[发明专利]一种基于LR算法的慢速拒绝服务攻击检测方法

权利要求书

1.一种基于LR算法的慢速拒绝服务(Low-rate Denial of Service,LDoS)攻击检测方法，其特征在于，所述的LDoS攻击检测方法包括以下几个步骤：

步骤1、采样数据：实时获取网络中的相关数据报文，形成样本原始值；

步骤2、处理数据：在步骤1中采集网络数据报文样本原始值的基础之上划分时间窗口，计算样本原始值在每个时间窗口中的特征值；

步骤3、构建模型：基于LR算法进行训练，构建LDoS攻击的检测模型；

步骤4、分析数据：对于待检测的网络，重复步骤1和2，得到待测网络样本的特征值，并基于训练完毕的模型，分析计算各单位时间内网络受攻击的概率，并据此设定判定概率阈值；

步骤5、判定检测：对各时间窗口内的数据进行判定检测。若符合条件，则判定为该单位时间内网络中发生LDoS攻击。

2.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤1中实时获取网络中(关键服务器、路由器或链路)的相关数据报文，其方式是以固定取样时间获取固定单位时间内所有相关数据报文，以此作为为样本原始值。

3.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤2中根据步骤1获取的网络数据报文样本原始值，处理得到的特征值由样本TCP均值、TCP方差、变异系数、样本熵四项组成。通过计算获取这几种受到LDoS攻击之后会发生剧烈变化的特征值，能够较好鉴别网络中LDoS攻击。

4.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤3中，LR算法模型的训练过程包括两个步骤：

步骤3.1、以步骤2中计算获取各单位时间内样本特征值为算法的输入，对于各组数据利用极大似然估计算法，求出最大似然函数；

步骤3.2、利用梯度上升方法，在对数据进行多轮训练迭代的过程中不断修正权值，得到模型的最终权值。其中，LR算法使用随机梯度上升算法和动态的学习率，一方面用部分数据代替整体样本，减小算法开销；另一方面加快权值的收敛，避免算法陷入局部最优情况，提升模型检测效率。

5.根据权利要求4中所述的LDoS攻击检测方法，其特征在于，步骤3.1中，基于分析具有特定特征值的网络的真实标签(是否实际发生了LDoS攻击)，得到具有相关特征的网络属于正样本(发生了攻击)或负样本(未发生攻击)的条件概率，从而获取极大似然函数。

6.根据权利要求4中所述的LDoS攻击检测方法，其特征在于，步骤3.2中权值的定义为：网络中各特征值的权重，代表各特征值在LDoS攻击检测中起到的重要程度。

7.根据权利要求1中所述的LDoS攻击测方法，其特征在于，步骤4中，基于步骤3获得的LR算法模型，对于待检测网络中各单位时间内的数据特征值进行判定检测，包括以下两个步骤：

步骤4.1、将待检测网络中的特征值与LR检测模型中的权值对应相乘；

步骤4.2、将步骤4.1的运算结果代入逻辑回归函数，求得各单位时间内网络受到LDoS攻击的概率，并设定合理的概率阈值。

8.根据权利要求7中所述的LDoS攻击检测方法，其特征在于，步骤4.1中将特征值与检测模型中的权值对应相乘，得到其“判定特征值”，代入后续步骤的“逻辑回归函数”，作为LDoS攻击判定的重要依据。

9.根据权利要求7中所述的LDoS攻击检测方法，其特征在于，步骤4.2中使用Sigmoid函数作为“逻辑回归函数”。该函数将输入的自变量映射到0～1的区间上，表示对应样本受到LDoS攻击的概率，从而转化为二分类问题，以检测LDoS攻击。LR算法通过结合ROC曲线算法，从而动态设定概率阈值，以提升模型在实际检测中的自适应性。

10.根据权利要求1中所述的LDoS攻击检测方法，其特征在于，步骤5中，对LDoS攻击的判定准则为：若该单位时间窗口特征值经步骤4.1和4.2计算，所得结果大于步骤4.2中所设定的概率阈值，即判定其对应的单位时间内发生了LDoS攻击。