[发明专利]一种基于熵和动态线性关系的多级流量异常检测方法

权利要求书

1.一种基于熵和动态线性关系的多级流量异常检测方法，其特征在于：包括以下步骤：

S1.设定时间片大小T和时间窗口大小N；计算时间窗口和当前时间点t的流量集合熵值四元组，分别记为H_i和H_t；其中，所述的熵值四元组为IP报头中的四种属性的熵值，包括源地址、源端口、目的地址、目的端口的熵值；

S2.分别对流量集合熵值四元组进行一阶差分计算，差分处理序列定义为H_i′、H_t′；

S3.计算时间窗口内N个差分熵值四元组H_i′的平均值和标准差，将三倍标准差设置为一级阈值，将两倍标准差设置为二级阈值；

S4.判断当前时间点t的流量集合熵值四元组的一阶差分处理序列H_t′相对于时间窗口内的N个差分熵值四元组H_i′的平均值的差值是否超过一级阈值；若是，则进行步骤S8，否则进行步骤S5；

S5.判断当前时间点t的流量集合熵值四元组的一阶差分处理序列H_t′相对于时间窗口内的N个差分熵值四元组H_i′的平均值的差值是否超过二级阈值；若是，则进行步骤S6，否则进行步骤S7；

S6.计算四元组对应的线性关系，得到线性预测值；当观测值与预测值之差的平方和为最小值时，得到最佳的线性模型；设定判断偏离线性关系的阈值，根据时间点t时四元组熵值与根据最佳的线性模型的线性关系得出的预测值之间的差异是否超过所设定的阈值范围，对四元组熵值是否偏离线性关系进行判断，若是，则进行步骤S8，否则进行步骤S7；

S7.检测当前时间无异常，进行步骤S9；

S8.根据熵值四元组的熵值变化方向，对熵值四元组不同的异常类型进行识别；

S9.滑动时间窗口，进行下一个时间点检测。

2.根据权利要求1所述的基于熵和动态线性关系的多级流量异常检测方法，其特征在于：所述的步骤S1详细如下：设定时间片大小T和时间窗口大小N，在时间点t上，聚合流S_t上的熵值四元组定义为：

H_t＝(H_sa,t,H_sp,t,H_da,t,H_dp,t)；

其中，H_sa,t、H_sp,t、H_da,t、H_dp,t分别表示源地址、源端口、目的地址、目的端口的熵值。

3.根据权利要求2所述的基于熵和动态线性关系的多级流量异常检测方法，其特征在于：所述的源地址的熵值定义为：

其中，nsa为聚合流中流量的总数，P_isa,t为相应源地址出现的概率；

所述的源端口的熵值定义为：

其中，nsp为聚合流中流量的总数，P_isp,t为相应源端口出现的概率；

所述的目的地址的熵值定义为：

其中，nda为聚合流中流量的总数，P_ida,t为相应目的地址出现的概率；

所述的目的端口的熵值定义为：

其中，ndp为聚合流中流量的总数，P_idp,t为相应目的端口出现的概率。

4.根据权利要求3所述的基于熵和动态线性关系的多级流量异常检测方法，其特征在于：所述的步骤S2具体如下：

对时间点t的熵值序列进行一阶差分处理，处理后的序列表示为H_t′，其表达式如下：

H_t′＝H_t-H_t-1；

其中，H_t表示时间点t的流量集合熵值四元组，H_t-1表示时间点t-1的流量集合熵值四元组；同理，得到时间窗口的差分处理序列H_i′。