一种网络异常流量的时频域快速侦测方法

摘要

一种网络异常流量的时频域快速侦测方法，属于大规模网络环境下网络异常侦测领域。本发明网络异常流量的时频域快速侦测方法，提出采用相关系数的处理的方法提取异常特征，提高了侦测的准确度；同时利用短时傅里叶变换对异常特征进行时频域分析，更准确地侦测出异常并实现对异常发生时刻的判断。本发明方法在时频域上对数据进行分析，理论上分解的层数越多，对频率的划分越精确，最后得到的效果将会越好。

主权项

一种网络异常流量的时频域快速侦测方法，其特征在于：包括以下步骤：步骤1：在网络拓扑结构中，捕获含有异常的流量数据，作为待分析的时域信号；步骤2：提取时域信号中具有相同目的节点的OD流上的流量数据，进行相关性分析，计算每个OD流和与他具有相同目的节点的OD流之间的相关系数，将所计算出的若干相关系数取平均值作为该OD流的平均相关系数；将所有OD流的平均相关系数之和作为相关系数的累积特征；步骤3：对步骤2的累积特征进行联合时频分析：采用短时傅里叶变换，确定时域信号在某个时间窗下的时频特征参数；改变时间窗大小，计算不同时间窗下的时频特征参数，将上述计算出的时频特征参数叠加，得到突出异常信号特征的累积时频特征参数，提取突出异常信号特征的参数sum_STFT用于异常的侦测；步骤4：设定判决门限，若累积时频特征参数超过该判决门限，则确定该处存在异常流量，再与特征参数sum_STFT比较，若sum_STFT中值超过判决门限的时刻则判定该时刻存在异常的流量信号；步骤5：自适应地设置异常门限值为0.9，若相关系数值高于异常门限值，则将该相关系数值设为1.4，找到相关系数中连续为1.4的起始时刻和终止时刻，即异常的起点和终点。