CN108764267A - 一种基于对抗式决策树集成的拒绝服务攻击检测方法 - Google Patents

Abstract

本发明提供了一种基于对抗式决策树集成的拒绝服务攻击检测方法，包括下列步骤：1）对已经发生攻击后的网络流量特征所构成的数据集进行特征选取；2）使用决策树集成方法训练数据集中的数据；3）建立对抗式入侵检测模型，计算攻击方与检测方的成本与收益，通过博弈得到攻防平衡时攻击方的最优特征调整量与检测方的最优特征权重。该方法的优点是，入侵检测系统可以在攻击者调整攻击策略时调整自身检测策略，避免因攻击者刻意躲避检测调整攻击策略而造成检测失败。

Description

一种基于对抗式决策树集成的拒绝服务攻击检测方法

技术领域

本发明涉及一种基于决策树集成的入侵检测方法，尤其是涉及一种适用于考虑攻击者智力因素时的基于对抗式决策树集成的拒绝服务攻击检测方法。

背景技术

入侵检测技术通过分析攻击发生后的网络流量特征来定位攻击，是解决拒绝服务问题的一个有效途径。入侵检测系统所采用的技术主要分为异常检测和特征检测两类，其中，异常检测是假设入侵者的活动有异于正常主体的活动，即主体的活动状况违反正常规律时认为该活动是入侵行为；特征检测时假设入侵者的活动符合一定的模型，当主体的活动符合这些模式时认为该活动是入侵行为。

目前，入侵检测技术往往是基于机器学习的方法，通过有监督的学习大量攻击样本来提取敏感的网络流量特征用于检测，但这种方法并未考虑攻击者的智力因素，一旦用于鉴别攻击的流量特征被知悉，攻击者将通过调整攻击策略来躲避检测。

因此，针对攻击者可能会针对性调整攻击策略的情况，开发一种基于对抗式决策树集成的拒绝服务攻击检测方法。

发明内容

本发明的目的是为了克服上述现有技术存在的缺陷而提供一种适用于考虑攻击者智力因素时的基于对抗式决策树集成的拒绝服务攻击检测方法。

本发明的目的可以通过以下技术方案来实现：

一种基于对抗式决策树集成的拒绝服务攻击检测方法，包括如下步骤：

1)对已经发生攻击后的网络流量特征所构成的数据集进行特征选取；

2)使用决策树集成方法训练数据集中的数据；

3)建立对抗式入侵检测模型，计算攻击方与检测方的成本与收益，通过博弈得到攻防平衡时攻击方的最优特征调整量与检测方的最优特征权重。

所述步骤1)中的特征选取包括下列步骤：

步骤1.1，将由大量攻击样本构成的数据集随机划分为训练集和测试集，并根据特征的数量m将划分好的训练集和测试集分别复制m组为后续步骤使用；

步骤1.2、将步骤1.1中的m组数据集每组删除1个特征，即第i组数据集删除第i个特征，得到m组不同的数据集；

步骤1.3、分别使用每组训练集来训练决策树分类器得到m个分类器，并在每组对应的测试集上测试，选择分类准确性作为分类器的性能指标对每个分类器的分类效果进行评估，其中分类准确性为分类正确的样本数/总样本数；

步骤1.4、分析m个分类器的性能指标，删除某个特征后对分类性能影响较大的特征为重要的特征，选取n个分类性能指标较差的n个分类器所训练的数据集对应删除的特征。

所述步骤2)中的训练数据集包括下列步骤：

步骤2.1、根据特征选取得到的n个网络流量特征，删除原数据集中没有选中的其它网络流量特征，所述网络流量是指单位时间内通过网络设备或传输介质的信息量；

步骤2.2、删除数据集中正常网络流量样本与拒绝服务攻击网络流量样本之外的所有样本；

步骤2.3、修改数据集的标签，将拒绝服务攻击网络流量的数据标签修改为“1”，将正常网络流量的数据标签修改为“0”；

步骤2.4、根据前面处理过的数据集中网络流量特征的个数n拆分数据集，将数据集拆分为n组，每组代表一个网络流量特征；

步骤2.5、使用CART(Classification and Regression Tree)决策树算法分别训练每组数据集，得到n个决策树分类器。

所述步骤3)中的建立对抗式入侵检测模型，计算最优特征调整量以及最优特征权重包括下列步骤：

步骤3.1、建立斯塔克尔伯格领导者即攻击方—追随者即检测方模型，计算攻击方与检测方的成本和收益；

步骤3.2、实时读取实际的网络流量数据；

步骤3.3、根据步骤1.4中选取的网络流量特征来选取读入的实时网络流量数据所使用的特征；

步骤3.4、将读入的实时网络流量数据选取的网络流量特征值带入斯塔克尔伯格模型；

步骤3.5、将斯塔克尔伯格模型看作双层优化问题：

min[-J_A(Δx,w)]

