[发明专利]一种基于非广延熵的网络异常检测方法

权利要求书

1.一种基于非广延熵的网络异常检测方法，其特征在于：包括以下步骤：

a、存储9属性网络数据信息：将骨干网节点的Netflow数据转换为9个属性网络数据信息；

b、对其中的源IP地址、目的IP地址、源端口号和目的端口号，这4个属性以及数据包的字节数进行非广延熵的计算及归一化处理，得到非广延熵值；

c、搭建非广延熵值图谱；对骨干网节点的流量进行采样，纵坐标为经过归一化处理之后的非广延熵值，得到流量非广延熵值随时间变化的折线图；

d、非广延熵符号化处理：从第一个采样点开始，依次对前后两个采样点进行非广延熵值大小的对比，判断采样点非广延熵值是发生了增加还是减小，直到最后一个采样点为止，将采样点非广延熵值变化进行符号化的处理：符号1代表非广延熵值增加，符号0代表非广延熵值减少，得到非广延熵符号表；

e、非广延熵模式匹配：根据4个属性的非广延熵符号表的数据变化，对各种网络异常进行匹配；

f、输出异常检测结果：根据匹配结果得到疑似异常攻击。

2.根据权利要求1所述的基于非广延熵的网络异常检测方法，其特征在于：步骤b中的非广延熵的计算公式为:

Sq(X)=1q-1(1-Σi=1np(xi)q);]]>

p(xi)=aiΣj=1naj;]]>

其中，p(x_i)为测量数据中某种属性发生的概率，公式中q是非广延熵参数；

归一化处理公式为：

xi′=xi-xminxmax-xmin;]]>

通过归一化处理，将所有q值情况下的所有测量数据的非广延熵转换为0到1之间的值。