[发明专利]一种自治系统内基于子空间和相对熵的DDoS攻击检测方法

说明书

本发明涉及一种自治系统内基于子空间和相对熵的DDoS攻击检测方法，本发明首先统计某一时间段的自治系统的流量大小并判断是否超出预测流量，其次通过主成分分析法对这一自治系统内的边缘路由器的熵值构建子空间，并以此来区分正常和异常的网络流量，最后计算出异常流量相对熵，从而判断此自治系统是否发生DDoS攻击。本发明对于检测某一自治系统区域内的DDoS攻击检测具有重大意义。

技术领域

本发明涉及网络安全中的DDoS攻击检测领域，尤其涉及一种自治系统内基于子空间和相对熵的DDoS攻击检测方法。

背景技术

随着人工智能和5G技术的相继到来，网络数据量出现几何式爆炸增长，随之而来的网络安全问题也愈发严峻，多样化的攻击方式使网络的安全性能遭受不小的挑战。在网络安全威胁中，分布式拒绝服务攻击(DDoS，distributed denial-of-service)作为最常见和最主要的攻击方式，已然成为互联网的公敌。DDoS攻击主要表现为流量攻击和资源耗尽攻击。流量攻击是专门对网络带宽的一种攻击，通过发送大量无效数据包挤爆带宽使正常数据包无法正常送达，导致主机拒绝服务。资源耗尽攻击是对服务器的一种攻击，通过占用服务器内存或让服务器一直处于等待响应的状态，最终实现服务器无法正常提供服务。发起DDoS攻击的成本较低，且破坏能力较大，攻击者可以在短时间内发起规模巨大的DDoS攻击，并且难以防御。而且许多DDoS流量会模拟正常流量的请求，从大量的网络流量中发现并识别出DDoS的流量，是一项必要而又繁琐的工作。

现有的DDoS攻击检测方法有很多，大致可以分为基于统计方法、基于传统机器学习算法、基于深度学习、基于知识方法以及以上两种方法的混合方法。这些方案针对某一链路或者某一网络设备具有较好的检测效果，但是针对某一区域或某一自治系统来说，还没有较好的整体防御DDoS攻击检测的方法。

发明内容

本发明为克服上述的不足之处，目的在于提供一种自治系统内基于子空间和相对熵的DDoS攻击检测方法，本发明首先统计某一时间段的自治系统的流量大小并判断是否超出预测流量，其次通过主成分分析法对这一自治系统内的边缘路由器的熵值构建子空间，并以此来区分正常和异常的网络流量，最后计算出异常流量相对熵，从而判断此自治系统是否发生DDoS攻击。本发明对于检测某一自治系统区域内的DDoS攻击检测具有重大意义。

本发明是通过以下技术方案达到上述目的：一种自治系统内基于子空间和相对熵的DDoS攻击检测方法，包括如下步骤：

(1)定时采集自治系统内的流量数据，并统计一段时间内该自治系统的流量大小，预测当前时间段内该自治系统的流量大小，将预测流量作为当前时间段内的阈值，并与实际流量相比，若超出阈值，则此自治系统标记为可疑自治系统；

(2)依据信息熵的概念，对可疑自治系统中的各边缘路由器选取源IP地址、目的IP地址两个特征，分别计算信息熵；

(3)将各边缘路由器源IP地址、目的IP地址的信息熵按时间序列组成一个矩阵，通过主成分分析法构建子空间，并以此来区分正常和异常的网络流量；

(4)将异常流量与之前时间段内的信息熵差值得出相对熵，通过设置相对应的检测阈值来判断是否属于DDoS攻击流量。

作为优选，所述步骤(1)具体如下：

(1.1)定时采集自治系统内的流量数据，并统计一段时间内该自治系统的流量大小，按下列公式计算前n个时间段内流量的均值：

(1.2)由于当前时间段内的流量大小与前几个时间段内的流量大小相关联，利用如下公式计算预测当前时间段内的流量：

其中，α取值为[0,1]，α越接近于0，预测流量与实际流量越接近；