[發(fā)明專利]基于分布式機(jī)器學(xué)習(xí)和區(qū)塊鏈的物聯(lián)網(wǎng)DDoS檢測(cè)、防御方法、檢測(cè)裝置及存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110593073.6
• 申請(qǐng)日: 2021-05-28
• 公開(kāi)（公告）號(hào): CN113221113B
• 公開(kāi)（公告）日: 2021-10-01
• 發(fā)明（設(shè)計(jì)）人: 李清鋒;張培風(fēng);韓家鵬;周雨昂;吳本龍
• 申請(qǐng)（專利權(quán)）人: 東北林業(yè)大學(xué)
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06N20/00;G16Y40/10;G06F16/27
• 代理公司: 哈爾濱市偉晨專利代理事務(wù)所(普通合伙) 23209
• 代理人: 姜俊婕

1.一種基于分布式機(jī)器學(xué)習(xí)和區(qū)塊鏈的物聯(lián)網(wǎng)DDoS檢測(cè)裝置，其特征在于，包括流量監(jiān)聽(tīng)及過(guò)濾模塊、機(jī)器學(xué)習(xí)模塊和區(qū)塊鏈模塊；所述流量監(jiān)聽(tīng)及過(guò)濾模塊用于接收邊緣節(jié)點(diǎn)發(fā)出的流量，并對(duì)異常流量進(jìn)行過(guò)濾和特征提??；所述機(jī)器學(xué)習(xí)模塊用于學(xué)習(xí)檢測(cè)異常流量；所述區(qū)塊鏈模塊用于存儲(chǔ)異常流量；所述流量監(jiān)聽(tīng)及過(guò)濾模塊將提取到的特征傳輸至區(qū)塊鏈模塊；邊緣節(jié)點(diǎn)從區(qū)塊鏈模塊中獲取異常流量數(shù)據(jù)傳輸至機(jī)器學(xué)習(xí)模塊；

所述流量監(jiān)聽(tīng)及過(guò)濾模塊，通過(guò)建立規(guī)則對(duì)異常流量實(shí)現(xiàn)過(guò)濾，建立規(guī)則具體的方法具體包括：

S1.1.在單位時(shí)間內(nèi)，某源ip發(fā)送了超過(guò)設(shè)置上限的訪問(wèn)次數(shù)v，則判定為異常；

S1.2.流量監(jiān)聽(tīng)及過(guò)濾模塊接收到syn報(bào)文后先使用特定的cookie進(jìn)行回應(yīng)，若源端不進(jìn)行回應(yīng)，則為異常；

S1.3.收到UDP報(bào)文時(shí)，對(duì)其包大小、訪問(wèn)端口等進(jìn)行判斷，若超出閾值則記錄為異常；

所述提取流量的特征值具體包括連接的基本特征、基于時(shí)間的網(wǎng)絡(luò)流量特征和基于主機(jī)的網(wǎng)絡(luò)流量特征；

所述機(jī)器學(xué)習(xí)模塊通過(guò)對(duì)異常連接信息進(jìn)行分析校驗(yàn)檢測(cè)異常流量，具體的檢測(cè)異常流量方法是：包括如下步驟：

S4.1.將原始數(shù)據(jù)集分為m組，從中有放回的隨機(jī)抽選i個(gè)樣本集；

S4.2.在樣本集中從所有特征中隨機(jī)選擇k個(gè)特征，在每組樣本數(shù)據(jù)集上用決策樹算法對(duì)其進(jìn)行建模，生成i個(gè)決策樹模型；

S4.3.輸入新的異常連接時(shí)，每棵決策樹都要進(jìn)行投票表決，確定選擇哪類；

所述投票的具體方法是：如下公式計(jì)算得到：

其中，表示多分類模型系統(tǒng)，表示單棵決策樹分類模型，y表示目標(biāo)變量，表示示性函數(shù)，表示當(dāng)括號(hào)內(nèi)條件成立時(shí)取值為1，否則為0。

