Концептуальная модель принимающего узла компьютерной сети под воздействием сетевых

Метод детектирования раннее известных сетевых атак типа «отказ в обслуживании» на основе алгоритма градиентного бустинга

В модели на основе обучающей выборки сетевого трафика задаем функцию 𝑓(𝑥_𝑚) от входных параметров, которая при наименьшем количестве ошибочно классифицированных пакетов предсказывает результирующий класс атаки 𝑦 для любых новых значений 𝑥 [156]. Выходные значения берутся из дискретного множества 𝑌, включающего все предопределенные значения классов.
𝑌={𝑦_1,𝑦₂, … , 𝑦_𝑚}, (2.17)
где 𝑚-количество результирующих классов.
Таким образом,
𝑓: 𝑋 → 𝑌, (2.18)
где 𝑋 – это набор векторов атрибутов сетевых пакетов, 𝑌- набор наименований классов распределенных сетевых атак.
Значения целевой зависимости 𝑓 известны только на объектах конечной обучающей выборки [156]:
𝑥^𝑚 = {(𝑥₁, 𝑦₂), … , (𝑥_𝑚, 𝑦_𝑚)}. (2.19) В качестве базового алгоритма используем бустинг над решающими деревьями, который основан на построении аддитивной функции с
использованием суммы деревьев решений. [134].
Процесс оптимизации алгоритма необходим для подбора параметров обучения модели, при которых вероятность правильной классификации будет максимальной.
Параметры для оптимизации модели выбраны следующие [181]:

• 
  количество итераций n_estimators;
  
• 
  скорость обучения learning_rate;
  
• 
  высота обучающего дерева max_depth;
  
• 
  количество дочерних деревьев min_child_samples.
  

Для оценки использовались метрики, предсказывающие принадлежность каждого объекта к одному из классов. Матрица классификации приведена в таблице 1. 𝑦̂-ответ алгоритма на объекте, 𝑦-истинный класс объекта.
Таблица 2.2. Матрица ошибок классификации

	y=1	y=0
𝑦̂ = 1	Истинно положительная(TP)	Ложно положительная(FP)
𝑦̂ = 0	Ложно отрицательная(FN)	Истинно отрицательная(TN)

Для оценки правильности работы модели классификатора использовались следующие метрики:
Метрика оценки классификации [135]:
𝑎𝑐𝑐𝑢𝑟𝑎𝑐𝑦 = ^{𝑇𝑃+𝑇𝑁} . (2.20)
𝑇𝑃+𝑇𝑁+𝐹𝑃+𝐹𝑁
Используем следующие характеристики качества для заданной выборки объектов [136]:

𝑇𝑃𝑅 = ^𝑇𝑃
𝑇𝑃 + 𝐹𝑁
; 𝐹𝑃𝑅 = ^𝐹𝑃
𝑇𝑁 + 𝐹𝑃
(2.21)

ROC кривая определяется следующим образом, как функцию:
𝑅𝑂𝐶(𝑥) = 𝑇𝑃𝑅(𝐹𝑃𝑅 − 1(𝑥)), 𝑥𝜖[0,1] (2.22) Среднеквадратичная ошибка [137]:

𝑅𝑀𝑆 = √^{1 ∑𝑛} (𝑑 − 𝑝 )²,

(2.23)

_𝑛 𝑖=1 ^{𝑖 𝑖}

где 𝑑_𝑖 – количество верно предсказанных объектов, 𝑝_𝑖 – общее количество объектов выборки.