[发明专利]一种基于网络结构特征的异常检测方法

权利要求书

1.一种基于网络结构特征的异常检测方法，其特征在于，包括：

(1)网络结构特征参数提取，包括：

对于网络拓扑G_S＝(V_S,E_S)，其中V_S和E_S分别表示网络拓扑节点集合和链路集合；网络结构特征参数集合定义为S_S＝(s₁,s₂,…,s_d)，共包含d类特征参数；

其中,对于办公网网络拓扑G_S＝(V_S,E_S)，选择3类特征参数，包括网络节点数、网络边数以及网络平均度数，即，S_S＝(s₁,s₂,s₃)，d＝3，其中s₁,s₂,s₃分别表示网络节点数、网络边数以及网络平均度数；

(2)建立网络拓扑特征模型，包括：

设置时间周期T天以及窗口宽度W，则网络结构特征模型定义如下：

假设在t时刻之前，在周期内相同时刻的连续W次网络行为均为正常行为，则在t时刻正常网络结构特征S₀(t)＝(s_o(t，1)，s_o(t，2)，s_o(t，3))可表示为：

即t时刻正常网络结构特征为前W个周期内相同时刻正常网络结构特征平均值；

(3)进行网络结构特征匹配，包括：

将t时刻的待检测网络结构特征与分析所得t时刻正常网络结构特征进行匹配，若t时刻的网络结构特征与正常网络结构特征偏离度较大，则表示当前t时刻的网络存在异常；若偏离度不大，则判定t时刻的网络正常；

网络结构特征模型更新，并通过更新后的网络模型对待检测网络行为进行检测；

(4)网络结构特征模型更新，包括：

在检测结束后，若t时刻的网络存在异常，则仍以S₀(t)作为t+1时刻的网络结构特征模式，即S₀(t+1)＝S₀(t)，若t时刻的网络行为为正常行为，增加t时刻的网络结构特征数据，替代在S₀(t)中离t时刻时间最长的网络结构特征数据，即S₀(t-W×T)。

2.如权利要求1所述的基于网络结构特征的异常检测方法，其特征在于，

1)网络节点数为：

网络G_S＝(V_S,E_S)的节点数V＝|V_S|；

2)网络边数为：

网络中边的数目，即网络G_S＝(V_S,E_S)的边数E＝|E_S|；

3)网络平均度数，包括：

指连接到节点的边的数目，节点v_i的度数D(v_i)可表示为：

其中，若节点v_i与v_j之间存在通信链路，即(v_i,v_j)∈E_S,则δ_ij＝1，否则δ_ij＝0，网络平均度数为网络中所有节点的平均度，表示为：

3.如权利要求1所述的基于网络结构特征的异常检测方法，其特征在于，时间周期T＝7天，窗口宽度W＝4。

4.如权利要求1所述的基于网络结构特征的异常检测方法，其特征在于，进行网络结构特征匹配采用的相似度匹配算法，包括Jaccard算法以及夹角余弦算法。

5.如权利要求1所述的基于网络结构特征的异常检测方法，其特征在于，进行网络结构特征匹配中，t时刻的网络结构特征表示为：S_S(t)＝(s_s(t，1)，s_s(t，2)，s_s(t，3))，对S_S(t)与S₀(t)进行匹配，在匹配过程中，首先对S_S(t)与S₀(t)进行归一化处理，再进行相似度匹配；

定义则归一化处理后的S’_S(t)与S’₀(t)表示为：