[發明專利]基于特征關聯的對等網絡特征分析方法

無效

• 申請號: 201010207201.0
• 申請日: 2010-06-23
• 公開（公告）號: CN102299897A
• 公開（公告）日: 2011-12-28
• 發明（設計）人: 秦志光;張鳳荔;王勇
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;G06F17/30
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于數據挖掘技術的拒絕服務攻擊防御方法和系統，該系統需部署在被保護網絡的網絡入口，并為該系統配置數據庫服務器以存儲系統抽樣的實時流量；其特征在于，所述系統包括有：

異常檢測模塊，負責檢測當前網絡流量的狀態以判斷當前系統是否異常，并根據當前系統的狀態將當前網絡流量隨機抽樣至數據庫服務器的正常流量庫和異常流量庫；

數據挖掘引擎模塊，負責利用數據庫服務器中的正常流量庫和異常流量庫提取可信源IP列表和屬性分值表，并將可信源IP列表和屬性分值表分別傳遞給可信IP過濾器和流量控制模塊；

可信IP過濾器模塊，負責根據可信源IP列表對數據包的源IP進行匹配，如果匹配則放行流量，否則將流量交給流量控制模塊處理；

流量控制模塊，負責根據屬性分值表對流經流量控制模塊的網絡數據包進行打分，并將分值映射成數據包危險等級，該模塊根據危險度等級的高低進行選擇性的丟包。

2.如權利要求1所述的異常檢測模塊，其特征在于，所述異常檢測算法包括：

定時提取TCP包頭的標志字段和IP包頭的分片標志；

構造協方差矩陣，并計算協方差矩陣與協方差矩陣序列的均值的距離；

構造存儲大量距離值的歷史窗口，在假設距離值獨立同分布的情況下，計算距離值的置信區間；

對判斷結果進行二次評估，使檢測算法的檢測結果更準確。

3.如權利要求1所述的網絡流量隨機抽樣，其特征在于，所述方法包括：

隨機生成16比特匹配串，與IP數據包Identification字段16比特進行匹配，若匹配成功則抽樣該數據包。

4.如權利要求1所述的提取可信源IP列表，其特征在于，所述方法包括：

對正常流量庫中的源IP進行訪問頻度排序，得到集合S₁；

在正常流量庫中，根據IP數據包TTL屬性和IP包長度屬性提取頻繁項集，并得到頻繁屬性集對應的IP列表，得到集合S₂；

在異常流量庫中，根據IP數據包TTL屬性和IP包長度屬性提取頻繁項集，并得到頻繁屬性集對應的IP列表，得到集合S₃；

根據前三個集合得到可信IP列表。

5.如權利要求1所述的提取屬性分值表方法，其特征在于，所述提取方法包括：

根據IP數據包的TTL屬性和源IP前綴(16比特)兩屬性，對正常流量庫和異常流量庫中的數據包進行頻率統計；

按照貝葉斯定理生成屬性分值表；

根據屬性分值表計算正常流量庫和異常流量庫中的數據包分值的平均值和標準差。

6.如權利要求1所述的將分值映射成數據包危險等級，其特征在于，所采用的映射方法充分考慮了貝葉斯分類誤差，并減少映射關系對數據包危險度劃分的影響。

7.如權利要求1所述的根據危險度等級的高低進行選擇性的丟包，其特征在于：根據危險等級與丟包概率的對應關系，對高危險度的數據包進行高概率丟包，對于低危險度的數據包進行低概率丟包。

8.如權利要求7所述的危險等級與丟包概率的對應關系，其特征在于：當危險等級為0時，丟包概率為0％，當危險等級為9時，丟包概率為10％，其他危險等級可以按照線性或指數函數關系來設定丟包率。