[發(fā)明專利]一種基于灰色LOF流量異常檢測系統(tǒng)及其檢測方法

有效

• 申請?zhí)枺?/td>: 201710631334.2
• 申請日: 2017-07-28
• 公開（公告）號: CN107257351B
• 公開（公告）日: 2020-08-04
• 發(fā)明（設(shè)計）人: 張眾發(fā);陳熾光;王冬生;楊福國;劉東東;賴群;焦力;王廣;黃祖迪
• 申請（專利權(quán)）人: 廣東電網(wǎng)有限責(zé)任公司云浮供電局
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州粵高專利商標(biāo)代理有限公司 44102
• 代理人: 林麗明

1.一種基于灰色LOF流量異常檢測系統(tǒng)的檢測方法，其特征在于，包括以下步驟：

S1.通過旁路部署在數(shù)據(jù)網(wǎng)網(wǎng)絡(luò)節(jié)點上的流量采集設(shè)備采集原始的數(shù)據(jù)流量包，以灰度理論為基礎(chǔ)對數(shù)據(jù)進行預(yù)處理，提取并歸納每個流量數(shù)據(jù)包的高關(guān)聯(lián)字段，并確定選取PacketsIn、PacketsOut、BytesIn和BytesOut四個字段作為檢測數(shù)據(jù)源；

S2.在步驟S1之后，采用維度標(biāo)準(zhǔn)化方式進行預(yù)測結(jié)果評判，設(shè)定原始數(shù)據(jù)列x⁽⁰⁾＝{x⁽⁰⁾(1),x⁽⁰⁾(2),...,x⁽⁰⁾(n)}，n為灰色預(yù)測數(shù)，根據(jù)x⁽⁰⁾數(shù)據(jù)列建立GM(1,1)模型實現(xiàn)預(yù)測功能；將預(yù)測出的結(jié)果與實際數(shù)據(jù)對比，將結(jié)果的偏差超出對比閾值的流量評判為灰色流量；

S3.在步驟S2之后，取所述灰色流量中一個數(shù)據(jù)流量包抽象為對象p，LOF分析模塊依據(jù)KTLAD算法計算對象p的局部可達密度與局部異常因子LOF(p)，并將異常因子LOF(p)接近1的點判定為正常點，對比閾值得出異常點；

S4.在步驟S3之后，將異常點輸出至終端；

其中，步驟S2中，根據(jù)x⁽⁰⁾數(shù)據(jù)列建立GM(1,1)模型按如下步驟實現(xiàn)預(yù)測：

a.累加原始數(shù)據(jù)，弱化隨機序列的波動性和隨機性，得到新的數(shù)據(jù)序列x⁽¹⁾：

x⁽¹⁾＝{x⁽¹⁾(1),x⁽¹⁾(2),...,x⁽¹⁾(k),...,x⁽¹⁾(n)} (1)

其中，x⁽¹⁾(k)中各數(shù)據(jù)表示對應(yīng)前幾項數(shù)據(jù)的累加：

b.按公式(2)對x⁽¹⁾(k)建立一階線性微分方程,即GM(1,1)模型:

其中，a、b為待定系數(shù)，分別稱為發(fā)展系數(shù)和灰色作用量；a的有效區(qū)間是(-2,2)，并記a、b構(gòu)成的矩陣為灰參數(shù)

c.按公式(3)、公式(4)對累加生成數(shù)據(jù)做均值生成B與常數(shù)項向量Y_n:

Y_n＝[x⁽⁰⁾(2),x⁽⁰⁾(3),...x⁽⁰⁾(n)]^T (4)

d.按公式(5)用最小二乘法求解灰參數(shù)

e.將灰參數(shù)代入公式(2)，并按公式(6)對x⁽¹⁾(k)進行求解，得：

f.按公式(7)計算數(shù)據(jù)數(shù)列x⁽¹⁾的預(yù)測值

g.按公式(8)計算得到x⁽⁰⁾的預(yù)測值

h.按公式(9)計算灰色對比值gc：

其中X_i為第i個字段的預(yù)測值，Y_i為第i個字段的實際值，k_i為第i個維度的權(quán)值，為與下一模塊中的距離計算相結(jié)合，X_iβ為維度i上從大到小排序位于0.9處的值，X_iα為維度i上從大到小排序位于0.1處的值；

所述步驟S3中KTLAD算法具體包括以下步驟：

a.計算各維度方差，找出方差最大的維度d；將各點按在d維度上從小到大排列，中間值點設(shè)為分裂點，比中間值小的點設(shè)為左兒子，比中間值大的點設(shè)為右兒子；建立包含若干以數(shù)據(jù)流量包為節(jié)點的k-d樹；

b.在步驟a之后，將一個數(shù)據(jù)流量包抽象為一個對象p,采用標(biāo)準(zhǔn)化處理，針對維度重要性不同采用加權(quán)處理，得到距離d(p,q),距離d(p,q)按公式(10)計算：

其中k_i為第i個維度的權(quán)值，X_iα為維度i上從大到小排序位于0.1處的值，X_iβ為維度i上從大到小排序位于0.9處的值；

c.在步驟b之后，根據(jù)已建的k-d樹，查詢最近鄰居，查詢得到第k個最近鄰居，即得到k-距離；

d.在步驟c之后，按公式(11)計算k-距離鄰域：

N_k-dis(p)＝{q|d(p,q)≤k-dis(p)} (11)

e.在步驟d之后，給定自然數(shù)k，按公式(12)計算對象p相對于對象o的可達距離r-dis_k：

r-dis_k(p,o)＝max{k-dis(o),d(p,o)} (12)

f.在步驟e之后，按照公式(13)計算對象p的局部可達密度lrd_k-dis；按照公式(14)計算對象p的局部異常因子LOF(p)：

2.一種應(yīng)用權(quán)利要求1所述方法的基于灰色LOF流量異常檢測系統(tǒng)，其特征在于，包括信息采集模塊、灰色區(qū)分模塊、LOF分析模塊和輸出模塊：所述信息采集模塊用于原始數(shù)據(jù)的采集和預(yù)處理，并將數(shù)據(jù)傳輸至灰色區(qū)分模塊；所述灰色區(qū)分模塊用于對數(shù)據(jù)進行分析和預(yù)判得到需要計算的灰色區(qū)域，并將灰色區(qū)域傳輸至LOF分析模塊；所述LOF分析模塊用于分析灰色區(qū)域中的對象，并將分析結(jié)果傳輸至輸出模塊；所述輸出模塊用于將分析結(jié)果輸出至終端。