[发明专利]一种快速特征匹配的工业网络DDoS入侵检测方法

权利要求书

1.一种快速特征匹配的工业网络DDoS入侵检测方法，其特征在于，提取网络数据包的特征，筛选并组成特征矩阵，利用经KDD99数据集训练完成的深度学习模型检测DDoS攻击特征，无需数据库查找，该模型可直接输出结果矩阵，完成DDoS入侵行为的检测。该方法可配合工业防火墙，实现工业网络中DDoS攻击行为的快速检测和处理，主要包括以下几个步骤：

a.抓取由外网进入工业内网的数据包；

b.对数据包进行分析，提取DDoS特征数据，并做标准化和归一化处理，转换为特征矩阵；

c.利用经KDD99数据集训练完成的深度学习模型识别DDoS攻击数据，进行快速特征匹配；

d.对匹配结果进行判定，对判定结果进行处理；

e.将判定结果存入日志数据库，并记录数据包的主要特征。

2.根据权利要求1所述的一种快速特征匹配的工业网络DDoS入侵检测方法，其特征在于，步骤a中，将在工业网络入口处进行抓包操作，抓取入站流量数据包，数据包均为外网(因特网)发往内网(工业网络)的数据流量，包括有线及无线方式。

3.根据权利要求1所述的一种快速特征匹配的工业网络DDoS入侵检测方法，其特征在于，步骤b中，首先将对抓取的数据包进行解包分析，提取特征值，再对特征值进行特征筛选，过滤不需要的特征信息，保留DDoS攻击相关的特征以实现更好的深度学习模型匹配精度，最后进行特征的标准化和归一化处理。特征值分为四大类，包括TCP连接基本特征，TCP连接的内容特征，基于时间的网络流量统计特征，和基于主机的网络流量统计特征，特征的提取、筛选和标准化处理方式如下：

(1)提取特征的四大类为：TCP连接基本特征，包含了一些连接的基本属性，如连续时间，协议类型，传送的字节数等；TCP连接的内容特征，包含了连接内容的一些特征，如登录失败次数，是否获得超级用户权限，使用shell命令的次数等；基于时间的网络流量统计特征，一个是“same host”特征，只观察在过去两秒内与当前连接有相同目标主机的连接。另一个是“same service”特征，只观察过去两秒内与当前连接有相同服务的连接；基于主机的网络流量统计特征，该特征使用一个具有100个连接的时间窗，统计当前连接之前100个连接记录中与当前连接具有相同目标主机的统计信息。

(2)由于本方法的特点在于对DDoS攻击行为的快速匹配，因此实际的检测过程中并不需要数据包的全部信息，仅仅选取了部分与DDoS攻击行为关联性强的特征。因此需要进行特征筛选，特征的筛选有助于降低计算复杂度(减少训练和检测时间，这对工业入侵检测的实时性是很重要的)，消除信息冗余，提高学习算法的准确性，促进数据理解，提高泛化能力。具体步骤为：

计算每个特征的信息增益g(D,A)＝H(D)-H(D|A)

计算每个特征的相关性

抽取信息增益和相关性排序的前n1个特征组成特征子集I1和C1，n2个特征组成子集I2和C2，一般n1<n2且n1+n2<30，并按照(I₁∪C₁)∪(I₂∩C₂)进行合并操作，最后得到筛选过后的特征集。

(3)特征值需要进行标准化处理才能够输入深度学习网络进行判别，由于特征属性中有两种类型的数值：数值型和非数值型，数值型数据还包括离散型和连续型，对于深度学习模型来说，输入矩阵需要统一的连续数值型数据类型，经过归一化处理，数据的取值范围和数值分布在合理的区间内，这对于检测系统来说是影响精确度的重要条件之一。所以，首先将非数值型数据映为数值型，再将离散型数据连续化，标准化为[0,1]区间的连续值，最后形成特征矩阵。

4.根据权利要求1所述的一种快速特征匹配的工业网络DDoS入侵检测方法，其特征在于，步骤c中，将处理完成的特征矩阵输入经KDD99数据集训练完成的深度学习模型识别DDoS攻击数据，进行快速特征匹配。KDD99数据集中的DDoS攻击样本有着非常好的质量和数量，可使深度学习模型具有极高的识别率。该方法不再需要查询特征数据库，只需经深度学习模型完成特征匹配判断，即可得到判断结果。