[發(fā)明專利]一種網(wǎng)絡(luò)流量異常檢測(cè)方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201710803213.1
• 申請(qǐng)日: 2017-09-07
• 公開（公告）號(hào): CN107370766B
• 公開（公告）日: 2020-09-11
• 發(fā)明（設(shè)計(jì)）人: 王萌;范淵;劉博;龍文潔
• 申請(qǐng)（專利權(quán)）人: 杭州安恒信息技術(shù)股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京超凡志成知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11371
• 代理人: 蘇勝

1.一種網(wǎng)絡(luò)流量異常檢測(cè)方法，其特征在于，包括：

獲取月流量異常指數(shù)；

獲取日流量異常指數(shù)；

獲取預(yù)設(shè)時(shí)段流量異常指數(shù)；

獲取實(shí)時(shí)流量異常指數(shù)；

基于所述月流量異常指數(shù)、所述日流量異常指數(shù)、所述時(shí)段流量異常指數(shù)和所述實(shí)時(shí)流量異常指數(shù)，獲取綜合異常指數(shù)；

基于所述綜合異常指數(shù)，獲取預(yù)設(shè)網(wǎng)絡(luò)攻擊場(chǎng)景所對(duì)應(yīng)的流量異常態(tài)勢(shì)；

其中，基于所述月流量異常指數(shù)、所述日流量異常指數(shù)、所述時(shí)段流量異常指數(shù)和所述實(shí)時(shí)流量異常指數(shù),獲取綜合異常指數(shù)，包括：

獲取每個(gè)預(yù)設(shè)網(wǎng)絡(luò)攻擊場(chǎng)景中所述月流量異常指數(shù)、所述日流量異常指數(shù)、所述時(shí)段流量異常指數(shù)和所述實(shí)時(shí)流量異常指數(shù)所對(duì)應(yīng)的權(quán)重；基于所述權(quán)重、所述月流量異常指數(shù)、所述日流量異常指數(shù)、所述時(shí)段流量異常指數(shù)和所述實(shí)時(shí)流量異常指數(shù)，獲取每個(gè)所述預(yù)設(shè)網(wǎng)絡(luò)攻擊場(chǎng)景所對(duì)應(yīng)的綜合異常指數(shù)；以及，所述綜合異常指數(shù)滿足：H＝ω₁*H_M+ω₂*H_D+ω₃*H_i+ω₄*H_s，H表示綜合異常指數(shù)，H_M表示所述月流量異常指數(shù)，H_D表示所述日流量異常指數(shù)，H_i表示所述時(shí)段流量異常指數(shù)，H_S表示所述實(shí)時(shí)流量異常指數(shù)，所述ω₁表示所述月流量異常指數(shù)所對(duì)應(yīng)的權(quán)重、ω₂表示所述日流量異常指數(shù)所對(duì)應(yīng)的權(quán)重，ω₃表示所述時(shí)段流量異常指數(shù)所對(duì)應(yīng)的權(quán)重，ω₄表示所述實(shí)時(shí)流量異常指數(shù)所對(duì)應(yīng)的權(quán)重；所述預(yù)設(shè)網(wǎng)絡(luò)攻擊場(chǎng)景包括：潛伏型應(yīng)用攻擊場(chǎng)景、僵尸網(wǎng)絡(luò)木馬攻擊場(chǎng)景、掃描行為攻擊場(chǎng)景和CC攻擊場(chǎng)景；若所述預(yù)設(shè)網(wǎng)絡(luò)攻擊場(chǎng)景為潛伏型應(yīng)用攻擊場(chǎng)景時(shí)，調(diào)整ω₁和ω₂，若所述預(yù)設(shè)網(wǎng)絡(luò)攻擊場(chǎng)景為僵尸網(wǎng)絡(luò)木馬攻擊場(chǎng)景或掃描行為攻擊場(chǎng)景時(shí)，調(diào)整ω₂和ω₃，若所述預(yù)設(shè)網(wǎng)絡(luò)攻擊場(chǎng)景為CC攻擊場(chǎng)景時(shí)，調(diào)整ω₃和ω₄。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述的獲取月流量異常指數(shù)，包括：

獲取當(dāng)前時(shí)間節(jié)點(diǎn)前N年的每個(gè)月的月總流量；

基于指數(shù)平滑法和同期加權(quán)平均法獲取月流量預(yù)測(cè)值；

基于3西格瑪標(biāo)準(zhǔn)差法獲取預(yù)測(cè)月流量區(qū)間；

基于所述月流量預(yù)測(cè)值和所述月流量區(qū)間獲取月流量異常指數(shù)。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述的獲取日流量異常指數(shù)，包括：

獲取當(dāng)前時(shí)間節(jié)點(diǎn)前B個(gè)月內(nèi)的每個(gè)月的日流量數(shù)據(jù)；

獲取所述B個(gè)月內(nèi)每周中的每一天的日總流量所占該周的周總流量的周占比系數(shù)；

基于箱線圖法過(guò)濾異常周占比，再求均值獲取所述周占比系數(shù)的周因子系數(shù)；

獲取所述B個(gè)月內(nèi)每月中的每一天的日總流量所占該月的月總流量的月占比系數(shù)；

基于箱線圖法過(guò)濾異常月占比，再求均值獲取所述月占比系數(shù)的月因子系數(shù)；

基于所述周因子系數(shù)和所述月因子系數(shù)獲取預(yù)測(cè)日流量；

基于3西格瑪標(biāo)準(zhǔn)差法獲取預(yù)測(cè)日流量區(qū)間；

基于所述預(yù)測(cè)日流量與所述預(yù)測(cè)日流量區(qū)間獲取日流量異常指數(shù)。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述的獲取預(yù)設(shè)時(shí)段流量異常指數(shù)，包括：

獲取當(dāng)前時(shí)間節(jié)點(diǎn)前N日內(nèi)的流量數(shù)據(jù)；

獲取每日預(yù)設(shè)時(shí)間段內(nèi)的多個(gè)時(shí)段流量數(shù)據(jù)；

基于每個(gè)所述時(shí)段流量數(shù)據(jù)生成時(shí)段流量向量；

基于高斯分布函數(shù)獲取每個(gè)所述時(shí)段流量數(shù)據(jù)所對(duì)應(yīng)的均值與標(biāo)準(zhǔn)差；

基于3西格瑪標(biāo)準(zhǔn)差法獲取預(yù)測(cè)時(shí)段流量區(qū)間；

基于所述均值、所述標(biāo)準(zhǔn)差和所述預(yù)測(cè)時(shí)段流量區(qū)間，獲取預(yù)設(shè)時(shí)段流量異常指數(shù)。