s.t.w∈argmin{-J_C(Δx,w)}

0≤w_i≤1

x_imin-x_i≤Δx_i≤x_imax-x_i

其中，J_A表示攻击方的优化目标，J_C表示检测方的优化目标，Δx＝(Δx₁,Δx₂,L,Δx_i,L,Δx_n)，w＝(w₁,w₂,L,w_i,L,w_n)，Δx_i表示第i个网络流量特征值x_i的改变量，w_i表示第i个网络流量特征的权重，x_imin与x_imax分别是网络流量特征值x_i的最小值与最大值。

使用遗传算法求解此双层优化问题，得到攻击方需要的最优网络流量特征值的改变量和检测方需要的最优特征权重；

步骤3.6、攻击方使用计算得到的最优网络流量特征值的改变量来优化攻击模式，检测方根据计算得到的最优特征权重采取加权投票法来集成前面得到的n个决策树分类器，由此来重新部署入侵检测系统。

所述步骤3.1中的计算攻击方与检测方的成本和收益，包括下列步骤：

步骤3.1.1、计算攻击方的成本与收益：

成本：n个网络流量特征值的改变量归一化后的平均值；

收益：检测方将拒绝服务攻击的网络流量分类为正常流量的可能性，即各网络流量特征的权重与各CART决策树的分类结果(0或1)的内积；

攻击方的优化目标为：

其中，CART(x_i+Δx_i)表示第i个基分类器的分类结果(0或1)；

步骤3.1.2、计算检测方的成本与收益：

成本：0，由于修改网络流量特征权重几乎不耗费任何资源；

收益：不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异与特征权重的相关系数；其中，真正例率＝被预测为拒绝服务攻击的拒绝服务攻击样本数/拒绝服务攻击样本数，相关系数使用简单相关系数，相关系数＝协方差/标准差之积；

检测方的优化目标为：

其中，ΔTPR＝(ΔTPR₁,L,ΔTPR_i,L,ΔTPR_n),ΔTPR_i表示不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异，Cov(g，g)代表协方差计算，D(g)代表方差计算。

与现有技术相比，本发明的积极进步效果在于：

本发明更加适用于攻击方调整攻击策略时的入侵检测，在考虑攻击者的智力因素时，也可以使入侵检测系统保持较好的检测性能。

附图说明

图1为本发明的方法总流程图。

图2为本发明的入侵检测系统模型图。

图3(a)为本发明实施例中攻击方未调整攻击策略时分类器的敏感性CDF曲线。

图3(b)为本发明实施例中攻击方调整攻击策略、检测方未调整防御策略时分类器的敏感性CDF曲线。

图3(c)为本发明实施例中攻击方调整攻击策略、检测方调整防御策略时分类器的敏感性CDF曲线。

图3(d)为本发明实施例中攻击方未调整攻击策略时分类器的特异性CDF曲线。

图3(e)为本发明实施例中攻击方调整攻击策略、检测方未调整防御策略时分类器的特异性CDF曲线。

图3(f)为本发明实施例中攻击方调整攻击策略、检测方调整防御策略时分类器的特异性CDF曲线。

图3(g)为本发明实施例中攻击方未调整攻击策略时分类器的准确性CDF曲线。

图3(h)为本发明实施例中攻击方调整攻击策略、检测方未调整防御策略时分类器的准确性CDF曲线。

图3(i)为本发明实施例中攻击方调整攻击策略、检测方调整防御策略时分类器的准确性CDF曲线。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。

