一种基于相对密度的网络异常IP及端口混合检测方法技术

本发明专利技术涉及一种基于相对密度的网络异常IP及端口混合检测方法，该方法先从数据源中提取所需要的字段；提取所有不重复的源MAC地址；基于每个源MAC地址下，提取所有不重复的（目的IP地址，目的端口）；之后，提取访问次数、不同源IP的个数、单位时间内访问个数峰值这三个特征；对特征进行标准化处理后，采用欧式距离计算每个（目的IP地址，目的端口）的k个最近邻；计算每个（目的IP地址，目的端口）的相对密度及异常得分；定义异常得分阈值，对高于阈值的（目的IP地址，目的端口）进行标记。本发明专利技术将目的IP地址及目的端口进行混合异常检测，不再单独考虑，具有更高的准确性和可解释性，易于推广应用。用。用。

【技术实现步骤摘要】
一种基于相对密度的网络异常IP及端口混合检测方法


[0001]本专利技术属于网络异常检测
，具体涉及一种基于相对密度的网络异常IP及端口混合检测方法。

技术介绍

[0002]在当今这个时代，没有互联网的生活几乎是不可能的。互联网的潜力十分巨大，其增长已经反映在与教育、娱乐、医疗保健等各个领域。然而，在人类生活的每一个领域使用互联网也有其自身的挑战。最重要的挑战涉及数据安全性。网络入侵是由于计算网络中未经授权的访问而出现的安全漏洞。识别网络中不同类型入侵的过程由入侵检测系统(IDS)执行。IDS中的攻击可分为探针攻击、DoS攻击、R2L攻击、U2R攻击。
[0003]在探针攻击中，未经授权的人员会"嗅探"网络并识别特定目标资源的漏洞，例如，攻击者可以使用一个不寻常的端口号作为与其他IP地址的标识来攻击不同的端口。
[0004]DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络宽带攻击和连通性攻击。DoS攻本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于相对密度的网络异常IP及端口混合检测方法，其特征在于，包括如下步骤：步骤（1），从数据源中提取所需要的字段；步骤（2），使用源MAC地址作为一个用户或一个资产的标识，从步骤（1）提取的字段中提取所有不重复的源MAC地址；步骤（3），在步骤（2）提取的每个源MAC地址下，提取所有不重复的（目的IP地址，目的端口）；步骤（4），对步骤（3）提取的所有（目的IP地址，目的端口），提取访问次数、不同源IP的个数、单位时间内访问个数峰值这三个特征；步骤（5），对步骤（4）提取的特征进行标准化处理；步骤（6），基于步骤（5）标准化后的特征值，采用欧式距离计算每个（目的IP地址，目的端口）的k个最近邻；步骤（7），计算每个（目的IP地址，目的端口）的相对密度，取相对密度的倒数作为异常得分；...

【专利技术属性】
技术研发人员：杭菲璐，罗震宇，郭威，陈何雄，毛正雄，何映军，谢林江，张振红，白晓羽，占梦来，张军，
申请(专利权)人：云南电网有限责任公司信息中心，
类型：发明
国别省市：