[发明专利]基于熵运算的网络入侵检测方法和装置

权利要求书

1.基于熵运算的网络入侵检测方法，其特征在于：包括：捕获网络节点数据包，经预处理后得到目标数据；利用目标数据构建关系图；计算所有网络节点的交叉熵；对所有网络节点的交叉熵进行排序，找出活跃度高的关键网络节点；所述网络节点为受监控的服务器、终端或者路由设备中的任意一种或者任意几种的组合。

2.根据权利要求1所述的基于熵运算的网络入侵检测方法，其特征在于：所述捕获网络节点数据包采用普通网卡并结合Libpcap软件，所述Libpcap软件提供了一整套数据包捕获函数库。

3.根据权利要求1所述的基于熵运算的网络入侵检测方法，其特征在于：所述预处理包括数据清洗，数据格式转换，数据集成中的任意一种或任意几种操作的组合。

4.根据权利要求1所述的基于熵运算的网络入侵检测方法，其特征在于：所述利用目标数据构建关系图包括：通过提取数据特定片段，包括网络节点的源IP地址IP_S，目标IP地址IP_D以及网关信息，建立IP_S与IP_D之间的关系图，即将IP地址为IP_S的网络节点和IP地址为IP_D的网络节点之间存在的关系用图的方式描述。

5.根据权利要求1所述的基于熵运算的网络入侵检测方法，其特征在于：所述计算所有网络节点的交叉熵，包括：

203-1、计算每个网络节点i的熵；

E(i)=p(i)log1p(i)]]>

其中，p(i)表示网络节点i在整个关系图中的概率分布；

203-2、丢弃网络节点i，以及与网络节点i相连的所有的边，计算去除网络节点i后的关系图的图熵：

H(G,p)=Σj=1,j≠i|V|-1p(j)log1p(j)]]>

式中，图熵H为关系图G和概率分布p的函数，|V|表示图中节点个数，j表示网络节点序号；

203-3、计算网络节点i的交叉熵；

Effect(i)=E(i)logH(G,p)E(i)]]>

203-4、判断是否所有网络节点都已计算，若是，则得到所有网络节点的交叉熵，否则，重复步骤203-1至步骤203-4。