CN107566192B - 一种异常流量处理方法及网管设备 - Google Patents

Abstract

本申请公开一种异常流量处理方法及网管设备，涉及通信网络技术领域，以解决因SDN控制器逐个拒收异常数据包导致的SDN控制器的处理负荷增大、性能降低，且安全性降低的问题。所述方法包括：网管设备获取转发设备转发的数据包；所述网管设备确定异常数据包；所述网管设备根据所述异常流量，确定所述异常流量的异常流量分类向量；所述网管设备确定所述异常流量分类向量与每个参考流量分类向量的欧式距离；若所述欧式距离中，最小欧式距离小于第二阈值，则所述网管设备将所述最小欧式距离对应的参考流量分类向量对应的攻击类型确定为所述异常流量的流量攻击类型，并执行与所述流量攻击类型对应的防御措施。本申请提供的方案适于处理异常流量。

Description

一种异常流量处理方法及网管设备

技术领域

本申请涉及通信网络技术领域，尤其涉及一种异常流量处理方法及网管设备。

背景技术

软件定义网络(Software Defined Network,SDN)是一种新型网络架构，SDN将网络设备的控制平面和数据平面分离，之后SDN通过SDN控制器执行控制平面功能，且通过转发设备执行数据平面功能。其中，SDN控制器采用开放流(OpenFlow)协议更新OpenFlow流表，之后由转发设备根据OpenFlow流表中接收地址转发数据流量。若SDN控制器受到异常流量攻击，则使SDN控制器无法更新OpenFlow流表，这样数据流量无法转发到接收地址，就会导致网络瘫痪。

目前，SDN控制器将所有与OpenFlow流表中包头域不匹配的数据包确定为异常数据包，并拒收所有异常数据包。由于SDN控制器只能处理转发设备接收到的异常数据包，而通常每次异常流量攻击都由大量异常流量组成，每段异常流量中都包含大量异常数据包，逐个拒收异常数据包会大幅增加SDN控制器的处理负荷，从而降低了SDN控制器的性能，同时也降低了SDN控制器的安全性。

发明内容

本申请提供一种异常流量处理方法及网管设备，用于解决因SDN控制器逐个拒收异常数据包导致的SDN控制器的处理负荷增大、性能降低，且安全性降低的问题。

为达到上述目的，本申请采用如下技术方案：

第一方面，本申请提供一种异常流量处理方法，该方法包括：

网管设备获取转发设备转发的数据包，其中，指定时间内接收到的数据包组成数据流量；

所述网管设备确定异常数据包，其中，所述异常数据包用于表示空间中与所述数据流量中除自身外的所有数据包的欧式距离大于第一阈值的数据包，所述异常数据包组成的数据流量为异常流量；

所述网管设备根据所述异常流量，确定所述异常流量的异常流量分类向量，所述异常流量分类向量用于反映所述异常流量的攻击类型；

所述网管设备确定所述异常流量分类向量与每个参考流量分类向量的欧式距离；

若所述欧式距离中，最小欧式距离小于第二阈值，则所述网管设备将所述最小欧式距离对应的参考流量分类向量对应的攻击类型确定为所述异常流量的流量攻击类型，并执行与所述流量攻击类型对应的防御措施。

第二方面，本申请提供一种网管设备，

所述网管设备，用于获取转发设备转发的数据包，其中，指定时间内接收到的数据包组成数据流量；

所述网管设备，还用于确定异常数据包，其中，所述异常数据包用于表示空间中与所述数据流量中除自身外的所有数据包的欧式距离大于第一阈值的数据包，所述异常数据包组成的数据流量为异常流量；

所述网管设备，还用于根据所述异常流量，确定所述异常流量的异常流量分类向量，所述异常流量分类向量用于反映所述异常流量的攻击类型；

所述网管设备，还用于确定所述异常流量分类向量与每个参考流量分类向量的欧式距离；

所述网管设备，还用于若所述欧式距离中，最小欧式距离小于第二阈值，则将所述最小欧式距离对应的参考流量分类向量对应的攻击类型确定为所述异常流量的流量攻击类型，并执行与所述流量攻击类型对应的防御措施。