2.一種基于分布式機(jī)器學(xué)習(xí)和區(qū)塊鏈的物聯(lián)網(wǎng)DDoS檢測(cè)方法，該方法基于權(quán)利要求1所述的一種基于分布式機(jī)器學(xué)習(xí)和區(qū)塊鏈的物聯(lián)網(wǎng)DDoS檢測(cè)裝置實(shí)現(xiàn)，其特征在于，包括以下步驟：

S1.流量監(jiān)聽(tīng)模塊獲取邊緣節(jié)點(diǎn)輸入的流量，判斷流量是否為異常連接，如是執(zhí)行步驟S3，如否執(zhí)行步驟S2；

S2.提取流量的特征值，將流量的特征值輸入至分布式機(jī)器學(xué)習(xí)訓(xùn)練模型中；

S3.提取流量的特征值，記錄異常連接信息，對(duì)其進(jìn)行簽名后將其上傳至區(qū)塊鏈中；

S4.其他邊緣節(jié)點(diǎn)共享區(qū)塊鏈中的異常連接信息，并將該信息輸入至分布式機(jī)器學(xué)習(xí)訓(xùn)練模型中對(duì)異常連接信息進(jìn)行分析校驗(yàn)；包括如下步驟：

S4.1.將原始數(shù)據(jù)集分為m組，從中有放回的隨機(jī)抽選i個(gè)樣本集；

S4.2.在樣本集中從所有特征中隨機(jī)選擇k個(gè)特征，在每組樣本數(shù)據(jù)集上用決策樹算法對(duì)其進(jìn)行建模，生成i個(gè)決策樹模型；

S4.3.輸入新的異常連接時(shí)，每棵決策樹都要進(jìn)行投票表決，確定選擇哪類；

投票的具體方法是：如下公式計(jì)算得到：

其中，表示多分類模型系統(tǒng)，表示單棵決策樹分類模型，y表示目標(biāo)變量，表示示性函數(shù)，表示當(dāng)括號(hào)內(nèi)條件成立時(shí)取值為1，否則為0；

S5.當(dāng)2/3邊緣節(jié)點(diǎn)驗(yàn)證器為DDoS攻擊后，同步廣播給所有邊緣節(jié)點(diǎn)和流量監(jiān)聽(tīng)及過(guò)濾模塊，所有邊緣節(jié)點(diǎn)將包含攻擊信息的區(qū)塊記錄在本地，并對(duì)計(jì)算正確的邊緣節(jié)點(diǎn)對(duì)應(yīng)的分布式機(jī)器學(xué)習(xí)訓(xùn)練模型分發(fā)便簽；

S6.流量監(jiān)聽(tīng)及過(guò)濾模塊收到廣播后對(duì)DDoS攻擊流量進(jìn)行攔截；

S7.根據(jù)便簽數(shù)量確定最優(yōu)分布式機(jī)器學(xué)習(xí)訓(xùn)練模型，并使全網(wǎng)同步此模型。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，步驟S1所述流量監(jiān)聽(tīng)及過(guò)濾模塊，通過(guò)建立規(guī)則對(duì)異常流量實(shí)現(xiàn)過(guò)濾，建立規(guī)則具體的方法具體包括：

S1.1.在單位時(shí)間內(nèi)，某源ip發(fā)送了超過(guò)設(shè)置上限的訪問(wèn)次數(shù)v，則判定為異常；

S1.2.流量監(jiān)聽(tīng)及過(guò)濾模塊接收到syn報(bào)文后先使用特定的cookie進(jìn)行回應(yīng)，若源端不進(jìn)行回應(yīng)，則為異常；

S1.3.收到UDP報(bào)文時(shí)，對(duì)其包大小、訪問(wèn)端口等進(jìn)行判斷，若超出閾值則記錄為異常。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，步驟S2和步驟S3所述提取流量的特征值具體包括連接的基本特征、基于時(shí)間的網(wǎng)絡(luò)流量特征和基于主機(jī)的網(wǎng)絡(luò)流量特征。