[发明专利]基于多阶马尔科夫链的流量异常检测方法

摘要

本发明公开了一种基于多阶马尔科夫链的流量异常检测方法，包括：利用正常历史流量数据构建基于马尔科夫模型的流量正常行为轮廓，并训练得到马尔科夫模型的参数；基于EWMA和滑动窗口机制，利用t时刻的预测值和滑动窗口内网络流的出现概率的标准差，构建t时刻的判定阈值；对t时刻的网络流，判断其数据包的状态，以将t时刻的网络流转化为状态序列It；利用训练好的马尔科夫模型计算状态序列It的出现概率Pr(It)，并将该出现概率Pr(It)与t时刻的判定阈值σt进行比较；若Pr(It)＞σt，则判定t时刻的网络流为正常流量；否则，判定t时刻的网络流为异常流量。

主权项

1.一种基于多阶马尔科夫链的流量异常检测方法，其特征在于，包括以下步骤：/nS1、利用正常历史流量数据，构建基于马尔科夫模型的流量正常行为轮廓，并训练得到马尔科夫模型的参数；其中，网络流代表马尔科夫模型的马尔科夫链，网络流中数据包的状态代表马尔科夫链的状态；/nS2、基于指数加权移动平均值和滑动窗口机制，利用t时刻的预测值和滑动窗口内网络流的出现概率的标准差，构建t时刻的判定阈值σ_t；其中，t时刻的预测值是指t时刻之前的网络流的出现概率的加权平均值；/nS3、对t时刻的网络流，判断其数据包的状态，以将t时刻的网络流转化为状态序列I_t；/nS4、利用训练好的马尔科夫模型计算状态序列I_t的出现概率Pr(I_t)，并将该出现概率Pr(I_t)与t时刻的判定阈值σ_t进行比较；若Pr(I_t)＞σ_t，则判定t时刻的网络流为正常流量；否则，判定t时刻的网络流为异常流量。/n