本申请提供的异常流量处理方法及网管设备，相比较于现有技术中由SDN控制器独自完成数据包的匹配过程与异常数据包的处理过程，本申请利用与SDN控制器连接的网管设备处理异常流量，减轻了SDN控制器的处理负荷，提升了SDN控制器的性能；并且，相比较于现有技术中SDN控制器逐个处理异常流量攻击产生的所有异常数据包，本申请中网管设备能够分析异常流量，并识别出异常流量的攻击类型，之后网管设备能够针对异常流量的攻击类型采取相应的防御措施，从源头上阻断异常数据包的产生，这样就减少了SDN控制器所需处理的异常数据包的数量，减轻了SDN控制器的处理负荷，同时提高了SDN控制器的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种异常流量处理系统的结构示意图；

图2为本发明实施例提供的一种异常流量处理方法的流程图；

图3为本发明实施例提供的另一种异常流量处理方法的流程图；

图4为本发明实施例提供的另一种异常流量处理方法的流程图；

图5为本发明实施例提供的另一种异常流量处理方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

本发明实施例提供一种异常流量处理方法，该方法应用于一种网管设备21，如图1所示，该网管设备21至少包括基础功能模块211、安全管理模块212和告警模块213，基础功能模块211用于实现拓扑管理等功能；安全管理模块212用于实现流量数据的采集与处理等功能；告警模块213用于在安全管理模块检测出异常流量之后，发出告警信息并采取防御措施。网管设备21与SDN可以组成异常流量处理系统20，其中，SDN由SDN控制器22，以及至少两个转发设备23组成，SDN具有南向接口、北向接口以及东西向接口，SDN控制器22通过东西向接口与网管设备21连接，实现与网管设备21的信息交互；转发设备23通过南向接口与网管设备21连接，以供网管设备21获取流量数据。其中，如图2所示，该方法由网管设备21完成，该方法流程包括：

步骤101、网管设备获取转发设备转发的数据包。

其中，指定时间内接收到的数据包组成数据流量。

需要说明的是，网管设备21获取转发设备23所转发的数据包，并且记录数据流量中每个数据包的获取时间，之后网管设备21将指定时间内接收到的数据包确定为数据流量。其中，指定时间可以人为设定，如30秒或者1分钟等。在设置指定时间时，可以根据网管设备21接收数据包的频率来确定，若网管设备21接收数据包的频率较高，则可以设置较短的指定时间，以避免组成数据流量的数据包数量过多，使得网管设备21需要分析大量数据包才能确定该数据流量是否为异常流量；若网管设备21接收数据包的频率较低，则可以设置较长的指定时间，以避免因组成数据流量的数据包数量过少，网管设备21无法获取充足的数据包来确定数据流量是否为异常流量，且无法确定异常流量的攻击类型。

步骤102、网管设备确定异常数据包。

其中，异常数据包用于表示空间中与数据流量中除自身外的所有数据包的欧式距离大于第一阈值的数据包，异常数据包组成的数据流量为异常流量。

其中，空间由七个维度数据中至少四个维度数据构成，七个维度数据包括源互联网协议(Internet Protocol，IP)地址、源端口地址、目的IP地址、目的端口地址、入度、出度和流大小，入度用于表示目的IP地址对应的接收端设备在指定时间中接收数据包的概率，出度用于表示源IP地址对应的发送端设备在指定时间中发送数据包的概率，流大小用于表示网管设备在指定时间的各个单位时间中，接收到数据流量的分布变化。需要说明的是，一个转发设备具有一个IP地址以及多个端口地址。

