[发明专利]基于主机出入度的网络异常行为检测方法

摘要

本发明公开了一种基于主机出入度的检测网络异常行为的方法，从全新的角度提出了一种主机属性判定,攻击检测方法,在技术难度较低,资源耗用较小的情况下能够实现一定量种类的网络行为检测，异常行为监测。首先定义度、出度和入度；其中，度是四元组连接的数量；出度是指主机向其他主机发出的四元组连接的数量；入度是指主机接收其他主机的四元组连接的数量；该方法根据主机的出入度比例是否超出已知范围，以实现网络异常行为的检测；不同业务主机的出入度比例范围不同。

主权项

一种基于主机出入度的检测网络异常行为的方法，其特征在于，定义度、出度和入度；其中，度是四元组连接的数量；出度是指主机向其他主机发出的四元组连接的数量；入度是指主机接收其他主机的四元组连接的数量；该方法根据主机的出入度比例是否超出已知范围，以实现网络异常行为的检测；不同业务主机的出入度比例范围不同；该方法具体包括如下步骤：步骤一、针对各种业务类型，获取在正常情况下单位时间内出入度比值范围；步骤二、进行网络行为检测时，对线上每个IP地址的主机的出、入连接进行检测，记录每一条连接是出还是入，以及建立连接的时间；步骤三、实时统计每个IP地址的主机单位时间段内的出度、入度，进而得到出入度比值，并与步骤一获得的各种业务类型的出入度比值范围进行比对，从而识别出各个IP地址的主机所提供的业务类型，并记录；步骤四、在后续针对每一个IP地址的主机单位时间出度、入度的跟踪比对中，当某一单位时间内，某一主机的出入度比值超出了已经判定和记录的该主机业务类型对应的出入度比值范围，但是该出入度比值符合步骤一获得的其他业务类型的出入度比值范围，则认为该主机业务类型发生了变化，进行记录更新；当某一主机出入度比值发生突变，且不符合步骤一获得的任何一种业务类型的出入度比值范围时，报警，提醒该主机发生了异常行为，可能受到了攻击。