[发明专利]基于特征选择的物联网设备流量异常检测方法、装置及存储介质

权利要求书

1.基于特征选择的物联网设备流量异常检测方法，其特征在于，包括如下步骤：

基于预设的阻尼时间窗口采集物联网设备的流量，对流量进行分类和特征提取获得物联网设备的多个样本，每个样本均包括N个特征，不同样本中的特征值不同；

利用随机森林算法对物联网设备的多个样本进行迭代运算，获得物联网设备的最优特征子集；

基于最优特征子集对物联网设备进行流量异常检测；

物联网设备的每个样本的获取方法为下：

根据数据包参数对物联网设备的流量进行分类，获得分类后的数据流，其中，所述数据包参数包括MAC地址、源IP地址、目的IP地址、源IP-Socket地址和目的IP-Socket地址；

根据数据增量对分类后的数据流进行特征提取，获得物联网设备的样本；

根据数据增量对分类后的数据流进行特征提取的具体操作如下：

根据阻尼时间窗口的衰减因子给分类后的每个数据流配置一个五元组，所述五元组为：

TS_i,λ＝(w,LS,SS,SR_mn,T_last)

其中，TS_i,λ表示衰减因子为λ的阻尼时间窗口内第i个数据流的五元组，w表示当前时刻数据流中数据包的数量，LS表示当前时刻数据流中数据包之和，SS表示当前时刻数据流中数据包的平方和，SR_mn表示数据流中第m个数据包与第n个数据包之间的相关系数，m，n∈[1，w]，T_last表示上一次更新五元组TS_i，λ的时间，i＝1，2，…，H，H为分类后的数据流的总数；

基于阻尼时间窗口内的数据增量更新每个数据流的五元组；

根据更新后的五元组提取每个数据流的特征，并计算特征值，特征值的计算公式包括：

其中，S_i表示第i个数据流，S_j表示第j个数据流，j＝1，2，...，H且j≠i，表示S_i中数据包的加权平均大小，表示S_i中数据包的标准均方差，||S_i，S_j||表示S_i和S_j的二维均值，表示S_j中数据包的加权平均大小，表示S_i和S_j的二维方差，表示S_j中数据包的标准均方差，表示S_i和S_j的二维协方差，w_i表示S_i中数据包的数量，w_j表示S_j中数据包的数量，表示S_i和S_j的相关系数；

利用所有阻尼时间窗口内所有数据流的特征值组成物联网设备的样本。

2.根据权利要求1所述的基于特征选择的物联网设备流量异常检测方法，其特征在于，根据数据包参数对每个阻尼时间窗口采集到的流量进行分类的具体操作如下：

获取流量的数据包参数；

将MAC地址、源IP地址、目的IP地址均相同的数据包存储到MAC_IP类别的数据流中；

将源IP地址相同的数据包存储到Src_IP类别的数据流中；

将源IP地址和目的IP地址均相同的数据包存储到Channel类别的数据流中；

将源IP-Socket地址和目的IP-Socket地址均相同的数据包存储到Socket类别的数据流中。