需要说明的是，在本发明实施例中，还可以采用聚类分析的方法，利用聚类算法确定异常数据包。聚类分析用于将物理或抽象对象分组为由类似对象组成的多个类，聚类算法用于执行上述分类过程，其中，每个相似对象组成的类被称为一个簇。在使用聚类算法进行分类的过程中，数据点被分为三类，分别为核心点、边界点和噪音点。噪音点不被包含在任何簇中，也就意味着，噪音点与其他任何点不具有相似特征，因此，将噪音点确定为异常点。聚类分析与聚类算法均是成熟的分析方法，现有技术中也具有多种聚类算法，在此不做赘述。

在本发明实施例中采用聚类算法时，可以将数据流量中的每个数据包作为一个数据点，通过聚类算法确定数据流量中所有数据包对应的数据点中的异常点，异常点对应的数据包即为异常数据包。

步骤103、网管设备根据异常流量，确定异常流量的异常流量分类向量。

其中，异常流量分类向量用于反映异常流量的攻击类型。

步骤104、网管设备确定异常流量分类向量与每个参考流量分类向量的欧式距离。

需要说明的是，参考流量分类向量用于表示已知攻击类型的异常流量对应的流量分类向量。

已知攻击类型至少包括端口扫描类攻击、拒绝服务(Denial of Service，DoS)攻击、分布式拒绝服务(Distributed Denial of Service，DDoS)攻击、病毒类攻击等。

欧式距离用于表示空间中两个点之间的距离，以下以七维空间中，异常流量分类向量为P_c＝(c₁,c₂,c₃,c₄,c₅,c₆,c₇)，参考流量分类向量为P_e＝(e₁,e₂,e₃,e₄,e₅,e₆,e₇)为例，介绍欧式距离的计算方法：

其中，D用于表示欧式距离；P_c用于表示异常流量分类向量，c₁，c₂，c₃，c₄，c₅，c₆，c₇用于表示异常流量分类向量中的各个元素；P_e用于表示参考流量分类向量，e₁，e₂，e₃，e₄，e₅，e₆，e₇用于表示参考流量分类向量中的各个元素。

步骤105、若欧式距离中，最小欧式距离小于第二阈值，则网管设备将最小欧式距离对应的参考流量分类向量对应的攻击类型确定为异常流量的流量攻击类型，并执行与流量攻击类型对应的防御措施。

需要说明的是，欧式距离越小，则异常流量与默认流量分类向量对应的已知攻击类型的异常流量越相似。第二阈值用于区分已知攻击类型与未知攻击类型，即当最小欧式距离小于第二阈值时，能够确定异常流量的攻击类型为已知攻击类型中的一种；当最小欧式距离大于或等于第二阈值时，异常流量分类向量的攻击类型不是已知攻击类型中的任何一个，也就是未知攻击类型。

在本发明实施例中，防御措施用于阻止异常数据包的产生，也就阻止了异常流量攻击SDN控制器。例如，针对DoS攻击，采取的防御措施为拒绝接收从源IP地址发出的所有数据包；针对DDoS攻击，采取的防御措施为拒绝接收从异常流量所属的所有IP地址的数据包；针对端口扫描类攻击，采取的防御措施为关闭源端口；针对病毒类攻击，采取的防御措施为拒绝接收所有数据流量。

在本发明实施例中，网管设备21在确定异常数据包，以及异常流量的攻击类型之后，向SDN控制器22发送异常流量中每个异常数据包的标识以及流量攻击类型，以便于SDN控制器22根据异常数据包的标识确定并处理异常数据包。其中，每组七个维度数据可以作为异常数据包的标识。

除了网管设备21确定异常数据包之后向SDN控制器22发送异常数据包的标识之外，网管设备21还可以周期性向SDN控制器22发送异常流量检测结果。例如，若在一个周期中不存在异常流量，则网管设备21向SDN控制器22发送“无异常流量”这一异常流量检测结果；若检测到异常流量，则网管设备21立即向SDN控制器22发送异常流量中每个异常数据包的四元组信息以及流量攻击类型，并在这一个周期结束时，向SDN控制器22发送在该周期中出现的所有异常流量的攻击类型。

