本发明专利技术公开了一种基于相对熵理论的多测度网络异常检测方法，本检测方法是通过对多个测度的相对熵加权得到综合相对熵进行网络异常判断，从而避免了单个测度检测在某种特定攻击下的单点失效问题，同时，基于相对熵的异常检测不同于流量异常检测，能够精确地反映测度的异常。该方法按照以下步骤具体实施：步骤１．异常检测测度的选择和量化；步骤２．数据预处理；步骤３．样本训练；步骤４．单测度相对熵检测；步骤５．多测度加权相对熵计算；步骤６．报警机制和检测结果显示。本发明专利技术方法提出的技术方案，有助于解决现有网络异常检测技术存在的检测攻击范围不够全面和检测率和降低误报率之间矛盾的问题，可提供主机、局域网、广域网等各种网络环境进行网路异常检测。
【技术实现步骤摘要】
【技术保护点】
一种基于相对熵理论的多测度网络异常检测方法，其特征在于，该方法按以下步骤具体实施： 步骤１、异常检测测度的选择和量化 异常检测测度选取的标准为：选择的测度对正常和异常区分度较高，且从网络流量中量化该特征值的计算量小； 步骤 ２、数据预处理 多测度数据预处理是由多个单测度数据预处理来实现的，单测度统计分析的过程是，首先确定所测测度概率分布的项数为ｍ，然后对捕获到的网络流量数据按照该测度进行统计分析，设ｍ项对应数据包的个数分别为ｘ↓［１］，ｘ↓［２］，…，ｘ ↓［ｍ］，总的数据包个数为＊ｘ↓［ｉ］，则每一项对应数据包占总数据包数的比率分别为ｐ↓［１］，ｐ↓［２］，…，ｐ↓［ｍ］，其中ｐ↓［ｉ］＝ｘ↓［ｉ］／＊ｘ↓［ｉ］（ｉ＝１，２，…，ｍ） （２） 最后将ｐ↓［１］，ｐ↓［２］，…，ｐ↓ ［ｍ］组成该测度的测度统计值库； 步骤３、样本训练 多测度的样本训练是由多个单测度的样本训练来实现的，单测度的样本训练过程包括数据预处理和数据均值化处理过程，样本训练数据一般都是由多个时间段的网络流量数据组成，这里时间段个数设为 Ｎ，对每一份进行数据预处理，就得到Ｎ个测度统计值库，然后对Ｎ个测度统计值库进行均值化处理，得到一个正常测度统计值库作为检测的标准，具体过程如下： Ｐ↓［１］＝｛ｐ↓［１１］，ｐ↓［１２］，…，ｐ↓［１ｍ］｝； Ｐ↓［２］＝｛ｐ↓ ［２１］，ｐ↓［２２］，…，ｐ↓［２ｍ］｝； …… Ｐ↓［Ｎ］＝｛ｐ↓［Ｎ１］，ｐ↓［Ｎ２］，…，ｐ↓［Ｎｍ］｝， Ｐ＝｛＊ｐ↓［ｉ１］／Ｎ，＊ｐ↓［ｉ２］／Ｎ，…，＊ｐ↓［ｉｍ］／Ｎ，｝ （３） 其中Ｎ表示捕获正 常网络流量数据的时间段数，ｍ表示测度概率分布中的项数，Ｐ↓［１］，Ｐ↓［２］，…，Ｐ↓［Ｎ］表示每个时间段内正常网络流量数据的测度概率分布，该概率分布Ｐ就认为是通过样本训练得到的正常测度统计值库； 步骤４、单测度相对熵检测 设在 训练阶段取得的正常测度统计值库中的概率分布为Ｐ＝｛ｐ↓［１］，ｐ↓［２］，…，ｐ↓［ｎ］｝的概率值；在检测过程中，对采集的网络流量原始数据进行数据预处理，产生待检测测度统计值库的概率分布为Ｑ＝｛ｑ↓［１］，ｑ↓［２］，…，ｑ↓［ｎ］｝，则计算两个概率分布的相对熵距离为：Ｌ（Ｐ，Ｑ）＝＊ｐ↓［ｉ］ｌｎ ｐ↓［ｉ］／ｑ↓［ｉ］； 步骤５、多测度加权相对熵计算 设存在ｋ...
【技术特征摘要】
【专利技术属性】
技术研发人员：张亚玲，韩照国，
申请(专利权)人：西安理工大学，
类型：发明
国别省市：87[]
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。