[发明专利]一种网络流量异常检测和防御方法

权利要求书

1.一种网络流量异常检测和防御方法，其特征在于，包括下述步骤：

S1，建立网络流量异常检测与防御架构，并收集流表项信息；

其中，所述网络流量异常检测与防御架构包括Ryu控制器单元、基于BP神经网络的异常检测单元、基于OpenFlow协议的OpenvSwitch交换机和接入设备，所述Ryu控制器单元包括流表信息收集模块、流表特征提取模块和防御流表项生成模块，所述流表信息收集模块以周期T1向OpenvSwitch交换机请求所有流表项信息；

S2，根据流表特征提取方法提取流表特征，生成特征向量，构建网络流量异常检测矩阵；

其中，所述流表特征提取方法的具体过程如下：

S2.1，根据收集到的流表项信息生成每个端口的流表项集合flowSet，其公式如下所示：

flowSet＝{(sip_i,dip_i,sport_i,dport_i,pcount_i,bcount_i,dcount_i,proto col_i)|i＝1,2,…,N_flowSet}，

其中N_flowSet表示所接受到的流表项的总条目数，sip_i表示第i条流表项中的源IP，dip_i表示第i条流表项中的目的IP，sport_i表示第i条流表项中的源端口，dport_i表示第i条流表项中的目的端口，pcount_i表示第i条流表项所接受的数据包数量，bcount_i表示第i条流表项所接受的字节量，dcount_i表示第i条流表项所持续的时间，protocol_i表示第i条流表项传输层协议；

S2.2，根据每个端口的流表项集合flowSet，传输层协议和流表的匹配方向，将flowSet分成六个集合，分别为tcpInFlowSet，tcpOutFlowSet，udpInFlowSet，udpOutFlowSet，icmpInFlowSet，icmpOutFlowSet；

其中tcpInFlowSet表示用以匹配从该端口进入的TCP流量的流表集合；tcpOutFlowSet表示用以匹配从该端口出去的TCP流量的流表集合；udpInFlowSet表示用以匹配从该端口进入的UDP流量的流表集合；udpOutFlowSet表示用以匹配从该端口出去的UDP流量的流表集合；icmpInFlowSet表示用以匹配从该端口进入的ICMP流量的流表集合；icmpOutFlowSet表示用以匹配从该端口出去的ICMP流量的流表集合；

S2.3，对六个集合分别提取特征向量，其中每个特征向量包含源IP信息熵(sipH)、目的IP信息熵(dipH)、源端口信息熵(sportH)、目的端口信息熵(dportH)、平均流包数(pcountA)、平均字节数(bcountA)、平均持续时间(dcountA)和流表生成速率(FGS)八维特征；生成该六个集合的特征向量，即tcpInFlowFeature、tcpOutFlowFeature、udpInFlowFeature、udpOutFlowFeature、icmpInFlowFeature和icmpOutFlowFeature，根据该六个集合的特征向量构建端口网络流量异常检测矩阵；

S3，使用S1中的基于BP神经网络的异常检测单元进行异常检测；具体包括以下步骤：

S3.1，生成足够多的样本，提取各个端口的检测特征向量，训练BP神经网络，直至满足所设定的误差要求；

S3.2，对新收集的流表信息提取出各个端口的检测特征向量，使用训练好的BP神经网络对其进行检测，并输出结果，正常为“1”，不正常为“0”；

S3.3，若检测结果为“0”，则启动防御流表项生成模块，生成对应端口的防御流表项，下发至交换机，丢弃后续流量，从而达到防御的效果；

S4，当检测到异常时，Ryu控制器单元的防御流表项生成模块生成防御流表项，流表项Action部分为Drop，丢弃后续的流量，从而达到防御的目的。