本发明实施例利用与SDN控制器连接的网管设备处理异常流量，减轻了SDN控制器的处理负荷，提升了SDN控制器的性能；并且，相比较于现有技术中SDN控制器逐个处理异常流量攻击产生的所有异常数据包，本发明实施例中网管设备能够分析异常流量，并识别出异常流量的攻击类型，之后网管设备能够针对异常流量的攻击类型采取相应的防御措施，从源头上阻断异常数据包的产生，这样就减少了SDN控制器所需处理的异常数据包的数量，减轻了SDN控制器的处理负荷，同时提高了SDN控制器的安全性。

为了对异常流量进行分类，在本发明实施例的一个实现方式中，需要确定用于分类的参数异常流量分类向量，因此，在如图2所示的实现方式的基础上，还可以实现为如图3所示的实现方式。其中，步骤103网管设备根据异常流量，确定异常流量的异常流量分类向量，可以具体执行为步骤1031至步骤1033：

步骤1031、网管设备从异常流量中每个数据包中提取七个维度数据。

需要说明的是，每个数据包中都具有用于与OpenFlow流表中包头域匹配的十二元组数据，十二元组数据中包括源IP地址、源端口地址、目的IP地址、目的端口地址、入端口、源媒体访问控制(Media Access Control，MAC)地址、目的MAC地址、以太网类型、虚拟局域网(Virtual Local Area Network，VLAN)账号(identity，ID)、VLAN优先级、IP协议、IP服务条款(terms of service，TOS)位。七个维度数据中的四个维度数据，即源IP地址、源端口地址、目的IP地址和目的端口地址，可以直接从数据包中的十二元组数据中获取，入度、出度和流大小则分别通过数据包的发送时间、接收端转发设备接收数据包的接收时间，以及网管设备接收数据包的接收时间来反映。

步骤1032、网管设备根据七个维度数据，计算七个维度数据中每个维度数据的熵值。

根据所有数据流量中每个数据包的发送时间、接收端转发设备接收数据包的接收时间，以及网管设备21接收数据包的接收时间，网管设备21能够统计一段时间中，从每个端口地址或每个IP地址发送和接收到的数据包的数量。

源端口地址、目的端口地址、源IP地址和目的IP地址计算熵值的方法相似，下面以源端口地址的熵值计算方法为例，说明源端口地址、目的端口地址、源IP地址和目的IP地址的熵值计算方法：

①、计算第i个源端口发出数据包的概率P(i)

其中，P(i)用于表示在指定时间中，第i个源端口发出数据包的概率；y用于表示在指定时间中，从第i个源端口发出数据包的个数；A用于表示指定时间中，所有转发设备中所有源端口发出的数据包总数量。

②、计算熵值s

其中，s用于表示熵值；n用于表示转发设备具有的源端口数量。

入度和出度用于评估转发设备之间的数据包交换行为，入度和出度的计算方法相似，下面以入度为例，说明入度和出度的熵值计算方法：

①、计算第x个转发设备与其他转发设备发生数据包交互行为的概率P(x)

其中，P(x)用于表示指定时间中，第x个转发设备与其他转发设备发生数据包交互行为的概率；r用于表示指定时间中，与第x个转发设备发生数据包交互行为的转发设备的数量；m用于表示转发设备的总数量。

②、计算熵值s

其中，s用于表示熵值。

流大小用于描述指定时间中，每个子时间段数据流量的分布变化，子时间段可以由人为设置，如3秒，5秒等均可以作为一个子时间段，但需要说明的是，指定时间包括至少两个子时间段。流大小的熵值计算方法如下：

①、计算网管设备中数据包的通过概率P(t)

其中，P(t)用于表示第t个子时间段中，网管设备接收到数据包的概率；k表示第t个子时间段中，网管设备接收到数据包的数量；K表示指定时间中，网管设备接收到数据包的总数量。

