[發明專利]一種P2P botnet檢測方法、裝置和介質

有效

• 申請號: 201910429292.3
• 申請日: 2019-05-22
• 公開（公告）號: CN110149331B
• 公開（公告）日: 2021-07-06
• 發明（設計）人: 宋元章;王俊杰;陳媛;王安邦;李洪雨
• 申請（專利權）人: 中國科學院長春光學精密機械與物理研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;H04L29/08
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 羅滿

1.一種基于多維特征與BP神經網絡的P2P botnet檢測方法，其特征在于，包括：

獲取網絡流量數據；其中，所述網絡流量數據包括正常網絡環境下正常網絡流量數據以及P2P botnet網絡環境下的異常網絡流量數據；

計算所述網絡流量數據的時域特征值、頻域特征值和連通特征值；網絡流量數據的時域特征值包括Hurst指數以及Holder指數；網絡流量數據的頻域特征值包括功率譜密度的相對熵；網絡流量數據的連通特征值包括二元組的信息熵；二元組包括網絡流量數據的源IP地址以及目的IP地址；

將所述時域特征值、所述頻域特征值、所述連通特征值及其對應的P2P botnet爆發結果作為樣本數據，對初始BP神經網絡進行訓練，得到滿足準確率要求的BP神經網絡；

利用所述BP神經網絡對待檢測網絡流量數據進行處理，確定出所述待檢測網絡流量數據所對應的P2P botnet爆發結果。

2.根據權利要求1所述的方法，其特征在于，所述計算所述網絡流量數據的時域特征值、頻域特征值和連通特征值包括：

利用分形理論，計算所述網絡流量數據的Hurst指數以及Holder指數；將所述Hurst指數和所述Holder指數作為時域特征值；

計算所述網絡流量數據中單個時間窗口的功率譜密度；并依據所述功率譜密度，計算相鄰兩個時間窗口的功率譜密度的相對熵；將所述相對熵作為頻域特征值；

將所述網絡流量數據的源IP地址以及目的IP地址作為二元組，計算所述二元組的信息熵；將所述信息熵作為連通特征值。

3.根據權利要求1所述的方法，其特征在于，所述利用所述BP神經網絡對待檢測網絡流量數據進行處理，確定出所述待檢測網絡流量數據所對應的P2P botnet爆發結果包括：

計算所述待檢測網絡流量數據的時域特征值、頻域特征值和連通特征值；

將所述時域特征值、所述頻域特征值以及所述連通特征值輸入所述BP神經網絡，以得到所述待檢測網絡流量數據所對應的P2P botnet爆發的輸出結果；

依據預先設置的決策規則，確定所述輸出結果所對應的P2P botnet爆發結果。

4.根據權利要求3所述的方法，其特征在于，所述BP神經網絡包括兩路輸出；

相應的，所述依據預先設置的決策規則，確定所述輸出結果所對應的P2P botnet爆發結果包括：

對輸出結果進行歸一化處理，并判斷歸一化后的輸出結果R＝(r₁,r₂)是否滿足r₁＞r₂并且r₁≥0.5；

當所述輸出結果R＝(r₁,r₂)滿足r₁＞r₂并且r₁≥0.5，則輸出P2P botnet未爆發的結果；

當所述輸出結果R＝(r₁,r₂)不滿足r₁＞r₂并且r₁≥0.5，則判斷所述輸出結果是否滿足r₂＞r₁并且r₂≥0.5；

若是，則輸出P2P botnet爆發的結果；

若否，則輸出無法判定P2P botnet爆發的提示信息。