[发明专利]一种P2P botnet检测方法、装置和介质

权利要求书

1.一种基于多维特征与BP神经网络的P2P botnet检测方法，其特征在于，包括：

获取网络流量数据；其中，所述网络流量数据包括正常网络环境下正常网络流量数据以及P2P botnet网络环境下的异常网络流量数据；

计算所述网络流量数据的时域特征值、频域特征值和连通特征值；网络流量数据的时域特征值包括Hurst指数以及Holder指数；网络流量数据的频域特征值包括功率谱密度的相对熵；网络流量数据的连通特征值包括二元组的信息熵；二元组包括网络流量数据的源IP地址以及目的IP地址；

将所述时域特征值、所述频域特征值、所述连通特征值及其对应的P2P botnet爆发结果作为样本数据，对初始BP神经网络进行训练，得到满足准确率要求的BP神经网络；

利用所述BP神经网络对待检测网络流量数据进行处理，确定出所述待检测网络流量数据所对应的P2P botnet爆发结果。

2.根据权利要求1所述的方法，其特征在于，所述计算所述网络流量数据的时域特征值、频域特征值和连通特征值包括：

利用分形理论，计算所述网络流量数据的Hurst指数以及Holder指数；将所述Hurst指数和所述Holder指数作为时域特征值；

计算所述网络流量数据中单个时间窗口的功率谱密度；并依据所述功率谱密度，计算相邻两个时间窗口的功率谱密度的相对熵；将所述相对熵作为频域特征值；

将所述网络流量数据的源IP地址以及目的IP地址作为二元组，计算所述二元组的信息熵；将所述信息熵作为连通特征值。

3.根据权利要求1所述的方法，其特征在于，所述利用所述BP神经网络对待检测网络流量数据进行处理，确定出所述待检测网络流量数据所对应的P2P botnet爆发结果包括：

计算所述待检测网络流量数据的时域特征值、频域特征值和连通特征值；

将所述时域特征值、所述频域特征值以及所述连通特征值输入所述BP神经网络，以得到所述待检测网络流量数据所对应的P2P botnet爆发的输出结果；

依据预先设置的决策规则，确定所述输出结果所对应的P2P botnet爆发结果。

4.根据权利要求3所述的方法，其特征在于，所述BP神经网络包括两路输出；

相应的，所述依据预先设置的决策规则，确定所述输出结果所对应的P2P botnet爆发结果包括：

对输出结果进行归一化处理，并判断归一化后的输出结果R＝(r₁,r₂)是否满足r₁＞r₂并且r₁≥0.5；

当所述输出结果R＝(r₁,r₂)满足r₁＞r₂并且r₁≥0.5，则输出P2P botnet未爆发的结果；

当所述输出结果R＝(r₁,r₂)不满足r₁＞r₂并且r₁≥0.5，则判断所述输出结果是否满足r₂＞r₁并且r₂≥0.5；

若是，则输出P2P botnet爆发的结果；

若否，则输出无法判定P2P botnet爆发的提示信息。