②、计算熵值s

其中，s用于表示熵值，l用于表示该指定时间中子时间段的数量。

步骤1033、网管设备将每个维度数据的熵值作为异常流量分类向量中的元素，得到异常流量分类向量。

需要说明的是，每个维度数据的熵值的取值范围均为[0,1],越接近于0越趋于正常，越接近于1越趋于异常。

异常流量分类向量用P＝(s₁,s₂,s₃,s₄,s₅,s₆,s₇)来表示，其中，s₁，s₂，s₃，s₄，s₅，s₆，s₇分别表示源端口地址、目的端口地址、源IP地址、目的IP地址、入度、出度和流大小的熵值。

本发明实施例可以在确定异常流量之后，通过提取七个维度数据以及计算熵值的方法确定了异常流量的异常流量分类向量，从源端口地址、目的端口地址等七个方面综合衡量异常流量，提高了异常流量分类的准确性。

为了方便对异常流量进行分类，在本发明实施例的一个实现方式中，需要预先设置用于与异常流量进行匹配的已知攻击类型的参考流量分类向量，因此，在如图2或图3所示的实现方式的基础上，以图2为例，还可以实现为如图4所示的实现方式。其中，在执行步骤104网管设备确定异常流量分类向量与每个参考流量分类向量的欧式距离之前，还可以执行步骤106和步骤107：

步骤106、网管设备获取已知攻击类型的异常流量。

需要说明的是，网管设备21可以从数据库中获取已知攻击类型的异常流量，数据库可以设置在网管设备21中，也可以设置在其他具有存储功能且与网管设备21具有连接关系的装置中。在数据库中，每种已知攻击类型都对应至少一组异常流量。

步骤107、网管设备计算每种已知攻击类型的异常流量的参考流量分类向量，并存储每种已知攻击类型与参考流量分类向量的对应关系。

在本发明实施例中，网管设备21先计算已知攻击类型对应的参考流量分类向量，之后就能够直接将异常流量分类向量与参考流量分类向量进行比对，从而确定异常流量的攻击类型，减少了网管设备21识别异常流量所需的时间，提高了异常流量的识别效率。

为了保证对于异常流量分类的准确性，在本发明实施例的一个实现方式中，需要筛选出与已知攻击类型相似程度小的异常流量，因此，在如图4所示的实现方式的基础上，还可以实现为如图5所示的实现方式。其中，在执行步骤104网管设备确定异常流量分类向量与每个参考流量分类向量的欧式距离之后，还可以执行步骤108和步骤109：

步骤108、若最小欧式距离大于或等于第二阈值，则网管设备将异常流量确定为未知类型异常流量。

需要说明的是，在本发明实施例中，若最小欧式距离仍大于或等于距离阈值，说明该异常流量的攻击类型与所有已知攻击类型的相似程度较小，也就意味着，该异常流量不属于已知攻击类型中的任意一种，因此，网管设备21将该异常流量确定为未知类型异常流量。

步骤109、在确定未知类型异常流量的攻击类型以及对应的防御措施后，网管设备存储未知类型异常流量的攻击类型、异常流量分类向量、以及防御措施两两之间的对应关系。

需要说明的是，可以人为确定异常流量的攻击类型，或者网管设备21自行分析确定异常流量的攻击类型，确定未知异常流量的攻击类型时，可采用现有技术中已有的方法，在此不再赘述。

在本发明实施例中，网管设备通过一步步学习，将被人为或采用其他方式判断出的异常流量攻击类型与异常流量分类向量存储至数据库中，增加了数据库中存储的异常流量攻击类型的种类，在后续将异常流量分类的过程中，若存在相同攻击类型的异常流量，可直接按照数据库中给出的异常流量攻击类型进行分类，节省了分类时间，提高了分类效率；并且，若在后续过程中，SDN控制器受到该异常流量的攻击，网管设备能够迅速执行相应的防御措施，减轻该异常流量对SDN控制器的威胁，从而提高SDN控制器的安全性。

本发明实施例提供一种网管设备21，如图1所示，该网管设备21可以用于执行如图2至图5所示的方法流程。

网管设备21，用于获取转发设备23转发的数据包，其中，指定时间内接收到的数据包组成数据流量。

网管设备21，还用于确定异常数据包，其中，异常数据包用于表示空间中与数据流量中除自身外的所有数据包的欧式距离大于第一阈值的数据包，异常数据包组成的数据流量为异常流量。

