[发明专利]一种用于实现BGP异常检测的方法、设备及系统

权利要求书

1.一种用于实现边界网关协议BGP异常检测的方法，其特征在于，所述方法包括：

训练设备获取第一BGP更新update消息，以及历史BGP update消息的属性信息，所述历史BGP update消息为接收所述第一BGP update消息的路由设备在接收所述第一BGPupdate消息之前接收的BGP update消息，所述第一BGP update消息和所述历史BGP update消息宣告的路由前缀信息相同；

所述训练设备根据所述第一BGP update消息，以及所述历史BGP update消息的属性信息，获取训练样本数据；

所述训练设备基于所述训练样本数据进行模型训练，获取BGP异常检测模型，所述BGP异常检测模型用于检测所述路由设备接收的BGP update消息是否异常。

2.根据权利要求1所述的方法，其特征在于，所述属性信息包括统计信息。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

所述训练设备获取第一配置参数，所述第一配置参数包括最大活跃周期数m和老化周期p，所述m为大于或等于1的整数；

所述训练设备获取所述历史BGP update消息的属性信息，包括：所述训练设备将所述路由设备在接收所述第一BGP update消息之前的(m-1)*p时长内接收的，与所述第一BGPupdate消息宣告的路由前缀信息相同的BGP update消息的统计信息，确定为所述历史BGPupdate消息的统计信息。

4.根据权利要求2所述的方法，其特征在于，所述训练样本数据包括第一特征对应的第一训练样本数据，所述训练设备根据所述第一BGP update消息，以及所述历史BGP update消息的属性信息，获取训练样本数据，包括：

所述训练设备根据所述第一BGP update消息，以及所述历史BGP update消息的统计信息，获取所述第一特征对应的第一训练样本数据。

5.根据权利要求4所述的方法，其特征在于，所述第一特征包括：自治系统AS路径中AS在之前同前缀宣告中出现的概率最小值、源AS在之前同前缀宣告中作为源AS出现的概率、或AS路径各对邻接AS在之前同前缀宣告中以邻接关系出现的概率最小值中的一项或多项。

6.根据权利要求2-5中任一项所述的方法，其特征在于，所述统计信息包括所述历史BGP update消息中各个自治系统AS出现的次数，或，所述历史BGP update消息中各对邻接AS出现的次数中至少一种。

7.根据权利要求1-5中任一项所述的方法，其特征在于，所述属性信息包括路径信息。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

所述训练设备获取第二配置参数，所述第二配置参数包括同前缀窗口长度n，所述n为大于或等于1的整数；

所述训练设备获取所述历史BGP update消息的属性信息，包括：所述训练设备获取所述路由设备在接收所述第一BGP update消息之前接收的，与所述第一BGP update消息宣告的路由前缀信息相同的n个历史BGP update消息的路径信息。

9.根据权利要求8所述的方法，其特征在于，所述训练样本数据包括第二特征对应的第二训练样本数据，所述训练设备根据所述第一BGP update消息，以及所述历史BGP update消息的属性信息，获取训练样本数据，包括：

所述训练设备根据所述第一BGP update消息，以及n个历史BGP update消息的路径信息，获取第二特征对应的第二训练样本数据。

10.根据权利要求9所述的方法，其特征在于，所述第二特征包括AS路径编辑距离、AS路径的余弦相似度、或所述第一BGP update消息的路径对所述同前缀窗口内其他宣告AS路径编辑距离平均值中的一项或多项。