[发明专利]一种异常流的检测方法及系统

摘要

本发明公开了一种异常流的检测方法及系统。该方法包括：捕获网络中的IP分组，采集其中满足预设条件的SYN分组，并提取所述SYN分组的地址信息作为数据项，组成数据项集合；挖掘所述数据项集合中预设时间内频繁出现的数据项作为频繁项，记录所述频繁项所对应的地址信息，并根据该频繁项定位行为异常的流；还包括：对所述频繁项进行熵值计算，为网络异常情况的评估提供依据。其能够在只使用少量计算存储资源的前提下，快速识别网络中试图频繁建立连接的流，可以帮助实现异常流的按需监控，减轻网络监控负担。

主权项

1.一种异常流的检测方法，其特征在于，包括步骤：步骤A.捕获网络中的IP分组，采集其中满足预设条件的SYN分组，并提取所述SYN分组的地址信息作为数据项，组成数据项集合；步骤B.挖掘所述数据项集合中预设时间内频繁出现的数据项作为频繁项，记录所述频繁项所对应的地址信息，并根据该频繁项定位行为异常的流；所述步骤B，包括步骤：步骤B1.将所述数据项集合中的数据项每个分作一期；并对候选集合D初始化：D为空，当期数据读取次数count为0；其中，ε为频繁项的频度参数，0＜ε＜1；步骤B2.对于每一个新到的数据项e，若数据项e在候选集合D中，则e对应的计数器f加1，否则直接将<e，1>加入候选集D，并且当期数据读取次数count加1；步骤B3.若当期数据读取次数count数达到w，当期数据处理结束，重新计算候选集合D中各数据项的频度，确定频繁项，得到异常流；步骤B4.返回步骤B2，读取新一期数据。