[发明专利]基于多阶马尔科夫链的流量异常检测方法

权利要求书

1.一种基于多阶马尔科夫链的流量异常检测方法，其特征在于，包括以下步骤：

S1、利用正常历史流量数据，构建基于马尔科夫模型的流量正常行为轮廓，并训练得到马尔科夫模型的参数；其中，网络流代表马尔科夫模型的马尔科夫链，网络流中数据包的状态代表马尔科夫链的状态；

S2、对于每一时刻需要检测的网络流，都计算动态的判定阈值，计算方法为：基于指数加权移动平均值和滑动窗口机制，利用t时刻的预测值和滑动窗口内网络流的出现概率的标准差，构建t时刻的判定阈值σ_t；其中，t时刻的预测值是指t时刻之前的网络流的出现概率的加权平均值；t时刻的判定阈值σ_t通过下式构建：

其中，V为滑动窗口内网络流的出现概率的标准差，β为标准差系数，表示t时刻的预测值，且有：

其中，α为平滑系数，0＜α＜1，P_t-1为t-1时刻网络流的出现概率，为t-1时刻的预测值；

S3、对t时刻的网络流，判断其数据包的状态，以将t时刻的网络流转化为状态序列I_t；

S4、利用训练好的马尔科夫模型计算状态序列I_t的出现概率Pr(I_t)，并将该出现概率Pr(I_t)与t时刻的判定阈值σ_t进行比较；若Pr(I_t)＞σ_t，则判定t时刻的网络流为正常流量；否则，判定t时刻的网络流为异常流量。

2.如权利要求1所述的基于多阶马尔科夫链的流量异常检测方法，其特征在于，步骤S1中利用聚类的方法确定数据包的状态，具体包括：

为数据包选取一初始特征空间，包括数据包的n-gram统计特征以及数据包的大小、到达时间间隔、时延、有效载荷比、载荷是否加密、包头协议类型和传输层协议；

使用主成分分析法将所述初始特征空间的维数降到一预设维度，作为聚类特征空间；

在所述聚类特征空间中，对所述正常历史流量数据中所有网络流的数据包，使用基于密度的无需给定聚类个数的聚类算法进行聚类，每个数据包的状态定义为其所属的聚类类别；

从而，网络流中的所有数据包的状态按时间先后顺序构成该网络流的状态序列I＝{i₁,i₂,...,i_T}，T为网络流中数据包数量。