[发明专利]一种自治系统内基于子空间和相对熵的DDoS攻击检测方法

权利要求书

1.一种自治系统内基于子空间和相对熵的DDoS攻击检测方法，其特征在于，包括如下步骤：

(1)定时采集自治系统内的流量数据，并统计一段时间内该自治系统的流量大小，预测当前时间段内该自治系统的流量大小，将预测流量作为当前时间段内的阈值，并与实际流量相比，若超出阈值，则此自治系统标记为可疑自治系统；

(2)依据信息熵的概念，对可疑自治系统中的各边缘路由器选取源IP地址、目的IP地址两个特征，分别计算信息熵；具体为：两个特征的信息熵计算过程相似，若需计算目的IP地址特征的信息熵：统计一段时间t内目的IP地址数据包的总数，记为S，N表示不同IP地址数量，n_i则表示同一IP地址出现的次数；根据信息熵的计算公式，计算某一目的IP地址的熵值E：

其中

(3)将各边缘路由器源IP地址、目的IP地址的信息熵按时间序列组成一个矩阵，通过主成分分析法构建子空间，并以此来区分正常和异常的网络流量；

(4)将异常流量与之前时间段内的信息熵差值得出相对熵，通过设置相对应的检测阈值来判断是否属于DDoS攻击流量。

2.根据权利要求1所述的一种自治系统内基于子空间和相对熵的DDoS攻击检测方法，其特征在于：所述步骤(1)具体如下：

(1.1)定时采集自治系统内的流量数据，并统计一段时间内该自治系统的流量大小，按下列公式计算前n个时间段内流量的均值T_avg：

(1.2)由于当前时间段内的流量大小与前几个时间段内的流量大小相关联，利用如下公式计算预测当前时间段内的流量：

其中，α取值为[0,1]，α越接近于0，预测流量与实际流量越接近；

(1.3)当发生洪泛式DDoS攻击时，自治系统中的流量会迅速增大，以此来初步判断是否发生了DDoS攻击；若出现T_t值大于所预测的ET_t阈值，则将这一段时间内的流量标记为疑似DDoS攻击流量。

3.根据权利要求1所述的一种自治系统内基于子空间和相对熵的DDoS攻击检测方法，其特征在于：所述步骤(3)具体如下：

(3.1)采用E_(scrIP)、E_(dstIP)分别表示源IP地址和目的IP地址矩阵，该矩阵是一个t×p的数据矩阵，其中列表示同一流在不同时间段t时的信息熵，行表示同一时间段内不同流的信息熵；通过对E_(scrIP)、E_(dstIP)两个数据矩阵并排排列组成一个新的合并矩阵H，其大小为t×2p，如下所示：

其中前p列表示源IP地址的熵子矩阵，后p列表示目的IP地址的熵子矩阵，E_(p，t)代表边缘路由器p在时间段t内源IP地址所对应的信息熵；

(3.2)由于矩阵H中的列向量具有相关性，采用主成分分析法对合并矩阵进行处理；

(3.3)对多维度的变量进行处理，计算各维度两两之间的协方差，协方差的绝对值大小与两两变量之间的相互影响成正相关趋势；计算后的协方差组成了矩阵C，如下所示：

根据矩阵特征值和特征向量的概念，协方差矩阵C对应的值为：

其中，2p阶矩阵特征值有2p个，将这些特征值按照从大到小的顺序排列；第一主成分是单个轴上最大程度捕获数据的方差，下一主成分则是捕获各自其余正交方向中的最大方差，以此类推；选择最大的前k个特征值，其相对应的k个特征向量代表着是k个主轴的方向；

(3.4)确认主轴后，将数据集映射到新的轴上；数据到主轴i的映射由给出，此向量可以通过除以来单位化；因此对于每个主轴i：

上面的等式表明，当用加权时，边缘路由器所有的熵值都转换为一维的数据；因此，矢量捕获整个自治系统边缘路由器熵值沿着主轴i的时间变化；根据最大方差理论，方差越大，所包含的信息量就越大；由于各主轴中总方差大小是有序的，捕获自治系统边缘路由器熵的方差最大，捕获的方差其次，以此类推；由于主轴的存在，子空间方法可以将其分成两组，分别对应流量的正常和异常变化；其中使用一种基于阈值的分离方法，具体为：首先按顺序检查每个主轴上的投影，一旦发现投影的值超过阈值，该主轴标记为异常部分，并将后续的主轴都分配给异常子空间；其次，将所有先前的主轴分配给正常子空间；将自治系统内所有的边缘路由器信息熵值的空间分成子空间S_nor和S_ano之后，将各边缘路由器信息熵值分解成正常分量和异常分量。