[發明專利]一種基于二次特征篩選的拒絕服務攻擊隨機森林檢測方法

有效

• 申請號: 202110683160.0
• 申請日: 2021-06-21
• 公開（公告）號: CN113645182B
• 公開（公告）日: 2023-07-14
• 發明（設計）人: 王勇;李娜娜;王威
• 申請（專利權）人: 上海電力大學;上海云劍信息技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F18/214;G06F18/2431
• 代理公司: 南京禹為知識產權代理事務所(特殊普通合伙) 32272
• 代理人: 劉小莉

1.一種基于二次特征篩選的拒絕服務攻擊隨機森林檢測方法，其特性在于，包括：

實時采集網絡通信中的流量數據，歸一化處理所述流量數據，得到特征數據集；

利用隨機森林特征重要度準則，計算出所述特征數據集的變量重要性評分和累積重要性，完成一次最佳特征的提取；

根據一次提取的最佳特征對分類模型進行訓練得到二次最佳特征，二次采用所述隨機森林特征重要度準則，得出一組新的重要特征并將其定義為分類模型的最終變量；

基于所述最終變量訓練所述分類模型得到優化模型集，選出頻率最高的模型組作為網絡流量的分類檢測模型；

計算所述特征數據集的變量重要性評分和累積重要性過程包括，設有特征X₁，X₂，X₃，…,X_m，計算每個特征X_j的Gini指數評分VIM_j^Gini，其中，VIM表示特征重要性評分，GI表示Gini指數，則Gini指數的計算公式為：

其中，K表示有K個類別，p_mk表示節點m中類別k所占的比例，即從節點中任意抽取兩個樣本類別標記不相同的概率；

特征X_j在所述節點的重要性為：

其中，GI_l和GI_r分別表示分枝前后兩個新節點的Gini指數；

還包括，

將所求得的重要性評分統一做歸一化處理：

其中，表示所有特征的增益之和，表示特征X_j的基尼指數；

再將每個特征所得的VIM值進行累加，得到特征的累積重要性。

2.如權利要求1所述的基于二次特征篩選的拒絕服務攻擊隨機森林檢測方法，其特征在于：所述分類模型的構建包括，

在所述VIM值的基礎上計算每個特征的重要性之和；若所計算的值小于可變重要性閾值，則舍去該特征；若所計算的值大于可變重要性閾值，則保留該特征，從而構建出特征分類模型，實現原始數據的特征壓縮與基本劃分；

二次利用所述隨機森林特征重要度準則對一次分類模型進行再訓練，并計算精度，根據預設精度閾值篩選出二次分類模型。

3.如權利要求1或2任一項所述的基于二次特征篩選的拒絕服務攻擊隨機森林檢測方法，其特征在于：所述分類檢測模型的構建包括，

用篩選出的最終特征作為當前變量訓練分類模型；

對訓練好的分類模型計算檢測精度；

將符合精度閾值的分類模型添加到優化模型集合中，得到優化檢測模型，即最終的分類檢測模型。

4.如權利要求1或2所述的基于二次特征篩選的拒絕服務攻擊隨機森林檢測方法，其特征在于：對所述特征數據集進行特征提取包括一次特征提取和二次特征提取。

5.如權利要求3所述的基于二次特征篩選的拒絕服務攻擊隨機森林檢測方法，其特征在于：對所述訓練好的分類模型進行檢驗，計算其檢測精度PREC包括，

其中，TP表示真陽性，為正確預測的攻擊流量，FP表示假陽性，為錯誤預測的正常流量；

若所述PREC的值小于預設閾值，則舍棄該分類模型；若所述PREC的值大于預設閾值，則將當前分類模型添加到優化模型集合中。

6.如權利要求1所述的基于二次特征篩選的拒絕服務攻擊隨機森林檢測方法，其特征在于：所述流量數據采集的過程包括，

利用抓包軟件實時獲取所有數據包的包頭信息；

以預設時間間隔t為標準，計算每個時間段t內通過的數據包的統計特征并將所有的數據包存儲在一個流量表中；

對于獲取的每一個數據包，根據src_IP、dst_IP、src_port、dst_port和transport_protocol的5元組計算出一個標識符；

如果所述標識符是唯一標識符則將此數據流存放至數據緩沖區中；

否則將其與緩沖區中現有的流表數據合并，合并后，若流表的長度T大于或等于最大參考值，則對其進行分類檢測；

對所述分類檢測的結果進行標記；

若所述數據緩沖區中超過系統過期時間的數據流，則檢查其長度，數據流長度T是否大于或等于最小參考值；

若數據流長度T滿足判斷條件，則繼續使用3元組(src_IP、dst_IP和transport_protocol)來為其計算新的標識符。