如图1所示，一种基于对抗式决策树集成的拒绝服务攻击检测方法，包括如下步骤：

1)对已经发生攻击后的网络流量特征所构成的数据集进行特征选取；

2)使用决策树集成方法训练数据集中的数据；

3)建立对抗式入侵检测模型，计算攻击方与检测方的成本与收益，通过博弈得到攻防平衡时攻击方的最优特征调整量与检测方的最优特征权重。

所述步骤1)中的特征选取包括下列步骤：

步骤1.1，将由大量攻击样本构成的数据集随机划分为训练集和测试集，本实施例的划分比例为60％：40％，并根据特征的数量m将划分好的训练集和测试集分别复制m组为后续步骤使用；

步骤1.2、将步骤1.1中的m组数据集每组删除1个特征，即第i组数据集删除第i个特征，得到m组不同的数据集；

步骤1.3、分别使用每组训练集来训练决策树分类器得到m个分类器，并在每组对应的测试集上测试，选择分类准确性作为分类器的性能指标对每个分类器的分类效果进行评估，其中分类准确性为分类正确的样本数/总样本数；

步骤1.4、分析m个分类器的性能指标，删除某个特征后对分类性能影响较大的特征为重要的特征，选取n个分类性能指标较差的n个分类器所训练的数据集对应删除的特征。

所述步骤2)中的训练数据集包括下列步骤：

步骤2.1、根据特征选取得到的n个网络流量特征，删除原数据集中没有选中的其它网络流量特征，所述网络流量是指单位时间内通过网络设备或传输介质的信息量；

步骤2.2、删除数据集中正常网络流量样本与拒绝服务攻击网络流量样本之外的所有样本；

步骤2.3、修改数据集的标签，将拒绝服务攻击网络流量的数据标签修改为“1”，将正常网络流量的数据标签修改为“0”；

步骤2.4、根据前面处理过的数据集中网络流量特征的个数n拆分数据集，将数据集拆分为n组，每组代表一个网络流量特征；

步骤2.5、使用CART决策树算法分别训练每组数据集，得到n个决策树分类器。

所述步骤3)中的建立对抗式入侵检测模型，计算最优特征调整量以及最优特征权重包括下列步骤：

步骤3.1、建立斯塔克尔伯格领导者即攻击方—追随者即检测方模型，计算攻击方与检测方的成本和收益；

步骤3.1.1、计算攻击方的成本与收益：

成本：n个网络流量特征值的改变量归一化后的平均值；

收益：检测方将拒绝服务攻击的网络流量分类为正常流量的可能性，即各网络流量特征的权重与各CART决策树的分类结果(0或1)的内积；

攻击方的优化目标为：

其中，Δx＝(Δx₁,Δx₂,L,Δx_i,L,Δx_n)，w＝(w₁,w₂,L,w_i,L,w_n)，Δx_i表示第i个网络流量特征值x_i的改变量，x_imin与x_imax分别是网络流量特征值x_i的最小值与最大值，CART(x_i+Δx_i)表示第i个基分类器的分类结果(0或1)；

步骤3.1.2、计算检测方的成本与收益：

成本：0，由于修改网络流量特征权重几乎不耗费任何资源；

收益：不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异与特征权重的相关系数；其中，真正例率＝被预测为拒绝服务攻击的拒绝服务攻击样本数/拒绝服务攻击样本数，相关系数使用简单相关系数，相关系数＝协方差/标准差之积；

检测方的优化目标为：

其中，ΔTPR＝(ΔTPR₁,L,ΔTPR_i,L,ΔTPR_n),ΔTPR_i表示不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异，Cov(g，g)代表协方差计算，D(g)代表方差计算。

步骤3.2、实时读取实际的网络流量数据；

步骤3.3、根据步骤1.4中选取的网络流量特征来选取读入的实时网络流量数据所使用的特征；

步骤3.4、将读入的实时网络流量数据选取的网络流量特征值带入斯塔克尔伯格模型；

步骤3.5、将斯塔克尔伯格模型看作双层优化问题：

min[-J_A(Δx,w)]

s.t.w∈argmin{-J_C(Δx,w)}

0≤w_i≤1

x_imin-x_i≤Δx_i≤x_imax-x_i

使用遗传算法求解此双层优化问题，得到攻击方需要的最优网络流量特征值的改变量和检测方需要的最优特征权重；

步骤3.6、攻击方使用计算得到的最优网络流量特征值的改变量来优化攻击模式，检测方根据计算得到的最优特征权重采取加权投票法来集成前面得到的n个决策树分类器，由此来重新部署入侵检测系统。

