参数设置：原理与技巧

为了获得疑似概貌集合，首先由公式（4.1）和公式（4.2）获得所有概貌的DegSim和RDMA值，然后通过分析DegSim和RDMA概貌特征值的分布从而分别给两个属性设定一个阈值，将大于RDMA阈值并且小于DegSim阈值的概貌被放入托攻击概貌疑似概貌集合中。如公式（4.3）和公式（4.4）所示。

取所有的RDMA属性值大于òRDMA的概貌放入集合SPRDMA中，这些概貌的RDMA值大于一般正常概貌的RDMA属性值。

取所有的DegSim属性值大于òDegSim的概貌放入集合SPDegSim中，这些概貌的DegSim值大于一般正常概貌的DegSim属性值。将RDMA属性值大于òRDMA的概貌并且DegSim属性值大于òDegSim的概貌放入集合SuspectedAttackers中，如公式（4.5）所示。算法第一步就得到一个集合SuspectedAttackers，这个集合是评分矩阵中最有可能成为托攻击的攻击概貌。

选取DegSim和RDMA阈值是基于他们的平均值乘以一个系数。如公式（4.6）和公式（4.7）所示。

(www.xing528.com)

和

本节设计一组实验，使用MovieLens 100K数据集，向数据集中注入填充率为5％，攻击率为5％的均值攻击概貌。测试当选取不同RDMA和DegSim阈值，使用RD-TIA检测算法第一阶段时的检测结果。其中不同系数下RDMA和DegSim的对托攻击的检测结果见表4.2。

表4.2　不同系数时RDMA和DegSim的检测结果

设定RDMA和DegSim阈值时基于以下原则：RD-TIA检测算法第一阶段不考虑真实概貌被误判为托攻击概貌的情况，尽量让所有的托攻击概貌都被选入疑似概貌集合中。如果在RD-TIA检测算法第一阶段漏选托攻击概貌，那么最终检测结果中托攻击概貌会被误判；而误判的正常概貌可以在RD-TIA检测算法第二阶段中被过滤掉。综合以上因素和测试结果，选取DegSim的阈值为1；RDMA的阈值为0.6。