[發(fā)明專(zhuān)利]基于流量統(tǒng)計(jì)特征的路由器威脅感知方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110286007.4
• 申請(qǐng)日: 2021-03-17
• 公開(kāi)（公告）號(hào): CN113132352B
• 公開(kāi)（公告）日: 2023-02-10
• 發(fā)明（設(shè)計(jì)）人: 馬海龍;伊鵬;于婧;李鑫;江逸茗;王月;張鵬;丁瑞浩;卜佑軍;張進(jìn)
• 申請(qǐng)（專(zhuān)利權(quán)）人: 中國(guó)人民解放軍戰(zhàn)略支援部隊(duì)信息工程大學(xué);網(wǎng)絡(luò)通信與安全紫金山實(shí)驗(yàn)室
• 主分類(lèi)號(hào): H04L9/40
• 分類(lèi)號(hào): H04L9/40;G06F18/23213
• 代理公司: 鄭州大通專(zhuān)利商標(biāo)代理有限公司 41111
• 代理人: 周艷巧

1.一種基于流量統(tǒng)計(jì)特征的路由器威脅感知方法，其特征在于，包含如下內(nèi)容：

采集路由器軟件系統(tǒng)中各路由執(zhí)行體流量特征；對(duì)采集到的流量特征進(jìn)行數(shù)據(jù)預(yù)處理，獲取用于聚類(lèi)分析的特征數(shù)據(jù)；

基于Canopy算法對(duì)特征數(shù)據(jù)進(jìn)行一級(jí)聚類(lèi)，并基于輪廓系數(shù)選取最佳K值；根據(jù)最佳K值對(duì)多個(gè)路由執(zhí)行體的流量特征進(jìn)行二級(jí)聚類(lèi)分析并輸出每個(gè)路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)和聚類(lèi)簇；

根據(jù)不同路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)和聚類(lèi)簇，通過(guò)比對(duì)每?jī)蓚€(gè)路由執(zhí)行體流量特征的聚類(lèi)中心之間的距離來(lái)判定存在威脅的路由執(zhí)行體為異常路由執(zhí)行體；

依據(jù)兩兩路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)，若當(dāng)前比較的兩兩路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)不一致，則依據(jù)當(dāng)前路由執(zhí)行體流量特征聚類(lèi)中心點(diǎn)與其他路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)的距離來(lái)判定存在威脅的路由執(zhí)行體。

2.根據(jù)權(quán)利要求1所述的基于流量統(tǒng)計(jì)特征的路由器威脅感知方法，其特征在于，通過(guò)數(shù)據(jù)接口收集路由器軟件系統(tǒng)中多個(gè)路由執(zhí)行體流量數(shù)據(jù)包，對(duì)數(shù)據(jù)包進(jìn)行特征提取獲取各路由執(zhí)行體流量特征。

3.根據(jù)權(quán)利要求1或2所述的基于流量統(tǒng)計(jì)特征的路由器威脅感知方法，其特征在于，對(duì)流量特征進(jìn)行數(shù)據(jù)預(yù)處理，包含：剔除數(shù)據(jù)控制和無(wú)效值的過(guò)濾處理、通過(guò)比例縮放轉(zhuǎn)化為無(wú)量綱純數(shù)值的標(biāo)準(zhǔn)化處理、將標(biāo)準(zhǔn)化數(shù)據(jù)映射到0~1范圍的歸一化處理及利用主成分分析法抽取數(shù)據(jù)特征分量的降維處理。

4.根據(jù)權(quán)利要求3所述的基于流量統(tǒng)計(jì)特征的路由器威脅感知方法，其特征在于，利用主成分分析法進(jìn)行降維處理中，首先通過(guò)線(xiàn)性變換將數(shù)據(jù)轉(zhuǎn)變?yōu)楦骶S度線(xiàn)性無(wú)關(guān)表示，然后通過(guò)抽取數(shù)據(jù)中心特征分量來(lái)對(duì)數(shù)據(jù)進(jìn)行降維處理。