在本实施例中，求解双层优化问题时，上层种群数量设为50，上层种群的选择方式采用轮盘赌选择法，上层种群的交叉概率设为0.6，上层种群的变异概率设为0.01，上层最大迭代次数设为50。下层种群数量设为50，下层种群的选择方式采用轮盘赌选择法，下层种群的交叉概率设为0.6，下层种群的变异概率设为0.01，下层最大迭代次数设为50。一次攻防博弈中攻防双方的代价与收益如下表所示：

在本实施例中选取的网络流量特征如下：

(1)duration，连接持续时间，单位为秒，范围是[0,58329]；

(2)src_bytes，从源主机到目标主机的数据字节数，范围是[0,137996388]；

(3)dst_bytes，从目标主机到源主机的数据字节数，范围是[0,1309937401]；

(4)count，过去两秒内，与当前连接具有相同目标主机的连接数，范围是[0,511]；

(5)srv_count，过去两秒内，与当前连接具有相同服务的连接数，范围是[0,511]；

(6)serror_rate，过去两秒内，在与当前连接具有相同目标主机的连接中，出现“SYN”错误的连接百分比，范围是[0.00,1.00]；

(7)srv_serror_rate，过去两秒内，在与当前连接具有相同服务的连接中，出现“SYN”错误的连接百分比，范围是[0.00,1.00]；

(8)dst_host_count，前100个连接中，与当前连接具有相同目标主机的连接数，范围是[0,255]；

(9)dst_host_same_src_port_rate，前100个连接中，与当前连接具有相同目标主机相同源端口的连接所占的百分比，[0.00,1.00]；

(10)dst_host_serror_rate，前100个连接中，与当前连接具有相同目标主机的连接中，出现“SYN”错误所占的百分比，[0.00,1.00]；

(11)dst_host_srv_serror_rate，前100个连接中，与当前连接具有相同目标主机相同服务的连接中，出现“REJ”错误的连接所占的百分比，[0.00,1.00]。

本实施例中，步骤2)中由n个决策树基分类器结合而成的入侵检测系统模型如图2所示，本模型采用加权平均的结合方式结合n个基分类器，如图2所示。

本实施例中，如图3(a)-(i)所示，实验进行100次交叉验证，并采用分类器的三个指标(敏感性、特异性、准确性)的CDF曲线来度量对抗式入侵检测模型躲避攻击的性能。其中敏感性＝拒绝服务攻击样本被预测正确的样本数/拒绝服务攻击总样本数，特异性＝正常样本被预测正确的样本数/正常样本数，准确性＝分类正确的样本数/样本总数。

由图3可以看出，攻击方在未调整攻击策略进行拒绝服务攻击时，分类器保持着很高的敏感性(图3(a))、特异性(图3(d))和准确性(图3(g))，这说明攻击方如果不对攻击策略进行调整，分类器检测拒绝服务攻击具有很高的成功率；当攻击方调整攻击策略进行拒绝服务攻击时，如果检测方不相应调整防御策略，则分类器的敏感性(图3(b))、特异性(图3(e))和准确性(图3(h))均会下降很多，尤其是敏感性，这意味着会有更多的DoS攻击被分类为正常，这对于入侵检测系统是非常致命的；当检测方相应调整防御策略后，分类器的敏感性(图3(c))、特异性(图3(f))和准确性(图3(i))有了明显的提升。

Claims (5)

1.一种基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，包括如下步骤：

1)对已经发生攻击后的网络流量特征所构成的数据集进行特征选取；

2)使用决策树集成方法训练数据集中的数据；

3)建立对抗式入侵检测模型，计算攻击方与检测方的成本与收益，通过博弈得到攻防平衡时攻击方的最优特征调整量与检测方的最优特征权重。

2.根据权利要求1所述的基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，所述步骤1)中的特征选取包括下列步骤：

步骤1.1，将由大量攻击样本构成的数据集随机划分为训练集和测试集，并根据特征的数量m将划分好的训练集和测试集分别复制m组为后续步骤使用；

步骤1.2、将步骤1.1中的m组数据集每组删除1个特征，即第i组数据集删除第i个特征，得到m组不同的数据集；

步骤1.3、分别使用每组训练集来训练决策树分类器得到m个分类器，并在每组对应的测试集上测试，选择分类准确性作为分类器的性能指标对每个分类器的分类效果进行评估，其中分类准确性为分类正确的样本数/总样本数；

