[發明專利]一種基于重標極差法的SDN異常流量檢測方法

有效

• 申請號: 201910669487.5
• 申請日: 2019-07-24
• 公開（公告）號: CN110474883B
• 公開（公告）日: 2022-01-07
• 發明（設計）人: 蘭海燕;孫建國;潘昱辰;趙國冬;李思照;關鍵;高迪
• 申請（專利權）人: 哈爾濱工程大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于重標極差法的SDN異常流量檢測方法，其特征在于，包括：

步驟一、收集SDN各節點的正常網絡流量包數量，分別計算Hurst指數，作為正常網絡狀態的指標I_Normal；

所述的Hurst指數的計算方法為：

步驟1.1、以長度A均分一個序列R_t，A＝2^q,q＝1,2,...,λ-1，該序列被均分為n段，設子區間為I_a,a＝1,2,...,n，I_a中的元素記為N_k,m,k＝1,2,...,n,m＝1,2,...,A，計算I_a的平均值e_a；

步驟1.2、對于每個I_a，計算其均值差累積序列X_k,a；

步驟1.3、計算每個I_a的極差后加一個微小量ξ作為極差結果；

步驟1.4、計算每個I_a的標準差后加一個微小量δ作為標準差結果；

步驟1.5、計算(R/S)_n；

步驟1.6、取A＝2^q,q＝1,2,...,λ-1，重復上述計算；將log₂(R/S)作為log₂(n)的函數進行線性擬合，其斜率為Hurst指數值；

步驟二、收集各節點發生某種已知異常的網絡流量包數量，計算各節點Hurst指數，作為異常指標I_Abnormal；

步驟三、使用窗函數截取各節點實時產生的前向序列，并計算Hurst指數；每當序列更新一個采樣點，就向后移動一次窗函數進行新一輪計算；

步驟四、根據閾值判斷此時各節點的Hurst指數是否偏離I_Normal，若偏離，則繼續執行步驟五；若沒有偏離，則重復步驟三；

步驟五、當Hurst指數趨于穩定時，判斷此時的流量指標是否符合步驟二中得到的已知異常指標I_Abnormal，若是，則此時發生了對應模式的異常；若不是，則此時發生了一種新的未知異常。

2.根據權利要求1所述的一種基于重標極差法的SDN異常流量檢測方法，其特征在于：

所述的步驟一中I_Normal需要設定閾值，具體閾值應針對具體網絡進行測試而定，根據正常網絡流量進行多次采集流量并計算Hurst指數，通過統計方法確定好各節點Hurst指數的閾值范圍；

所述的步驟二中I_Abnormal需要設定閾值，具體閾值應針對具體網絡進行測試而定，根據該異常下的網絡流量進行多次采集流量并計算Hurst指數，通過統計方法確定各節點Hurst指數的閾值范圍。

3.根據權利要求2所述的一種基于重標極差法的SDN異常流量檢測方法，其特征在于：所述的統計方法為使用箱型圖的上邊緣和下邊緣作為I_Normal和I_Abnormal的上、下閾值。

4.根據權利要求1所述的一種基于重標極差法的SDN異常流量檢測方法，其特征在于：所述的步驟五中趨于穩定的判斷方法為異常發生后一段時間T_Total內，當各節點Hurst指數在異常發生后時間T_Check內都保持在I_Abnormal的閾值內，則判定此時異常模式為I_Abnormal對應模式；在T_Total內無法做出判斷，則一律歸為未知異常。

5.根據權利要求4所述的一種基于重標極差法的SDN異常流量檢測方法，其特征在于：所述的T_Total和T_Check由具體的異常模式而定，多種異常的組合時，取所需的最大值。