[發明專利]基于流量統計特征的路由器威脅感知方法及系統

有效

• 申請號: 202110286007.4
• 申請日: 2021-03-17
• 公開（公告）號: CN113132352B
• 公開（公告）日: 2023-02-10
• 發明（設計）人: 馬海龍;伊鵬;于婧;李鑫;江逸茗;王月;張鵬;丁瑞浩;卜佑軍;張進
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學;網絡通信與安全紫金山實驗室
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F18/23213
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 周艷巧

1.一種基于流量統計特征的路由器威脅感知方法，其特征在于，包含如下內容：

采集路由器軟件系統中各路由執行體流量特征；對采集到的流量特征進行數據預處理，獲取用于聚類分析的特征數據；

基于Canopy算法對特征數據進行一級聚類，并基于輪廓系數選取最佳K值；根據最佳K值對多個路由執行體的流量特征進行二級聚類分析并輸出每個路由執行體流量特征的聚類中心點和聚類簇；

根據不同路由執行體流量特征的聚類中心點和聚類簇，通過比對每兩個路由執行體流量特征的聚類中心之間的距離來判定存在威脅的路由執行體為異常路由執行體；

依據兩兩路由執行體流量特征的聚類中心點，若當前比較的兩兩路由執行體流量特征的聚類中心點不一致，則依據當前路由執行體流量特征聚類中心點與其他路由執行體流量特征的聚類中心點的距離來判定存在威脅的路由執行體。

2.根據權利要求1所述的基于流量統計特征的路由器威脅感知方法，其特征在于，通過數據接口收集路由器軟件系統中多個路由執行體流量數據包，對數據包進行特征提取獲取各路由執行體流量特征。

3.根據權利要求1或2所述的基于流量統計特征的路由器威脅感知方法，其特征在于，對流量特征進行數據預處理，包含：剔除數據控制和無效值的過濾處理、通過比例縮放轉化為無量綱純數值的標準化處理、將標準化數據映射到0~1范圍的歸一化處理及利用主成分分析法抽取數據特征分量的降維處理。

4.根據權利要求3所述的基于流量統計特征的路由器威脅感知方法，其特征在于，利用主成分分析法進行降維處理中，首先通過線性變換將數據轉變為各維度線性無關表示，然后通過抽取數據中心特征分量來對數據進行降維處理。

5.根據權利要求1所述的基于流量統計特征的路由器威脅感知方法，其特征在于，基于Canopy算法進行一級聚類中，通過一級粗聚類將數據劃入不同子集，利用每個數據點到所選K個數據點之間距離最近的原則將數據點分派到類簇中，計算各類簇中數據點平均值并將其設置為下一次迭代聚類中心，通過迭代循環直至滿足設定的聚類精度；依據每次聚類的輪廓系數查找最優聚類數，通過K-means算法得到聚類簇和聚類中心。

6.根據權利要求1所述的基于流量統計特征的路由器威脅感知方法，其特征在于，針對存在威脅的路由執行體，通過計算其與任一路由執行體之間的相對應聚類簇中每個流量特征距離，若流量特征距離大于設定閾值，則認定該流量特征為異常特征。

7.根據權利要求6所述的基于流量統計特征的路由器威脅感知方法，其特征在于，針對存在威脅的路由執行體，通過異常特征的定位分析，上報異常信息并發出告警。

8.一種基于流量統計特征的路由器威脅感知系統，其特征在于，包含：流量數據采集子模塊、聚類分析子模塊、比對裁決子模塊和流量異常檢測數據子模塊，其中，

流量數據采集子模塊，用于采集路由器軟件系統中各路由執行體流量特征；對采集到的流量特征進行數據預處理，獲取用于聚類分析的特征數據；

聚類分析子模塊，用于基于Canopy算法對特征數據進行一級聚類，并基于輪廓系數選取最佳K值；根據最佳K值對多個路由執行體的流量特征進行二級聚類分析并輸出每個路由執行體流量特征的聚類中心點和聚類簇；

比對裁決子模塊，用于根據不同路由執行體流量特征的聚類中心點和聚類簇，通過比對每兩個路由執行體流量特征的聚類中心之間的距離來判定存在威脅的路由執行體為異常路由執行體；依據兩兩路由執行體流量特征的聚類中心點，若當前比較的兩兩路由執行體流量特征的聚類中心點不一致，則依據當前路由執行體流量特征聚類中心點與其他路由執行體流量特征的聚類中心點的距離來判定存在威脅的路由執行體；

流量異常檢測數據子模塊，用于針對存在威脅的路由執行體，通過計算其與任一路由執行體之間的相對應聚類簇中每個流量特征的距離，若計算的距離大于設定閾值，則通過將流量特征進行定位并上報告警。