[发明专利]一种基于主机活跃性和通信模式分析实时异常流量检测方法

摘要

本发明涉及一种基于主机活跃性和通信模式分析实时异常流量检测方法，本发明能够在高速网络环境下实时确定异常流量事件发生的时间，识别出异常流量事件的类型，并能对该异常流量事件进行物理定位。本发明包括：提供各种网络服务的广域网以及与广域网连接的区域网和局域网和安装在集中检测设备上的抽样单元、提取计算单元、比较单元、知识库单元。本发明基于先验知识建立各种类型异常流量事件的通信模式，而在异常检测时，通过提取网络中的活跃主机通信模式，并与各异常流量事件通信模式相比较，就可能识别出发生在活跃主机上的异常流量事件，支持的异常流量检测事件包括α流、各种Flood事件、Flash－Crowd、端口扫描、网络扫描、设备故障和蠕虫扫描事件。

主权项

1.一种基于主机活跃性和通信模式分析实时异常流量检测方法，包括：提供各种网络服务的广域网以及与广域网连接的区域网和局域网和安装在集中检测设备上的抽样单元、提取计算单元、比较单元、知识库单元，其特征在于所述的步骤：①创建报文抽样循环缓冲区；②抽样单元的时间窗开启，统计开始；③抽样单元按照报文分类对报文进行活跃IP统计和自适应抽样；④抽样单元的时间窗关闭，统计结束；⑤提取计算单元基于哈希表结构提取活跃IP地址集合并计算特征分布熵向量；⑥提取计算单元基于报文抽样循环区提取活跃IP并计算报文通讯模式；⑦比较单元从知识库单元提取异常流量通讯模式样本与上一步骤获得的通讯模式进行比较，如相同则报警，如不同则回到步骤②。