[发明专利]一种面向软件定义网络的轻量级网络流量异常检测方法

摘要

本发明公开了一种面向软件定义网络的轻量级网络流量异常检测方法，通过分析控制器接收到的packet‑in消息以检测软件定义网络中出现的网络流量异常现象，其包括以下步骤：首先解析packet‑in消息，计算packet‑in消息到达速率、各交换机发送的packet‑in消息比例、packet‑in消息封装的报文协议类型比例、packet‑in消息封装的不同协议的报文到达速率；然后使用基于聚类的离群点技术检测上述packet‑in消息特征以判断网络流量是否出现异常。本发明方法为面向软件定义网络的轻量级网络流量异常检测方法，能够快速地检测出软件定义网络中的流量异常。

主权项

一种面向软件定义网络的轻量级网络流量异常检测方法，其特征在于，包括以下步骤：步骤1：网络初始化完成后，在控制器上建立用于统计控制器收到的packet‑in消息的计数器、统计packet‑in消息中封装的不同协议报文数目的字典、统计packet‑in消息源交换机的字典，同时初始化计数器和两个字典的参数值为0，并记录当前时刻t0；步骤2：所述控制器解析收到的packet‑in消息，提取该packet‑in消息封装的报文类型及该packet‑in消息的来源交换机；步骤3：更新所述统计packet‑in消息中封装的不同协议报文数目的字典及统计packet‑in消息源交换机的字典；步骤4：所述控制器收到底层交换机发送的packet‑in消息时，所述packet‑in消息计数器数值加1；步骤5：所述packet‑in消息计数器值加1后，该消息计数器值将模以指定阈值，若上述模操作的余数不为0，则不做处理，检测停止，若模操作的余数为0，则记录当前时刻t1；步骤6：根据packet‑in消息计数器值、统计packet‑in消息中封装的不同协议报文数目的字典、统计packet‑in消息源交换机的字典以及时刻记录值t0、t1计算packet‑in消息特征；步骤7：使用基于聚类的离群点检测技术分析所述packet‑in消息特征，判断packet‑in消息是否出现了异常，进而得出网络流量是否出现了异常。