[发明专利]一种基于流量信息检测蠕虫活动的方法

权利要求书

1.一种基于流量信息检测蠕虫活动的方法，其步骤如下：

1)采集正常流量日志和有蠕虫活动的流量日志；

2)从流量日志中提取检测蠕虫的特征，至少包含连接的目的IP地址总数目，半开连接数目，总流量，总数据包个数，得到有标定类别的流量日志；

3)利用机器学习算法对上述有标定类别的流量日志进行学习，得到蠕虫检测分类器；

4)将蠕虫检测分类器部署到目的网络，接收网络的流量信息；

5)对目的网络的流量信息提取特征向量，利用蠕虫检测分类器检测目的网络的蠕虫活动。

2.如权利要求1所述的一种方法，其特征在于步骤1)中所述流量日志从同一主机采集。

3.如权利要求1所述的一种方法，其特征在于步骤1)中所述流量日志从同一局域网的不同主机采集。

4.如权利要求1所述的一种方法，其特征在于步骤1)中所述流量日志从不同局域网的主机采集。

5.如权利要求1所述的一种方法，其特征在于步骤2)中的所述的检测蠕虫的特征还包含以下一种或几种：发起连接速率、被发起连接速率、端口号、目的端口号的数值差、连接的目的IP之间的数值差、发送的流量、接收的流量、发送流量和接收流量比率、发送的数据包个数、接收的数据包个数、发送包的平均大小、接收包的平均大小、发送和接收数据包的平均大小。

6.如权利要求1所述的一种方法，其特征在于步骤3)中所述的机器学习算法是决策树。

7.如权利要求1所述的一种方法，其特征在于步骤3)中所述的机器学习算法是神经网络。

8.如权利要求1所述的一种方法，其特征在于步骤4)中的所述的网络是冲突域。

9.如权利要求1所述的一种方法，其特征在于步骤5)中所述的提取特征向量，是以一定时间长度作为一个统计窗口，提取统计窗口内流量信息的特征。