A detection method for anomaly flow in software defined network

security

Huijun P , Zhe S , Xuejian Z , et al. [J]. IEEE Access, 2018:1-1.

本文件基于knn的一个改进算法提出了一个异常检测算法。

一些概念：

• 欧几里德距离：$D_{ij}^y = \sqrt{\sum_{a=1}^{t}({X_{ia} - X_{ja}})^2} \tag{1}$
• strangeness(陌生度)：$\alpha_{iy}=\frac{\sum_{j=1}^kD_{ij}^y}{\sum_{j=1}^kD_{ij}^{-y}} \tag{2}$
  i与正例和反例的距离之比，越小越倾向与正例。
• independence(独立度)：$\theta_{iy}=\sum_{j=1}^kD_{ij}^y \tag{3}$
  i在正例中的距离之和，越小越倾向正例。
• double p value:$p_1(\alpha_i)=\frac{\#\{j=(1,\cdots,n):\alpha_j \ge \alpha_i\}}{n+1} \tag{4}$
  越大，则越正常
  $p_2(\theta_i) = \frac{\#\{j=(1,\cdots,n):\theta_j \ge\theta_i\}}{n+1} \tag{5}$
  越大，则越正常

算法步骤

step1 在训练集样例中进行欧几里德距离计算
step2 在训练集样例中进行陌生度和独立度计算
step3 计算检测点的陌生度和独立度
step4 计算检测点的double p value
step5 识别异常点：结点为正常用结点条件为 $p_1(\alpha_i) \ge \tau_1 \quad and \quad p_2(\theta_i) \ge \tau_2$,$\tau$由controller控制。