其中，空间由七个维度数据中至少四个维度数据构成，七个维度数据包括源互联网协议IP地址、源端口地址、目的IP地址、目的端口地址、入度、出度和流大小，入度用于表示目的IP地址对应的接收端设备在指定时间中接收数据包的概率，出度用于表示源IP地址对应的发送端设备在指定时间中发送数据包的概率，流大小用于表示网管设备21在指定时间的各个单位时间中，接收到数据流量的分布变化。

网管设备21，还用于根据异常流量，确定异常流量的异常流量分类向量，异常流量分类向量用于反映异常流量的攻击类型。

网管设备21，还用于确定异常流量分类向量与每个参考流量分类向量的欧式距离。

网管设备21，还用于若欧式距离中，最小欧式距离小于第二阈值，则将最小欧式距离对应的参考流量分类向量对应的攻击类型确定为异常流量的流量攻击类型，并执行与流量攻击类型对应的防御措施。

在本发明实施例的一个实现方式中，网管设备21，还用于从异常流量中每个数据包中提取七个维度数据。

网管设备21，还用于根据七个维度数据，计算七个维度数据中每个维度数据的熵值。

网管设备21，还用于将每个维度数据的熵值作为异常流量分类向量中的元素，得到异常流量分类向量。

在本发明实施例的一个实现方式中，网管设备21，还用于获取已知攻击类型的异常流量。

网管设备21，还用于计算每种已知攻击类型的异常流量的参考流量分类向量，并存储每种已知攻击类型与参考流量分类向量的对应关系。

在本发明实施例的一个实现方式中，网管设备21，还用于若最小欧式距离大于或等于第二阈值，则将异常流量确定为未知类型异常流量。

网管设备21，还用于在确定未知类型异常流量的攻击类型以及对应的防御措施后，存储未知类型异常流量的攻击类型、异常流量分类向量、以及防御措施两两之间的对应关系。

本发明实施例提供的网管设备，相比较于现有技术中由SDN控制器独自完成数据包的匹配过程与异常数据包的处理过程，本发明实施例利用与SDN控制器连接的网管设备处理异常流量，减轻了SDN控制器的处理负荷，提升了SDN控制器的性能；并且，相比较于现有技术中SDN控制器逐个处理异常流量攻击产生的所有异常数据包，本发明实施例中网管设备能够分析异常流量，并识别出异常流量的攻击类型，之后网管设备能够针对异常流量的攻击类型采取相应的防御措施，从源头上阻断异常数据包的产生，这样就减少了SDN控制器所需处理的异常数据包的数量，减轻了SDN控制器的处理负荷，同时提高了SDN控制器的安全性。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘，硬盘或光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例的方法。

以上，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何在本发明揭露的技术范围内的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (6)

1.一种异常流量处理方法，其特征在于，所述方法包括：

网管设备获取转发设备转发的数据包，其中，指定时间内接收到的数据包组成数据流量；

所述网管设备确定异常数据包，其中，所述异常数据包用于表示空间中与所述数据流量中除自身外的所有数据包的欧式距离大于第一阈值的数据包，所述异常数据包组成的数据流量为异常流量；所述空间由七个维度数据中至少四个维度数据构成；

所述网管设备根据所述异常流量，确定所述异常流量的异常流量分类向量，所述异常流量分类向量用于反映所述异常流量的攻击类型；

所述网管设备根据所述异常流量，确定所述异常流量的异常流量分类向量，包括：

所述网管设备从所述异常流量中每个数据包中提取所述七个维度数据；

所述网管设备根据所述七个维度数据，计算所述七个维度数据中每个维度数据的熵值；所述七个维度数据包括源互联网协议IP地址、源端口地址、目的IP地址、目的端口地址、入度、出度和流大小，所述入度用于表示所述目的IP地址对应的接收端设备在所述指定时间中接收数据包的概率，所述出度用于表示所述源互联网协议IP地址对应的发送端设备在所述指定时间中发送数据包的概率，所述流大小用于表示所述网管设备在所述指定时间的各个单位时间中，接收到数据流量的分布变化；

