[发明专利]一种基于二次特征筛选的拒绝服务攻击随机森林检测方法

权利要求书

1.一种基于二次特征筛选的拒绝服务攻击随机森林检测方法，其特性在于，包括：

实时采集网络通信中的流量数据，归一化处理所述流量数据，得到特征数据集；

利用随机森林特征重要度准则，计算出所述特征数据集的变量重要性评分和累积重要性，完成一次最佳特征的提取；

根据一次提取的最佳特征对分类模型进行训练得到二次最佳特征，二次采用所述随机森林特征重要度准则，得出一组新的重要特征并将其定义为分类模型的最终变量；

基于所述最终变量训练所述分类模型得到优化模型集，选出频率最高的模型组作为网络流量的分类检测模型；

计算所述特征数据集的变量重要性评分和累积重要性过程包括，设有特征X₁，X₂，X₃，…,X_m，计算每个特征X_j的Gini指数评分VIM_j^Gini，其中，VIM表示特征重要性评分，GI表示Gini指数，则Gini指数的计算公式为：

其中，K表示有K个类别，p_mk表示节点m中类别k所占的比例，即从节点中任意抽取两个样本类别标记不相同的概率；

特征X_j在所述节点的重要性为：

其中，GI_l和GI_r分别表示分枝前后两个新节点的Gini指数；

还包括，

将所求得的重要性评分统一做归一化处理：

其中，表示所有特征的增益之和，表示特征X_j的基尼指数；

再将每个特征所得的VIM值进行累加，得到特征的累积重要性。

2.如权利要求1所述的基于二次特征筛选的拒绝服务攻击随机森林检测方法，其特征在于：所述分类模型的构建包括，

在所述VIM值的基础上计算每个特征的重要性之和；若所计算的值小于可变重要性阈值，则舍去该特征；若所计算的值大于可变重要性阈值，则保留该特征，从而构建出特征分类模型，实现原始数据的特征压缩与基本划分；

二次利用所述随机森林特征重要度准则对一次分类模型进行再训练，并计算精度，根据预设精度阈值筛选出二次分类模型。

3.如权利要求1或2任一项所述的基于二次特征筛选的拒绝服务攻击随机森林检测方法，其特征在于：所述分类检测模型的构建包括，

用筛选出的最终特征作为当前变量训练分类模型；

对训练好的分类模型计算检测精度；

将符合精度阈值的分类模型添加到优化模型集合中，得到优化检测模型，即最终的分类检测模型。

4.如权利要求1或2所述的基于二次特征筛选的拒绝服务攻击随机森林检测方法，其特征在于：对所述特征数据集进行特征提取包括一次特征提取和二次特征提取。

5.如权利要求3所述的基于二次特征筛选的拒绝服务攻击随机森林检测方法，其特征在于：对所述训练好的分类模型进行检验，计算其检测精度PREC包括，

其中，TP表示真阳性，为正确预测的攻击流量，FP表示假阳性，为错误预测的正常流量；

若所述PREC的值小于预设阈值，则舍弃该分类模型；若所述PREC的值大于预设阈值，则将当前分类模型添加到优化模型集合中。

6.如权利要求1所述的基于二次特征筛选的拒绝服务攻击随机森林检测方法，其特征在于：所述流量数据采集的过程包括，

利用抓包软件实时获取所有数据包的包头信息；

以预设时间间隔t为标准，计算每个时间段t内通过的数据包的统计特征并将所有的数据包存储在一个流量表中；

对于获取的每一个数据包，根据src_IP、dst_IP、src_port、dst_port和transport_protocol的5元组计算出一个标识符；

如果所述标识符是唯一标识符则将此数据流存放至数据缓冲区中；

否则将其与缓冲区中现有的流表数据合并，合并后，若流表的长度T大于或等于最大参考值，则对其进行分类检测；

对所述分类检测的结果进行标记；

若所述数据缓冲区中超过系统过期时间的数据流，则检查其长度，数据流长度T是否大于或等于最小参考值；

若数据流长度T满足判断条件，则继续使用3元组(src_IP、dst_IP和transport_protocol)来为其计算新的标识符。