[发明专利]基于随机森林的工控网络DDoS攻击流量检测方法及装置

权利要求书

1.一种基于随机森林的工控网络DDoS攻击流量检测方法，其特征在于，包括：

获取工控网络流量数据包；

解析所述工控网络流量数据包并提取DDoS攻击流量特征；

将所述DDoS攻击流量特征加载至基于随机森林的预设DDoS攻击流量检测模型中进行预测，得到预测结果，所述预测结果包括第一预测结果以及第二预测结果，所述第一预测结果为DDoS攻击，所述第二预测结果为非DDoS攻击；

根据所述预测结果进行处理。

2.根据权利要求1所述的基于随机森林的工控网络DDoS攻击流量检测方法，其特征在于，所述DDoS攻击流量特征具体包括：

会话持续时间、会话数、下行包大小、上行包大小、下行字节数、上行字节数、目的IP的活跃熵、服务率以及协议。

3.根据权利要求1所述的基于随机森林的工控网络DDoS攻击流量检测方法，其特征在于，所述将所述DDoS攻击流量特征加载至基于随机森林的预设DDoS攻击流量检测模型中进行预测之前还包括：

基于随机森林法，采用基尼指数作为切分节点的标准，以是否为DDoS攻击作为分类结果，通过训练样本集对DDoS攻击流量检测模型进行训练，得到基于随机森林的预设DDoS攻击流量检测模型。

4.根据权利要求3所述的基于随机森林的工控网络DDoS攻击流量检测方法，其特征在于，所述得到基于随机森林的预设DDoS攻击流量检测模型之后还包括：

通过测试样本集对所述基于随机森林的预设DDoS攻击流量检测模型进行验证，根据对测试样本集的分类结果以及实际分类结果，以检测率和误报率作为所述基于随机森林的预设DDoS攻击流量检测模型的评价指标，当所述检测率高于第一预设值，所述误报率低于第二预设值时，所述基于随机森林的预设DDoS攻击流量检测模型训练完成。

5.根据权利要求1所述的基于随机森林的工控网络DDoS攻击流量检测方法，其特征在于，所述根据所述预测结果进行处理具体包括：

若所述预测结果为第一预测结果，则进行告警处理；

若所述预测结果为第二预测结果，则丢弃所述工控网络流量数据包。

6.一种基于随机森林的工控网络DDoS攻击流量检测装置，其特征在于，包括：

获取单元，用于获取工控网络流量数据包；

提取单元，用于解析所述工控网络流量数据包并提取DDoS攻击流量特征；

预测单元，用于将所述DDoS攻击流量特征加载至基于随机森林的预设DDoS攻击流量检测模型中进行预测，得到预测结果，所述预测结果包括第一预测结果以及第二预测结果，所述第一预测结果为DDoS攻击，所述第二预测结果为非DDoS攻击；

处理单元，用于根据所述预测结果进行处理。

7.根据权利要求6所述的基于随机森林的工控网络DDoS攻击流量检测装置，其特征在于，所述DDoS攻击流量特征具体包括：

会话持续时间、会话数、下行包大小、上行包大小、下行字节数、上行字节数、目的IP的活跃熵、服务率以及协议。

8.根据权利要求6所述的基于随机森林的工控网络DDoS攻击流量检测装置，其特征在于，还包括：

训练单元，用于基于随机森林法，采用基尼指数作为切分节点的标准，以是否为DDoS攻击作为分类结果，通过训练样本集对DDoS攻击流量检测模型进行训练，得到基于随机森林的预设DDoS攻击流量检测模型。

9.根据权利要求8所述的基于随机森林的工控网络DDoS攻击流量检测装置，其特征在于，还包括：

验证单元，用于通过测试样本集对所述基于随机森林的预设DDoS攻击流量检测模型进行验证，根据对测试样本集的分类结果以及实际分类结果，以检测率和误报率作为所述基于随机森林的预设DDoS攻击流量检测模型的评价指标，当所述检测率高于第一预设值，所述误报率低于第二预设值时，所述基于随机森林的预设DDoS攻击流量检测模型训练完成。

10.根据权利要求6所述的基于随机森林的工控网络DDoS攻击流量检测装置，其特征在于，所述处理单元具体用于：

若所述预测结果为第一预测结果，则进行告警处理；

若所述预测结果为第二预测结果，则丢弃所述工控网络流量数据包。