步骤1.4、分析m个分类器的性能指标，删除某个特征后对分类性能影响较大的特征为重要的特征，选取n个分类性能指标较差的n个分类器所训练的数据集对应删除的特征。

3.根据权利要求1所述的基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，所述步骤2)中的训练数据集包括下列步骤：

步骤2.1、根据特征选取得到的n个网络流量特征，删除原数据集中没有选中的其它网络流量特征，所述网络流量是指单位时间内通过网络设备或传输介质的信息量；

步骤2.2、删除数据集中正常网络流量样本与拒绝服务攻击网络流量样本之外的所有样本；

步骤2.3、修改数据集的标签，将拒绝服务攻击网络流量的数据标签修改为“1”，将正常网络流量的数据标签修改为“0”；

步骤2.4、根据前面处理过的数据集中网络流量特征的个数n拆分数据集，将数据集拆分为n组，每组代表一个网络流量特征；

步骤2.5、使用CART决策树算法分别训练每组数据集，得到n个决策树分类器。

4.根据权利要求1所述的基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，所述步骤3)中的建立对抗式入侵检测模型，计算最优特征调整量以及最优特征权重包括下列步骤：

步骤3.1、建立斯塔克尔伯格领导者即攻击方—追随者即检测方模型，计算攻击方与检测方的成本和收益；

步骤3.2、实时读取实际的网络流量数据；

步骤3.3、根据步骤1.4中选取的网络流量特征来选取读入的实时网络流量数据所使用的特征；

步骤3.4、将读入的实时网络流量数据选取的网络流量特征值带入斯塔克尔伯格模型；

步骤3.5、将斯塔克尔伯格模型看作双层优化问题：

min[-J_A(Δx,w)]

s.t.w∈argmin{-J_C(Δx,w)}

0≤w_i≤1

x_imin-x_i≤Δx_i≤x_imax-x_i

其中，J_A表示攻击方的优化目标，J_C表示检测方的优化目标，Δx＝(Δx₁,Δx₂,L,Δx_i,L,Δx_n)，w＝(w₁,w₂,L,w_i,L,w_n)，Δx_i表示第i个网络流量特征值x_i的改变量，w_i表示第i个网络流量特征的权重，x_imin与x_imax分别是网络流量特征值x_i的最小值与最大值；使用遗传算法求解此双层优化问题，得到攻击方需要的最优网络流量特征值的改变量和检测方需要的最优特征权重；

步骤3.6、攻击方使用计算得到的最优网络流量特征值的改变量来优化攻击模式，检测方根据计算得到的最优特征权重采取加权投票法来集成前面得到的n个决策树分类器，由此来重新部署入侵检测系统。

5.根据权利要求4所述的基于对抗式决策树集成的拒绝服务攻击检测方法，其特征在于，所述步骤3.1中的计算攻击方与检测方的成本和收益，包括下列步骤：

步骤3.1.1、计算攻击方的成本与收益：

成本：n个网络流量特征值的改变量归一化后的平均值；

收益：检测方将拒绝服务攻击的网络流量分类为正常流量的可能性，即各网络流量特征的权重与各CART决策树的分类结果(0或1)的内积；

攻击方的优化目标为：

其中，CART(x_i+Δx_i)表示第i个基分类器的分类结果(0或1)；

步骤3.1.2、计算检测方的成本与收益：

成本：0，由于修改网络流量特征权重几乎不耗费任何资源；

收益：不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异与特征权重的相关系数；其中，真正例率＝被预测为拒绝服务攻击的拒绝服务攻击样本数/拒绝服务攻击样本数，相关系数使用简单相关系数，相关系数＝协方差/标准差之积；

检测方的优化目标为：

其中，ΔTPR＝(ΔTPR₁,L,ΔTPR_i,L,ΔTPR_n),ΔTPR_i表示不使用第i个网络流量特征时分类器的真正例率与使用所有网络流量特征时分类器的真正例率之间的差异，Cov(g，g)代表协方差计算，D(g)代表方差计算。