5.根據(jù)權(quán)利要求1所述的基于流量統(tǒng)計(jì)特征的路由器威脅感知方法，其特征在于，基于Canopy算法進(jìn)行一級(jí)聚類(lèi)中，通過(guò)一級(jí)粗聚類(lèi)將數(shù)據(jù)劃入不同子集，利用每個(gè)數(shù)據(jù)點(diǎn)到所選K個(gè)數(shù)據(jù)點(diǎn)之間距離最近的原則將數(shù)據(jù)點(diǎn)分派到類(lèi)簇中，計(jì)算各類(lèi)簇中數(shù)據(jù)點(diǎn)平均值并將其設(shè)置為下一次迭代聚類(lèi)中心，通過(guò)迭代循環(huán)直至滿(mǎn)足設(shè)定的聚類(lèi)精度；依據(jù)每次聚類(lèi)的輪廓系數(shù)查找最優(yōu)聚類(lèi)數(shù)，通過(guò)K-means算法得到聚類(lèi)簇和聚類(lèi)中心。

6.根據(jù)權(quán)利要求1所述的基于流量統(tǒng)計(jì)特征的路由器威脅感知方法，其特征在于，針對(duì)存在威脅的路由執(zhí)行體，通過(guò)計(jì)算其與任一路由執(zhí)行體之間的相對(duì)應(yīng)聚類(lèi)簇中每個(gè)流量特征距離，若流量特征距離大于設(shè)定閾值，則認(rèn)定該流量特征為異常特征。

7.根據(jù)權(quán)利要求6所述的基于流量統(tǒng)計(jì)特征的路由器威脅感知方法，其特征在于，針對(duì)存在威脅的路由執(zhí)行體，通過(guò)異常特征的定位分析，上報(bào)異常信息并發(fā)出告警。

8.一種基于流量統(tǒng)計(jì)特征的路由器威脅感知系統(tǒng)，其特征在于，包含：流量數(shù)據(jù)采集子模塊、聚類(lèi)分析子模塊、比對(duì)裁決子模塊和流量異常檢測(cè)數(shù)據(jù)子模塊，其中，

流量數(shù)據(jù)采集子模塊，用于采集路由器軟件系統(tǒng)中各路由執(zhí)行體流量特征；對(duì)采集到的流量特征進(jìn)行數(shù)據(jù)預(yù)處理，獲取用于聚類(lèi)分析的特征數(shù)據(jù)；

聚類(lèi)分析子模塊，用于基于Canopy算法對(duì)特征數(shù)據(jù)進(jìn)行一級(jí)聚類(lèi)，并基于輪廓系數(shù)選取最佳K值；根據(jù)最佳K值對(duì)多個(gè)路由執(zhí)行體的流量特征進(jìn)行二級(jí)聚類(lèi)分析并輸出每個(gè)路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)和聚類(lèi)簇；

比對(duì)裁決子模塊，用于根據(jù)不同路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)和聚類(lèi)簇，通過(guò)比對(duì)每?jī)蓚€(gè)路由執(zhí)行體流量特征的聚類(lèi)中心之間的距離來(lái)判定存在威脅的路由執(zhí)行體為異常路由執(zhí)行體；依據(jù)兩兩路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)，若當(dāng)前比較的兩兩路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)不一致，則依據(jù)當(dāng)前路由執(zhí)行體流量特征聚類(lèi)中心點(diǎn)與其他路由執(zhí)行體流量特征的聚類(lèi)中心點(diǎn)的距離來(lái)判定存在威脅的路由執(zhí)行體；

流量異常檢測(cè)數(shù)據(jù)子模塊，用于針對(duì)存在威脅的路由執(zhí)行體，通過(guò)計(jì)算其與任一路由執(zhí)行體之間的相對(duì)應(yīng)聚類(lèi)簇中每個(gè)流量特征的距離，若計(jì)算的距離大于設(shè)定閾值，則通過(guò)將流量特征進(jìn)行定位并上報(bào)告警。