[發明專利]基于流量數據樣本統計和平衡信息熵估計的網絡異常檢測方法

有效

• 申請號: 201811256242.1
• 申請日: 2018-10-26
• 公開（公告）號: CN109361673B
• 公開（公告）日: 2021-06-22
• 發明（設計）人: 周琨;汪文勇;唐勇;黃鸝聲;張駿
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 成都天嘉專利事務所(普通合伙) 51211
• 代理人: 康拯通

1.基于流量數據樣本統計和平衡信息熵估計的網絡異常檢測方法，其特征在于，包括以下步驟：

流量數據采集，采集核心層進出端口和惡意終端所在接入層進出端口的流量數據，同時采集公開基準數據；

統一數據格式，將采集流量數據獲取的數據統一為JSON格式；

數據特征分析，對數據格式統一后的流量數據特征，采用信息熵的平衡估計方法來估計總體分布信息；信息熵的平衡估計方法估計總體分布信息的具體方法如下：

設離散隨機變量X的取值范圍為字母表A、集合大小為N，則使用香農信息熵帶入得到信息熵平衡估計初值式中Z為隨機變量X可取值的類型數量，n_k為字母表A中可取值的類型；

隨機變量X在字母表A和集合N相等時取得，信息熵平衡估計值最大值

用公式(1)得到的信息熵平衡估計初值除以公式(2)得到的信息熵平衡估計值最大值得到規范化的信息熵平衡估計值；

用公式(3)對信息熵平衡估計值進行歸一化處理計算得到信息熵平衡估計值的相對系數r，

網絡異常判斷，基于網絡流量數據特征分析得到的信息，采取K-S統計檢驗的方法計算出流量數據采集時得到的實際流量數據所構成的數據集的平衡信息熵估計值，并對其進行歸一化處理得到相對系數用于判斷流量數據的聚合程度并判斷網絡是否存在異常；所述網絡異常判斷，K-S統計檢驗的具體方法如下：

用公開獲取的數據的集作為參考數據集的分布，用于與獲取到的實際流量數據進行比較；

設置置信區間D_m，n，且

其中為流量數據采集中實際采集的數據計算出的信息熵平衡估計值，優選地，計算方法與數據特征分析中的方法相同；H_ref(x)為公開獲取的數據計算得到的信息熵，數據集中帶有異常特征，可直接計算信息熵作為基準；sup_x為上確界函數；m，n分別為采集的實際流量數據的集和基準數據的集的樣本大小；

設置零假設檢驗條件，所述零假設檢驗條件為假設參考數據和實際流量數據的平衡信息熵不存在相似性，顯著性水平為ɑ，如果則在顯著性水平ɑ下拒絕零假設；

判斷網絡是否存在異常是對歸一化處理得到的相對系數用于判斷流量數據的聚合程度，進行流量數據是否存在DoS、端口掃描攻擊初步判斷的，若判斷結果中發現有異常的流量數據，則將有異常的流量數據與參考數據的集進行相似性對比；所述相似性對比，是計算參考數據和有異常的流量數據的集平衡信息熵的置信區間，并設置零假設檢驗條件，所述零假設檢驗條件為假設參考數據和實際流量數據的平衡信息熵不存在相似性，在顯著性水平ɑ的條件下進行計算得到計算值，若置信區間大于該計算值，說明在該零假設下觀察到這種數據的概率在顯著性水平ɑ之下，則拒絕該零假設檢驗，判斷網絡中存在DoS拒絕服務或端口掃描攻擊。

2.如權利要求1所述的基于流量數據樣本統計和平衡信息熵估計的網絡異常檢測方法，其特征在于：所述流量數據采集，是使用開源工具TCPtrace、Wireshark、Ethereal、Snort或商業軟硬件系統Cisco Netflow、網絡時間機器NTM、華為Netstream中的一種或多種，用串聯、旁掛或端口鏡像的方式采集獲取得到核心層進出端口和惡意終端所在接入層進出端口的流量數據以及公開基準數據。

3.如權利要求1或2所述的基于流量數據樣本統計和平衡信息熵估計的網絡異常檢測方法，其特征在于：所述公開基準數據為覆蓋了Probe，DoS，R2L，U2R和Data攻擊方式的DARPA入侵數據集。

4.如權利要求1所述的基于流量數據樣本統計和平衡信息熵估計的網絡異常檢測方法，其特征在于：所述統一數據格式，采集到的流量數據包括IP數據包的header包頭和payload載荷，只選取Header包頭的特征在離線狀態下轉換為JSON格式。

5.如權利要求1所述的基于流量數據樣本統計和平衡信息熵估計的網絡異常檢測方法，其特征在于：公開獲取的數據集是指從互聯網中可以獲取到的網絡異常及入侵檢測數據集。