[發明專利]網絡異常性指數定量計算方法和系統

有效

• 申請號: 201010135667.4
• 申請日: 2010-03-26
• 公開（公告）號: CN101808017A
• 公開（公告）日: 2010-08-18
• 發明（設計）人: 張永錚;焦緒錄;賀彥宏;云曉春;郭莉
• 申請（專利權）人: 中國科學院計算技術研究所
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/06
• 代理公司: 北京泛華偉業知識產權代理有限公司 11280
• 代理人: 王勇

1.一種網絡異常性指數定量計算方法，包括：

步驟1)、在待監測網絡中選擇一定數量的路由器節點作為數據的采集 點，并設置用于采集數據的基期和報告期；

步驟2)、在各個數據采集點上做數據采集，得到包含有源IP地址、 目的IP地址、源端口、目的端口、協議類型、流開始時間、流結束時間、 包數、字節數、TCP標記在內的相關信息；

步驟3)、統計和計算步驟2)中所采集的數據，得到關于待監測網絡 中網絡數據流量、協議成分、IP與端口分布以及行為模式的指標；

步驟4)、將當前時刻計算得到的指標與基期內計算的相應指標相結 合，計算用于表示待監測網絡異常程度的網絡異常性指數，包括：

根據當前時刻計算得到的指標與基期內計算得到的相應指標的 比值，計算用于表示網絡數據流量、協議成分、IP與端口分布以及行為模 式的基指數；

根據該基指數計算用于表示網絡數據在數量上的變化程度、在比 例上的變化程度、在統計分布上的變化程度以及在行為模式上的變化程度 的層指數；以及

根據所述層指數計算所述網絡異常性指數，

其中，在對所述基指數與層指數做逐層計算時，對具有相關性的 層指數或基指數取最大值，然后將所有不相關的層指數或基指數進行累加 從而計算出上一級指數。

2.根據權利要求1所述的網絡異常性指數定量計算方法，其特征在 于，在所述的步驟3)中，還要計算待監測網絡中與網絡數據相似性程度 有關的指標；在所述的步驟4)中，所述的計算用于表示待監測網絡異常 程度的網絡異常性指數還包括：

計算待監測網絡中用于表示網絡數據相似性程度的指數，利用該指數 以及所述用于表示網絡數據在數量上的變化程度、在比例上的變化程度、 在統計分布上的變化程度以及在行為模式上的變化程度的指數來計算用 于表示待監測網絡異常程度的網絡異常性指數。

3.根據權利要求2所述的網絡異常性指數定量計算方法，其特征在 于，步驟4)還包括：

根據當前時刻計算得到的以及基期內計算的與網絡數據相似性程度 有關的指標的比值，計算關于網絡數據相似性的基指數；

根據關于網絡數據相似性的基指數計算用于表示網絡數據相似程度 的層指數；以及

根據用于表示網絡數據相似程度的層指數和用于表示網絡數據在數 量上的變化程度、在比例上的變化程度、在統計分布上的變化程度以及在 行為模式上的變化程度的層指數計算所述網絡異常性指數。

4.根據權利要求1或2所述的網絡異常性指數定量計算方法，其特 征在于，在所述的步驟3)中，所述指標包括網絡流量指標、包速率指標、 TCP協議成分指標、UDP協議成分指標、ICMP協議成分指標、TCP_SYN 成分指標、TCP_RST成分指標、流平均包長分布指標、源IP分布指標、 源端口分布指標、目的IP分布指標、目的端口分布指標、同源IP同目的 端口模式指標、同源IP同目的IP模式指標、不同源IP同目的IP模式指 標、網絡節點數指標。

5.根據權利要求4所述的網絡異常性指數定量計算方法，其特征在 于，在所述的步驟4)中，所述的用于表示網絡數據在數量上的變化程度 的指數根據所述網絡流量指標和包速率指標計算生成。

6.根據權利要求5所述的網絡異常性指數定量計算方法，其特征在 于，所述的用于表示網絡數據在數量上的變化程度的指數為數量特征指 數，所述的數量特征指數的值通過對流量指數與包速率指數取較大值得 到；其中，

所述的流量指數通過下列公式計算得到：

其中，TI(net)表示流量指數，T_t(net)表示網絡流量指標，N_t(net)表示 網絡節點數指標，r表示報告期，b表示基期；

所述的包速率指數通過下列公式計算得到：

其中，PI(net)表示包速率指數，P_t(net)表示網絡包速率指標。