[发明专利]一种网络流量异常检测和防御方法

摘要

本发明公开了一种网络流量异常检测和防御方法，包括下述步骤：S1，建立网络流量异常检测与防御架构，并收集流表项信息；其中，所述网络流量异常检测与防御架构包括Ryu控制器单元、基于BP神经网络的异常检测单元、基于OpenFlow协议的OpenvSwitch交换机和接入设备，所述Ryu控制器单元包括流表信息收集模块、流表特征提取模块和防御流表项生成模块，所述流表信息收集模块以周期T1向OpenvSwitch交换机请求所有流表项信息；本发明可便捷地提取出源端口、目的端口、源IP、目的IP、转发数据包数、转发字节数以及持续时间等网络流量信息，并充分利用SDN架构可动态更新流规则的特点，当检测到异常时，自动生成Action为Drop的流表项，阻断后续流量。

主权项

1.一种网络流量异常检测和防御方法，其特征在于，包括下述步骤：S1，建立网络流量异常检测与防御架构，并收集流表项信息；其中，所述网络流量异常检测与防御架构包括Ryu控制器单元、基于BP神经网络的异常检测单元、基于OpenFlow协议的OpenvSwitch交换机和接入设备，所述Ryu控制器单元包括流表信息收集模块、流表特征提取模块和防御流表项生成模块，所述流表信息收集模块以周期T1向OpenvSwitch交换机请求所有流表项信息；S2，根据流表特征提取方法提取流表特征，生成特征向量，构建网络流量异常检测矩阵；其中，所述流表特征提取方法的具体过程如下：S2.1，根据收集到的流表项信息生成每个端口的流表项集合flowSet，其公式如下所示：flowSet＝{(sipi,dipi,sporti,dporti,pcounti,bcounti,dcounti,protocoli)|i＝1,2,…,NflowSet}，其中NflowSet表示所接受到的流表项的总条目数，sipi表示第i条流表项中的源IP，dipi表示第i条流表项中的目的IP，sporti表示第i条流表项中的源端口，dporti表示第i条流表项中的目的端口，pcounti表示第i条流表项所接受的数据包数量，bcounti表示第i条流表项所接受的字节量，dcounti表示第i条流表项所持续的时间，protocoli表示第i条流表项传输层协议；S2.2，根据每个端口的流表项集合flowSet，传输层协议和流表的匹配方向，将flowSet分成六个集合，分别为tcpInFlowSet，tcpOutFlowSet，udpInFlowSet，udpOutFlowSet，icmpInFlowSet，icmpOutFlowSet；其中tcpInFlowSet表示用以匹配从该端口进入的TCP流量的流表集合；tcpOutFlowSet表示用以匹配从该端口出去的TCP流量的流表集合；udpInFlowSet表示用以匹配从该端口进入的UDP流量的流表集合；udpOutFlowSet表示用以匹配从该端口出去的UDP流量的流表集合；icmpInFlowSet表示用以匹配从该端口进入的ICMP流量的流表集合；icmpOutFlowSet表示用以匹配从该端口出去的ICMP流量的流表集合；S2.3，对六个集合分别提取特征向量，其中每个特征向量包含源IP信息熵(sipH)、目的IP信息熵(dipH)、源端口信息熵(sportH)、目的端口信息熵(dportH)、平均流包数(pcountA)、平均字节数(bcountA)、平均持续时间(dcountA)和流表生成速率(FGS)八维特征；生成该六个集合的特征向量，即tcpInFlowFeature、tcpOutFlowFeature、udpInFlowFeature、udpOutFlowFeature、icmpInFlowFeature和icmpOutFlowFeature，根据该六个特征向量构建端口网络流量异常检测矩阵；S3，使用S1中的基于BP神经网络的异常检测单元进行异常检测；S4，当检测到异常时，Ryu控制器单元的防御流表项生成模块生成防御流表项，流表项Action部分为Drop，丢弃后续的流量，从而达到防御的目的。