所述网管设备将所述每个维度数据的熵值作为所述异常流量分类向量中的元素，得到所述异常流量分类向量；

所述网管设备确定所述异常流量分类向量与每个参考流量分类向量的欧式距离；

若所述欧式距离中，最小欧式距离小于第二阈值，则所述网管设备将所述最小欧式距离对应的参考流量分类向量对应的攻击类型确定为所述异常流量的流量攻击类型，并执行与所述流量攻击类型对应的防御措施。

2.根据权利要求1所述的方法，其特征在于，在所述网管设备确定所述异常流量分类向量与每个参考流量分类向量的欧式距离之前，所述方法还包括：

所述网管设备获取已知攻击类型的异常流量；

所述网管设备计算每种已知攻击类型的异常流量的参考流量分类向量，并存储每种已知攻击类型与参考流量分类向量的对应关系。

3.根据权利要求2所述的方法，其特征在于，在所述网管设备确定所述异常流量分类向量与每个参考流量分类向量的欧式距离之后，所述方法还包括：

若所述最小欧式距离大于或等于所述第二阈值，则所述网管设备将所述异常流量确定为未知类型异常流量；

在确定所述未知类型异常流量的攻击类型以及对应的防御措施后，所述网管设备存储所述未知类型异常流量的攻击类型、异常流量分类向量、以及防御措施两两之间的对应关系。

4.一种网管设备，其特征在于，

所述网管设备，用于获取转发设备转发的数据包，其中，指定时间内接收到的数据包组成数据流量；

所述网管设备，还用于确定异常数据包，其中，所述异常数据包用于表示空间中与所述数据流量中除自身外的所有数据包的欧式距离大于第一阈值的数据包，所述异常数据包组成的数据流量为异常流量；所述空间由七个维度数据中至少四个维度数据构成；所述七个维度数据包括源互联网协议IP地址、源端口地址、目的IP地址、目的端口地址、入度、出度和流大小，所述入度用于表示所述目的IP地址对应的接收端设备在所述指定时间中接收数据包的概率，所述出度用于表示所述源互联网协议IP地址对应的发送端设备在所述指定时间中发送数据包的概率，所述流大小用于表示所述网管设备在所述指定时间的各个单位时间中，接收到数据流量的分布变化；

所述网管设备，还用于根据所述异常流量，确定所述异常流量的异常流量分类向量，所述异常流量分类向量用于反映所述异常流量的攻击类型；

所述网管设备，还用于从所述异常流量中每个数据包中提取所述七个维度数据；

所述网管设备，还用于根据所述七个维度数据，计算所述七个维度数据中每个维度数据的熵值；

所述网管设备，还用于将所述每个维度数据的熵值作为所述异常流量分类向量中的元素，得到所述异常流量分类向量；

所述网管设备，还用于确定所述异常流量分类向量与每个参考流量分类向量的欧式距离；

所述网管设备，还用于若所述欧式距离中，最小欧式距离小于第二阈值，则将所述最小欧式距离对应的参考流量分类向量对应的攻击类型确定为所述异常流量的流量攻击类型，并执行与所述流量攻击类型对应的防御措施。

5.根据权利要求4所述的网管设备，其特征在于，

所述网管设备，还用于获取已知攻击类型的异常流量；

所述网管设备，还用于计算每种已知攻击类型的异常流量的参考流量分类向量，并存储每种已知攻击类型与参考流量分类向量的对应关系。

6.根据权利要求5所述的网管设备，其特征在于，

所述网管设备，还用于若所述最小欧式距离大于或等于所述第二阈值，则将所述异常流量确定为未知类型异常流量；

所述网管设备，还用于在确定所述未知类型异常流量的攻击类型以及对应的防御措施后，存储所述未知类型异常流量的攻击类型、异常流量分类向量、以及防御措施两两之间的对应关系。