基于IR/S的软件定义网络流量异常检测算法

发布时间：2021-03-25 16:46

　　传统重标极差分析法（Rescaled Range Analysis,R/S）检测软件定义网络（SDN,Software Defined Network）流量是否存在异常时,某节点的网络流量序列存在恒定值小区间内子序列全为零值,造成标准差为零的运算错误,为了解决这个问题,文章提出了一种改进的重标极差法（Improvement Rescaled Range Analysis,IR/S）。算法利用微元法分析法,确定一组可用的参数,将参数引入计算数据流量序列Hurst指数,并将待计算的数据流量序列等分,同时规定序列长度为2的整数次幂,分别计算R/S值,通过拟合来判断是否存在异常流量情况。改进后的方法能够达到均分子序列的要求,无需计算序列的因数,使计算过程更加简化,避免了某些长度序列因数过少、素数长度导致的拟合点过少无法收敛的现象,减少了由计算结果精确度带来的误差。将算法在Mininet环境下进行虚拟SDN仿真测试,实验结果表明,文章中的方法能够较显著区分正常与异常流量,并且在探测异常时延迟较低。 

【文章来源】：网络空间安全. 2020,11(05)

【文章页数】：7 页

【部分图文】：

控制器流量序列

在本节步骤（3）中添加的微小量保证序列不为0，从而使对数坐标有意义。取值与有关，两者数值大小将影响Hurst指数的偏移量。使用在不同数量级区间内取值的和计算一个随机序列的Hurst指数并绘制出热图，结果如图3所示。可以初步观察到，变大将影响Hurst指数增大，增大将影响Hurst指数减小。首先对的影响进行分析,继续考察函数的特性,求对R的偏微分得:

从图3中可以看到一条贯穿左上角与右下角的等值点组成的线，在右下角的点为与均取0值，在这条线上的点，颜色基本一致，对应着相同数量级下的与所对应的Hurst指数值。当与取10-5或更小的值时，即使二者数量级略有差异，对Hurst指数的取值影响以及影响变化的速度有显著减小，但当与取10-2时，即使两个参数数量级相同，也对Hurst指数有较大的影响，基本符合上述分析结果。结合实际网络流量可能的特征，在实际计算时10-5应保持在较小且相同的数量级下。经过对单调递增序列和正弦序列进行计算也得到类似的结果。综上对取值数量级范围的讨论,本文在较小的数量级取值范围下取,作为后续计算基础。

【参考文献】：
期刊论文
[1]SDN中基于信息熵与DNN的DDoS攻击检测模型[J]. 张龙,王劲松.  计算机研究与发展. 2019(05)
[2]基于Hurst指数与相关系数的降雨侵蚀力变异识别与分级方法[J]. 钱峰,董林垚,黄介生,刘洪鹄,韩培,孙蓓.  农业工程学报. 2018(14)
[3]基于相对值法和Hurst指数的电网停电事故自相关性分析[J]. 于群,屈玉清,石良.  电力系统自动化. 2018(01)
[4]一种改进脑电特征提取算法及其在情感识别中的应用[J]. 李昕,蔡二娟,田彦秀,孙小棋,范梦頔.  生物医学工程学杂志. 2017(04)
[5]一种基于SDN的在线流量异常检测方法[J]. 左青云,陈鸣,王秀磊,刘波.  西安电子科技大学学报. 2015(01)



本文编号：3099987