[发明专利]一种面向软件定义网络的轻量级网络流量异常检测方法

权利要求书

1.一种面向软件定义网络的轻量级网络流量异常检测方法，其特征在于，包括以下步骤：

步骤1：网络初始化完成后，在控制器上建立用于统计控制器收到的packet-in消息的计数器、统计packet-in消息中封装的不同协议报文数目的字典、统计packet-in消息源交换机的字典，同时初始化计数器和两个字典的参数值为0，并记录当前时刻t0；

步骤2：所述控制器解析收到的packet-in消息，提取该packet-in消息封装的报文类型及该packet-in消息的来源交换机；

步骤3：更新所述统计packet-in消息中封装的不同协议报文数目的字典及统计packet-in消息源交换机的字典；

步骤4：所述控制器收到底层交换机发送的packet-in消息时，所述packet-in消息计数器数值加1；

步骤5：所述packet-in消息计数器值加1后，该消息计数器值mod指定阈值，若上述模操作的余数不为0，则不做处理，检测停止，若模操作的余数为0，则记录当前时刻t1；

步骤6：根据packet-in消息计数器值、统计packet-in消息中封装的不同协议报文数目的字典、统计packet-in消息源交换机的字典以及时刻记录值t0、t1计算packet-in消息特征；

步骤7：使用基于聚类的离群点检测技术分析所述packet-in消息特征，判断packet-in消息是否出现了异常，进而得出网络流量是否出现了异常。

2.如权利要求1所述的一种面向软件定义网络的轻量级网络流量异常检测方法，其特征在于，所述packet-in消息特征包括：packet-in消息到达速率、各交换机发送的packet-in消息比例、packet-in消息封装的报文协议类型比例、packet-in消息封装的不同协议的报文到达速率。

3.如权利要求1或2所述的一种面向软件定义网络的轻量级网络流量异常检测方法，其特征在于，当packet-in消息出现异常，即网络流量异常时，进行网络流量异常报警。