[发明专利]一种异常流的检测方法及系统

权利要求书

1.一种异常流的检测方法，其特征在于，包括步骤：

步骤A.捕获网络中的IP分组，采集其中满足预设条件的SYN分组，并 提取所述SYN分组的地址信息作为数据项，组成数据项集合；

步骤B.挖掘所述数据项集合中预设时间内频繁出现的数据项作为频繁 项，记录所述频繁项所对应的地址信息，并根据该频繁项定位行为异常的流；

所述步骤B，包括步骤：

步骤B1.将所述数据项集合中的数据项每个分作一期；并对候选 集合D初始化：D为空，当期数据读取次数count为0；其中，ε为频繁项的频 度参数，0＜ε＜1；

步骤B2.对于每一个新到的数据项e，若数据项e在候选集合D中，则e对 应的计数器f加1，否则直接将<e，1>加入候选集D，并且当期数据读取次数count 加1；

步骤B3.若当期数据读取次数count数达到w，当期数据处理结束，重新 计算候选集合D中各数据项的频度，确定频繁项，得到异常流；

步骤B4.返回步骤B2，读取新一期数据。

2.根据权利要求1所述的异常流的检测方法，其特征在于，还包括：步骤 C.对所述频繁项进行熵值计算，为网络异常情况的评估提供依据。

3.根据权利要求1所述的异常流的检测方法，其特征在于，所述步骤A， 包括步骤：

步骤A1.捕获网络中的IP分组，检查IP分组中的协议标志；若协议标 志为6，表明该分组是TCP分组，继续步骤A2；否则丢弃该IP分组；

步骤A2.检查采集的TCP分组的SYN标志位的置位，如果该标志位的置 位为1，则表明是SYN分组，继续步骤A3；否则丢弃该TCP分组；

步骤A3.检查采集的SYN分组的ACK标志位与RST标志位是否置位，若 置位均为0，则继续步骤A4，否则丢弃该SYN分组；

步骤A4.提取并保存现有的SYN分组中的地址信息，作为数据项，组成 数据项集合。

4.根据权利要求1所述的异常流的检测方法，其特征在于，所述步骤B3， 包括步骤：

步骤B31.利用公式fnew＝(1-α)f重新计算候选集合D中各数据项的频度， 并删除频度小于1的数据项，其中0＜α≤0.5；

步骤B32.当期数据读取次数count置0。

5.一种异常流的检测系统，其特征在于，包括：

数据项采集模块，用于获取SYN分组中的地址信息，作为数据项；

频繁项挖掘模块，用于挖掘数据项中频繁出现的地址信息，作为频繁项， 并利用该频繁项定位异常流；具体包括：

将所述数据项集合中的数据项每个分作一期；并对候选集合D初始 化：D为空，当期数据读取次数count为0；其中，ε为频繁项的频度参数， 0＜ε＜1；

对于每一个新到的数据项e，若数据项e在候选集合D中，则e对应的计数 器f加1，否则直接将<e，1>加入候选集D，并且当期数据读取次数count加1；

若当期数据读取次数count数达到w，当期数据处理结束，重新计算候选集 合D中各数据项的频度，确定频繁项，得到异常流；

返回读取新一期数据。

6.根据权利要求5所述的异常流的检测系统，其特征在于，还包括：

熵值计算装置，用于计算频繁项的熵值，为网络异常情况的评估提供依据。