模型的擬合能力和泛化能力，并根據(jù)混淆矩陣對(duì)測(cè)試結(jié)果進(jìn)行統(tǒng)計(jì)，根據(jù)混淆矩陣的檢測(cè)結(jié)果計(jì)算得到K組測(cè)試數(shù)據(jù)集的召回率(Recall，R)、精確率(Precision，P)、準(zhǔn)確率即Accuracy和F值即F-measure指標(biāo)；

步驟S5：判斷步驟S4中計(jì)算得到的K組測(cè)試數(shù)據(jù)集的(Recall，R)、(Precision，P)、Accuracy和F-measure是否符合要求；若不符合要求即若步驟S4中計(jì)算得到的K組測(cè)試數(shù)據(jù)集的(Recall，R)、(Precision，P)、Accuracy和F-measure的平均結(jié)果均低于預(yù)設(shè)值，則調(diào)整僵尸網(wǎng)絡(luò)檢測(cè)模型隱含層神經(jīng)元個(gè)數(shù)，所述調(diào)整神經(jīng)元個(gè)數(shù)的范圍為100—200，重新執(zhí)行步驟S3至步驟S4訓(xùn)練僵尸網(wǎng)絡(luò)模型，直到平均結(jié)果不低于預(yù)設(shè)值為止；其中，所述預(yù)設(shè)值為80％；若符合要求則得到步驟S4中測(cè)試完擬合能力和泛化能力后的模型，并繼續(xù)執(zhí)行步驟S6；

步驟S6：將待檢測(cè)的網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行數(shù)據(jù)預(yù)處理得到符合模型輸入的數(shù)據(jù)集，并將數(shù)據(jù)集輸入到步驟S5得到的僵尸網(wǎng)絡(luò)檢測(cè)模型中，若僵尸網(wǎng)絡(luò)模型輸出為1，則判定該網(wǎng)絡(luò)流量中是包含僵尸網(wǎng)絡(luò)，若僵尸網(wǎng)絡(luò)模型輸出為0，則判定該網(wǎng)絡(luò)流量中不包含僵尸網(wǎng)絡(luò)。

2.根據(jù)權(quán)利要求1所述的一種基于極限學(xué)習(xí)機(jī)的僵尸網(wǎng)絡(luò)識(shí)別方法，其特征在于：步驟S1所述對(duì)網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行解析，提取網(wǎng)絡(luò)流量數(shù)據(jù)的具體內(nèi)容為：提取得到的網(wǎng)絡(luò)流量是以pcap文件方式存儲(chǔ)；一條網(wǎng)絡(luò)流前面的數(shù)據(jù)主要包括連接信息和少部分的內(nèi)容交換；在處理每條網(wǎng)絡(luò)流量時(shí)，截取其前256字節(jié)的數(shù)據(jù)，對(duì)于不足256字節(jié)的網(wǎng)絡(luò)流量，則在其末尾補(bǔ)充0x00；然后把每字節(jié)數(shù)據(jù)轉(zhuǎn)換為十進(jìn)制數(shù)得到該條網(wǎng)絡(luò)流量的特征和其對(duì)應(yīng)的標(biāo)簽一起存入.csv文件，該文件共有257列數(shù)據(jù)，前256列表示一條網(wǎng)絡(luò)流量的256個(gè)特征值，第257列為類(lèi)別標(biāo)簽，正常網(wǎng)絡(luò)流量的標(biāo)簽為0，僵尸網(wǎng)絡(luò)流量的標(biāo)簽為1。

3.根據(jù)權(quán)利要求1所述的一種基于極限學(xué)習(xí)機(jī)的僵尸網(wǎng)絡(luò)識(shí)別方法，其特征在于：步驟S4中所述計(jì)算Recall(R)、Precision(P)、Accuracy和F-measure指標(biāo)的具體計(jì)算公式如下：

Precision(P)＝TP/(TP+FP)

Recall(R)＝TP/(TP+FN)

Accuracy＝(TP+TN)/(TP+FN+FP+TN)

F-measure＝2P*R/(P+R)

其中，TP表示的是僵尸網(wǎng)絡(luò)被正確檢測(cè)為僵尸網(wǎng)絡(luò)的個(gè)數(shù)；FP表示正常網(wǎng)絡(luò)被錯(cuò)誤檢測(cè)為僵尸網(wǎng)絡(luò)的個(gè)數(shù)；FN表示僵尸網(wǎng)絡(luò)被錯(cuò)誤檢測(cè)為正常網(wǎng)絡(luò)的個(gè)數(shù)；TN表示正常網(wǎng)絡(luò)被正常識(shí)別為正常網(wǎng)絡(luò)的個(gè)數(shù)；計(jì)算F-measure公式中的P表示精確率(Precision，P)，R表示召回率(Recall，R)。