[发明专利]一种基于交叉熵联合马氏距离的网络异常流量检测方法

摘要

本发明公开了一种基于交叉熵结合马氏距离的网络异常流量检测方法，从交叉熵的角度来映射网络流量变化程度，并通过马氏距离计算将这种变化程度从多维度的属性空间转换到一维度上的单值空间中，实现网络异常流量检测。本发明定义网络会话七元组数据，通过采集{SIP,SPORT,DIP,DPORT,IN,OUT,VEL}数据，相对于传统网络五元组数据统计更加准确，实现可靠的网络流量异常检测。本发明通过将一组数据分为前后两部分，计算前半部分与后半部分的交叉熵，对网络会话多元组的分布变化描述更为准确，结合马氏距离后实现有效的网络流量异常检测。

主权项

一种基于交叉熵联合马氏距离的网络异常流量检测方法，其特征在于，包括如下步骤：步骤1，采集网络会话多元组数据；步骤2，从步骤1采集的每类数据中均任意选取N条数据，放在一个观测刻度内；重复选取M次，构建出M个观测刻度内的样本单元；步骤3，计算第i个观测刻度内的网络会话多元组数据中同类数据之间的交叉熵值，将观测刻度i内的各类数据的交叉熵值组成交叉熵向量Li；其中i＝1,2,3…M，得到M个观测刻度内所有的交叉熵向量L1,L2...Li...LM；步骤4，利用步骤3得到的M个观测刻度内的网络会话多元组交叉熵向量，组成判定矩阵ξtrain，ξtrain＝[L1L2 ... Li ...LM]T；步骤5，计算交叉熵向量Li到步骤4所得到的判定矩阵ξtrain的类中心C的马氏距离di，遍历M个观测刻度内所有的交叉熵向量，得到M个马氏距离d1,d2,…dM；步骤6，确定网络异常流量判定的阈值其中MEAN(d1,d2,…dM)表示对d1,d2,…dM求平均；步骤7，采集网络会话多元组数据作为待检测数据，从采集的每类待检测数据中均任意选取N条数据，放在观测刻度j内；利用所述步骤3的方式计算观测刻度j内的网络会话多元组数据的交叉熵向量Lj，利用所述步骤5的方式计算向量Lj到判定矩阵ξtrain的类中心C的马氏距离dj，比较dj与阈值的大小，当时流量异常，发出报警信息。