[发明专利]一种基于对抗式决策树集成的拒绝服务攻击检测方法

权利要求书

1.一种基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，包括如下步骤：

1)对已经发生攻击后的网络流量特征所构成的数据集进行特征选取；特征选取包括下列步骤：

步骤1.1，将由大量攻击样本构成的数据集随机划分为训练集和测试集，并根据特征的数量m将划分好的训练集和测试集分别复制m组为后续步骤使用；

步骤1.2、将步骤1.1中的m组数据集每组删除1个特征，即第i组数据集删除第i个特征，得到m组不同的数据集；

步骤1.3、分别使用每组训练集来训练决策树分类器得到m个分类器，并在每组对应的测试集上测试，选择分类准确性作为分类器的性能指标对每个分类器的分类效果进行评估，其中分类准确性为分类正确的样本数/总样本数；

步骤1.4、分析m个分类器的性能指标，删除某个特征后对分类性能影响较大的特征为重要的特征，选取n个分类性能指标较差的n个分类器所训练的数据集对应删除的特征；

2)使用决策树集成方法训练数据集中的数据；

3)建立对抗式入侵检测模型，计算攻击方与检测方的成本与收益，通过博弈得到攻防平衡时攻击方的最优特征调整量与检测方的最优特征权重；

建立对抗式入侵检测模型，计算最优特征调整量以及最优特征权重包括下列步骤：

步骤3.1、建立斯塔克尔伯格领导者即攻击方—追随者即检测方模型，计算攻击方与检测方的成本和收益；

步骤3.2、实时读取实际的网络流量数据；

步骤3.3、根据步骤1.4中选取的网络流量特征来选取读入的实时网络流量数据所使用的特征；

步骤3.4、将读入的实时网络流量数据选取的网络流量特征值带入斯塔克尔伯格模型；

步骤3.5、将斯塔克尔伯格模型看作双层优化问题：

min[-J_A(Δx,w)]

s.t.w∈argmin{-J_C(Δx,w)}

0≤w_i≤1

x_imin-x_i≤Δx_i≤x_imax-x_i

其中，J_A表示攻击方的优化目标，J_C表示检测方的优化目标，Δx＝(Δx₁,Δx₂,…,Δx_i,…,Δx_n)，w＝(w₁,w₂,…,w_i,…,w_n)，Δx_i表示第i个网络流量特征值x_i的改变量，w_i表示第i个网络流量特征的权重，x_imin与x_imax分别是网络流量特征值x_i的最小值与最大值；使用遗传算法求解此双层优化问题，得到攻击方需要的最优网络流量特征值的改变量和检测方需要的最优特征权重；

步骤3.6、攻击方使用计算得到的最优网络流量特征值的改变量来优化攻击模式，检测方根据计算得到的最优特征权重采取加权投票法来集成前面得到的n个决策树分类器，由此来重新部署入侵检测系统。

2.根据权利要求1所述的基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，所述步骤2)中的训练数据集包括下列步骤：

步骤2.1、根据特征选取得到的n个网络流量特征，删除原数据集中没有选中的其它网络流量特征，所述网络流量是指单位时间内通过网络设备或传输介质的信息量；

步骤2.2、删除数据集中正常网络流量样本与拒绝服务攻击网络流量样本之外的所有样本；

步骤2.3、修改数据集的标签，将拒绝服务攻击网络流量的数据标签修改为“1”，将正常网络流量的数据标签修改为“0”；

步骤2.4、根据前面处理过的数据集中网络流量特征的个数n拆分数据集，将数据集拆分为n组，每组代表一个网络流量特征；

步骤2.5、使用CART决策树算法分别训练每组数据集，得到n个决策树分类器。

3.根据权利要求1所述的基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，所述步骤3.1中的计算攻击方与检测方的成本和收益，包括下列步骤：

步骤3.1.1、计算攻击方的成本与收益：

成本：n个网络流量特征值的改变量归一化后的平均值；

收益：检测方将拒绝服务攻击的网络流量分类为正常流量的可能性，即各网络流量特征的权重与各CART决策树的分类结果的内积；

攻击方的优化目标为：

其中，CART(x_i+Δx_i)表示第i个基分类器的分类结果；

步骤3.1.2、计算检测方的成本与收益：

成本：0，由于修改网络流量特征权重几乎不耗费任何资源；

收益：不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异与特征权重的相关系数；其中，真正例率＝被预测为拒绝服务攻击的拒绝服务攻击样本数/拒绝服务攻击样本数，相关系数使用简单相关系数，相关系数＝协方差/标准差之积；

检测方的优化目标为：

其中，ΔTPR＝(ΔTPR₁,…,ΔTPR_i,…,ΔTPR_n),ΔTPR_i表示不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异，Cov(·，·)代表协方差计算，D(·)代表方差计算。