[发明专利]基于流量统计特征的路由器威胁感知方法及系统

权利要求书

1.一种基于流量统计特征的路由器威胁感知方法，其特征在于，包含如下内容：

采集路由器软件系统中各路由执行体流量特征；对采集到的流量特征进行数据预处理，获取用于聚类分析的特征数据；

基于Canopy算法对特征数据进行一级聚类，并基于轮廓系数选取最佳K值；根据最佳K值对多个路由执行体的流量特征进行二级聚类分析并输出每个路由执行体流量特征的聚类中心点和聚类簇；

根据不同路由执行体流量特征的聚类中心点和聚类簇，通过比对每两个路由执行体流量特征的聚类中心之间的距离来判定存在威胁的路由执行体为异常路由执行体；

依据两两路由执行体流量特征的聚类中心点，若当前比较的两两路由执行体流量特征的聚类中心点不一致，则依据当前路由执行体流量特征聚类中心点与其他路由执行体流量特征的聚类中心点的距离来判定存在威胁的路由执行体。

2.根据权利要求1所述的基于流量统计特征的路由器威胁感知方法，其特征在于，通过数据接口收集路由器软件系统中多个路由执行体流量数据包，对数据包进行特征提取获取各路由执行体流量特征。

3.根据权利要求1或2所述的基于流量统计特征的路由器威胁感知方法，其特征在于，对流量特征进行数据预处理，包含：剔除数据控制和无效值的过滤处理、通过比例缩放转化为无量纲纯数值的标准化处理、将标准化数据映射到0~1范围的归一化处理及利用主成分分析法抽取数据特征分量的降维处理。

4.根据权利要求3所述的基于流量统计特征的路由器威胁感知方法，其特征在于，利用主成分分析法进行降维处理中，首先通过线性变换将数据转变为各维度线性无关表示，然后通过抽取数据中心特征分量来对数据进行降维处理。

5.根据权利要求1所述的基于流量统计特征的路由器威胁感知方法，其特征在于，基于Canopy算法进行一级聚类中，通过一级粗聚类将数据划入不同子集，利用每个数据点到所选K个数据点之间距离最近的原则将数据点分派到类簇中，计算各类簇中数据点平均值并将其设置为下一次迭代聚类中心，通过迭代循环直至满足设定的聚类精度；依据每次聚类的轮廓系数查找最优聚类数，通过K-means算法得到聚类簇和聚类中心。

6.根据权利要求1所述的基于流量统计特征的路由器威胁感知方法，其特征在于，针对存在威胁的路由执行体，通过计算其与任一路由执行体之间的相对应聚类簇中每个流量特征距离，若流量特征距离大于设定阈值，则认定该流量特征为异常特征。

7.根据权利要求6所述的基于流量统计特征的路由器威胁感知方法，其特征在于，针对存在威胁的路由执行体，通过异常特征的定位分析，上报异常信息并发出告警。

8.一种基于流量统计特征的路由器威胁感知系统，其特征在于，包含：流量数据采集子模块、聚类分析子模块、比对裁决子模块和流量异常检测数据子模块，其中，

流量数据采集子模块，用于采集路由器软件系统中各路由执行体流量特征；对采集到的流量特征进行数据预处理，获取用于聚类分析的特征数据；

聚类分析子模块，用于基于Canopy算法对特征数据进行一级聚类，并基于轮廓系数选取最佳K值；根据最佳K值对多个路由执行体的流量特征进行二级聚类分析并输出每个路由执行体流量特征的聚类中心点和聚类簇；

比对裁决子模块，用于根据不同路由执行体流量特征的聚类中心点和聚类簇，通过比对每两个路由执行体流量特征的聚类中心之间的距离来判定存在威胁的路由执行体为异常路由执行体；依据两两路由执行体流量特征的聚类中心点，若当前比较的两两路由执行体流量特征的聚类中心点不一致，则依据当前路由执行体流量特征聚类中心点与其他路由执行体流量特征的聚类中心点的距离来判定存在威胁的路由执行体；

流量异常检测数据子模块，用于针对存在威胁的路由执行体，通过计算其与任一路由执行体之间的相对应聚类簇中每个流量特征的距离，若计算的距离大于设定阈值，则通过将流量特征进行定位并上报告警。