[发明专利]一种DDoS异常检测方法及云平台主机

权利要求书

1.一种DDoS异常检测方法，其特征在于，包含以下步骤：

收集遭受攻击后的虚拟机的CPU利用率和网络流量数据；

采用基于窗口的时间序列分析方法对收集到的遭受攻击后的虚拟机的CPU利用率和网络流量数据进行处理，生成测试数据集；

采用单类分类检测方法，利用预先训练好的OCC模型对测试数据集进行异常检测，得到分布式拒绝服务DDoS攻击的异常检测结果；

所述OCC模型的训练方法包含：

收集每台虚拟机在遭受攻击前和遭受攻击后的CPU利用率和网络流量数据；

采用基于窗口的时间序列分析方法对收集到的虚拟机的CPU利用率和网络流量数据进行处理，生成训练数据集；

构建OCC模型，以训练数据集作为OCC模型的输入数据，采用单类分类检测方法对OCC模型进行异常检测训练；

所述的采用基于窗口的时间序列分析方法生成训练数据集的方法包含：

将每台虚拟机的所有数据平均分配到大小相等的时间区间中，计算每个时间区间中数据的均值和标准差，每个时间区间的均值和标准差组成一个二维向量；

每个时间区间的二维向量设置有对比向量，将所有的二维向量和对比向量都设置为正类，所有时间区间的二维向量和对比向量组成训练数据集；

所述的采用基于窗口的时间序列分析方法生成测试数据集的方法包含：

将每台虚拟机遭受攻击后的数据平均分配到大小相等的时间区间中，计算每个时间区间中数据的均值和标准差，每个时间区间的均值和标准差组成二维向量，将所有小于预设对比向量的二维向量组成测试数据集。

2.如权利要求1所述的DDoS异常检测方法，其特征在于，生成每个时间区间的二维向量后，进一步包含：

对该二维向量进行标准化处理，再将标准化后的二维向量输入人工神经网络进行训练，得到非线性函数表达的二维向量。

3.如权利要求2所述的DDoS异常检测方法，其特征在于，进行标准化处理的标准化公式为：其中，X是原始数据，X_min是每组最小值；X_max是每组数据最大值。

4.如权利要求3所述的DDoS异常检测方法，其特征在于，所述时间区间为1分钟，所述对比向量＝[1.0，1.0]，表示设置的最大均值和最大标准差。

5.如权利要求4所述的DDoS异常检测方法，其特征在于，进一步包含：

在所述二维向量的两个数值同时大于1时，将所述二维向量设置为所述对比向量，并标注所述二维向量为异常数据；

在所述二维向量的两个数值没有同时大于1时，将所述二维向量作为样例向量，加入测试数据集。

6.如权利要求1所述的DDoS异常检测方法，其特征在于，进一步包含：

在所述OCC模型的训练状态为未完成时，若所述异常检测结果包含异常则继续对所述OCC模型进行训练；

若所述异常检测结果不包含异常，则将模型的稳定周期增加，并在所述稳定周期等于预设阈值时继续对所述OCC模型进行训练。

7.一种云平台主机，其特征在于，所述的云平台主机包含处理器，所述的处理器执行如权利要求1-6中任意一项所述的DDoS异常检测方法，实现对云平台中虚拟机的异常检测。