[發明專利]一種基于混沌理論分析的DDoS攻擊檢測方法

在審

• 申請號: 201910864121.3
• 申請日: 2019-09-12
• 公開（公告）號: CN110557397A
• 公開（公告）日: 2019-12-10
• 發明（設計）人: 王穎舒;劉晴;左宇;張娟娟;袁舒;黃韜;徐拓之;李易;韋倩
• 申請（專利權）人: 貴州電網有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/00
• 代理公司: 52100 貴陽中新專利商標事務所
• 代理人: 商小川

1.一種基于混沌理論分析的DDoS攻擊檢測方法，它包括：

步驟1、收集信網絡流量數據，并對收集的流量數據進行預處理；

步驟2、采用時間序列模型中序列預測算法建立網絡正常流量模型；

步驟3、將網絡流量正常模型與網絡流量測量值進行作差得到相應的新序列，從而得到網絡流量的異常子序列；

步驟4、采用混沌理論中的李雅譜諾夫指數分析異常子序列，判斷當前時刻系統的狀態；

步驟5、若發生DDoS攻擊，則當前系統是非混沌的，李雅譜諾夫指數小于0；

步驟6、若未發生DDoS攻擊，則當前系統是混沌的，李雅譜諾夫指數大于等于0。

2.根據權利要求1所述的一種基于混沌理論分析的DDoS攻擊檢測方法，其特征在于：所述對收集的流量數據進行預處理的方法為：計算在一個時間范圍t_k內的平均序列式中：x_n表示n時刻的流量數據，那么整個流量序列表示為：x₁,x₂,...,x_k,...,x_n。

3.根據權利要求1所述的一種基于混沌理論分析的DDoS攻擊檢測方法，其特征在于：網絡正常流量模型的建立方法包括：

所述建立網絡正常流量模型，即建立網絡流量的預測序列，采用了AR自回歸模型，然后用AR中的線性預測算法PLC來得到預測序列：

AR自回歸模型如下：

式中s(n)為初始序列，p為預測階數，為預測序列；

在t時刻的預測值根據t時刻之前的數據得出，其中a_i為預測系數；通過尋找一組使預測誤差值的輸出功率最小的a_i，來得到預測序列；

由已知信號直接求出一組預測系數a₁,a₂,...,a_p，這組預測系數就被看做信號產生模型中系統函數H(z)的參數，它使得在一段信號波形中均方預測誤差最小；理論上用的是均方誤差E[e²(n)]最小的準則，E[·〕表示對誤差的平方求數學期望或平均值；要得到使E[e²(n)]最小的ak，可將E[e²(n)]對各個系數求偏導，并令結果為零即

將公式10帶入公式9可以得到：

-2E[e(n)s(n-k)]＝0,k＝1,2,...,p (11)

將e(n)展開得：

令s(n)的自相關序列為:

R(k)＝E[s(n)s(n-k)] (13)

由于自相關序列為偶對稱，因此

R(k)＝R(-k)＝E[s(n)s(n+k)] (14)

所以式12可表示為：

p個預測系數a₁,a₂,...,a_p通過上式求出；PLC得到的矩陣如下：

矩陣中R(k)＝s(n)*s(n-k),稱之為s(n)的自相關系數；E_P為預測誤差值的最小功率；式中E(p)與E(p-1)存在迭代關系；通過線性遞推的方法求解此矩陣，即可得到預測系數，從而生成網絡流量的預測序列。

4.根據權利要求1所述的一種基于混沌理論分析的DDoS攻擊檢測方法，其特征在于：得到網絡流量的異常子序列的方法為：

獲取預測誤差值：

式中用表示預測序列x_n；

預測誤差值即異常子序列也就是異常流量；一個網絡的實際流量表示成正常流量與異常流量的和，即

5.根據權利要求1所述的一種基于混沌理論分析的DDoS攻擊檢測方法，其特征在于：采用混沌理論中的李雅譜諾夫指數分析異常子序列判斷當前時刻系統的狀態的方法包括：

建立公式：λ_k≈{ln(Δx_k/Δx₀)}/t_k

根據λ_k的正負判斷異常子序列的混沌性；

若λ_k>0，則{Δx_k}是混沌的，說明是正常流量進入系統引起了流量變化，沒有DDoS攻擊流量，沒有發生DDoS攻擊；

若λ_k＝0，則{Δx_k}持一個平穩狀態，說明系統中沒有新的流量進入，也沒有發生DDoS攻擊；

若λ_k<0，則{Δx_k}不再是混沌的；則說明流量的變化是由于DDoS攻擊流量進入系統，發生了DDoS攻擊。