[发明专利]基于主机出入度的网络异常行为检测方法

权利要求书

1.一种基于主机出入度的检测网络异常行为的方法，其特征在于，定义度、出度和入度；其中，度是四元组连接的数量；出度是指主机向其他主机发出的四元组连接的数量；入度是指主机接收其他主机的四元组连接的数量；

该方法根据主机的出入度比例是否超出已知范围，以实现网络异常行为的检测；不同业务主机的出入度比例范围不同；

该方法具体包括如下步骤：

步骤一、针对各种业务类型，获取在正常情况下单位时间内出入度比值范围；

步骤二、进行网络行为检测时，对线上每个IP地址的主机的出、入连接进行检测，记录每一条连接是出还是入，以及建立连接的时间；

步骤三、实时统计每个IP地址的主机单位时间段内的出度、入度，进而得到出入度比值，并与步骤一获得的各种业务类型的出入度比值范围进行比对，从而识别出各个IP地址的主机所提供的业务类型，并记录；

步骤四、在后续针对每一个IP地址的主机单位时间出度、入度的跟踪比对中，当某一单位时间内，某一主机的出入度比值超出了已经判定和记录的该主机业务类型对应的出入度比值范围，但是该出入度比值符合步骤一获得的其他业务类型的出入度比值范围，则认为该主机业务类型发生了变化，进行记录更新；

当某一主机出入度比值发生突变，且不符合步骤一获得的任何一种业务类型的出入度比值范围时，报警，提醒该主机发生了异常行为，可能受到了攻击。

2.如权利要求1所述的方法，其特征在于，所述步骤一为：收集各种业务类型的主机，并在网络中运行，跟踪主机的出度和入度，通过开源机器学习算法获得每种业务类型的主机在正常情况下，单位时间内出度与入度的比值范围。

3.如权利要求2所述的方法，其特征在于，步骤一中，每类业务类型的主机均收集多个，采用同一业务类型的多个主机的出度和入度的平均值，获得所述比值范围。

4.如权利要求1所述的方法，其特征在于，步骤二采用网络数据包检测分析系统，对线上每个IP地址的主机的出、入连接进行检测。