[發明專利]基于流量異常及特征分析的攻擊行為檢測方法

在審

• 申請號: 201510522669.1
• 申請日: 2015-08-22
• 公開（公告）號: CN105119919A
• 公開（公告）日: 2015-12-02
• 發明（設計）人: 龐遼軍;曹潮
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 陜西電子工業專利中心 61205
• 代理人: 王品華;朱紅星

1.一種基于流量異常及特征分析的攻擊行為檢測方法，包括以下三個步驟：

(1)獲取網絡流量；

(2)計算網絡流量的赫斯特指數：

2a)設置采樣間隔n，依據單位時間內流經網絡適配器A的流量序列X＝{X_i|i＝1,2,...,n}，求出流量序列X的均值

2b)設置時移系數k，依據流量序列X的均值計算時移系數為k的流量序列的自協方差γ_k、方差γ₀及時移系數為k的流量序列的自相關系數ρ_k；

2c)設置赫斯特指數初始值H₀及迭代終止值s，并利用2b)中選擇的時移系數k和計算出來的自相關系數ρ_k帶入迭代公式：進行計算，得到赫斯特指數H，其中，m表示迭代次數且m≥0；

2d)設置報警閾值q，并將赫斯特指數H與設置的報警閾值q進行比較：若H≤q，則流量序列X不符合自相似特性，判斷為存在疑似攻擊流量，執行步驟(3)，若H>q，則此流量序列符合自相似特性，判斷為不存在疑似攻擊流量，返回步驟(1)；

(3)對疑似攻擊流量做攻擊流量特征分析：

3a)使用網絡封包分析軟件對疑似攻擊流量進行解包，獲取數據包中的數據字段，并將其保存到本地文件D中；

3b)使用攻擊流量特征庫L中的攻擊流量特征字串c對本地文件D中的數據字段進行匹配，若匹配成功，則判斷為受到攻擊，對用戶進行報警，否則，認為未受到攻擊，返回步驟(1)。

2.根據權利要求1所述的基于流量異常及特征分析的攻擊行為檢測方法，其中所述步驟(1)中獲取網絡流量，按如下步驟進行：

1a)打開需要檢測的網絡適配器A，設置網絡適配器A的統計模式為混雜模式，并為A配置過濾器F；

1b)對通過網絡適配器A的數據包進行截獲，并根據數據包的長度信息，統計單位時間內流經網絡適配器A的網絡流量。

3.根據權利要求1所述的基于流量異常及特征分析的攻擊行為檢測方法，其中所述步驟2a)中求流量序列X的均值按如下公式進行計算：

其中n為采樣間隔。

4.根據權利要求1所述的基于流量異常及特征分析的攻擊行為檢測方法，其中所述步驟2b)中依據流量序列X的均值計算時移系數為k的流量序列的自協方差γ_k和方差γ₀，按如下公式進行計算：

γk=1n-kΣi=1n-k(Xi-x‾)(Xi+k-x‾)]]>

其中k為時移系數，若k不為0，則計算結果為時移系數為k的自協方差，若k為0，則計算結果為方差。

5.根據權利要求1所述的基于流量異常及特征分析的攻擊行為檢測方法，其中所述步驟2b)中計算流量序列X的時移系數為k的自相關系數ρ_k，按如下公式進行計算：

其中γ_k為時移系數為k的自協方差，γ₀為方差。

6.根據權利要求1所述的基于流量異常及特征分析的攻擊行為檢測方法，其中所述步驟2c)中對赫斯特指數H進行迭代計算，其迭代過程為：

2c1)將上一次迭代計算得到的中間值H_m，若迭代第一次進行，則將赫斯特指數初始值H₀作為H_m，帶入迭代公式計算得到H_m+1；

2c2)判斷迭代終止條件|H_m+1-H_m|<s是否成立：若成立，則迭代終止，將H_m+1的值作為本次迭代的赫斯特指數H，若不成立，則返回2c1)繼續下一次迭代過程。