[發明專利]一種網絡流量異常檢測方法及系統

有效

• 申請號: 201710803213.1
• 申請日: 2017-09-07
• 公開（公告）號: CN107370766B
• 公開（公告）日: 2020-09-11
• 發明（設計）人: 王萌;范淵;劉博;龍文潔
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙) 11371
• 代理人: 蘇勝

本發明實施例提供的一種網絡流量異常檢測方法及系統，屬于網絡安全信息技術領域。該方法包括獲取月流量異常指數；獲取日流量異常指數；獲取預設時段流量異常指數；獲取實時流量異常指數；基于月流量異常指數、日流量異常指數、時段流量異常指數和實時流量異常指數，獲取綜合異常指數；基于綜合異常指數，獲取預設網絡攻擊場景所對應的流量異常態勢。通過獲取月流量異常指數、日流量異常指數、預設時段流量異常指數和實時流量異常指數，從而獲取綜合異常指數，進而實現對月、日、時段、實時流量異常全面、精準、有效的檢測。再通過綜合異常指數，獲取預設網絡攻擊場景所對應的流量異常態勢，進一步對不同網絡攻擊場景的異常流量精準檢測與感知。

技術領域

本發明涉及網絡安全信息技術領域，具體而言，涉及一種網絡流量異常檢測方法及系統。

背景技術

網絡行為特征短期內具有隨機性和突發性，難以用一些固定的模型算法去檢測和判斷，但是網絡行為中長期具有規律性和穩定性，基于短期和中長期結合的時間序列檢測具有重要的研究價值。

現有網絡流量的異常檢測技術主要有固定的閾值檢測法，基于統計檢測法，小波分析，自相似檢測法，然而這些方法都沒有考慮歷史同期、近期的時間規律性，并且對歷史數據分析的樣本量小。

此外，不同安全場景下的流量特征也不盡相同，如DDoS(Distributed Denial ofService)攻擊時，流量呈現瞬間(短時間)增長模式，再結合DDoS的ip相似性為等維度進行DDoS檢測。而潛伏型應用攻擊時，實時(半小時)的流量具有隱藏性，一般不會越過流量閾值線，但是異常日流量總量同正常日的流量比較，增長趨勢會比較明顯。從而，現有技術中存在對告警的流量數據檢測誤報率較高以及對不同攻擊場景的異常流量的檢測誤報率較高。

發明內容

本發明提供一種網絡流量異常檢測方法及系統，旨在改善上述技術問題。

本發明提供的一種網絡流量異常檢測方法，包括：獲取月流量異常指數；獲取日流量異常指數；獲取預設時段流量異常指數；獲取實時流量異常指數；基于所述月流量異常指數、所述日流量異常指數、所述時段流量異常指數和所述實時流量異常指數，獲取綜合異常指數；基于所述綜合異常指數，獲取預設網絡攻擊場景所對應的流量異常態勢。

優選地，所述的獲取月流量異常指數，包括：獲取當前時間節點前N年的每個月的月總流量；基于指數平滑法和同期加權平均法獲取月流量預測值；基于3西格瑪標準差法獲取預測月流量區間；基于所述月流量預測值和所述月流量區間獲取月流量異常指數。

優選地，所述的獲取日流量異常指數，包括：獲取當前時間節點前B個月內的每個月的日流量數據；獲取所述B個月內每周中的每一天的日總流量所占該周的周總流量的周占比系數；基于箱線圖法過濾異常周占比，再求均值獲取所述周占比系數的周因子系數；獲取所述B個月內每月中的每一天的日總流量所占該月的月總流量的月占比系數；基于箱線圖法過濾異常月占比，再求均值獲取所述月占比系數的月因子系數；基于所述周因子系數和所述月因子系數獲取預測日流量；基于3西格瑪標準差法獲取預測日流量區間；基于所述預測日流量與所述預測日流量區間獲取日流量異常指數。

優選地，所述的獲取預設時段流量異常指數，包括：獲取當前時間節點前N日內的流量數據；獲取每日預設時間段內的多個時段流量數據；基于每個所述時段流量數據生成時段流量向量；基于高斯分布函數獲取每個所述時段流量數據所對應的均值與標準差；基于3西格瑪標準差法獲取預測時段流量區間；基于所述均值、所述標準差和所述預測時段流量區間，獲取預設時段流量異常指數。

優選地，所述的獲取實時流量異常指數，包括：獲取當前時間節點前N日內的流量數據；基于所述流量數據，獲取N日內每分鐘的實時流量數據；基于所述實時流量數據獲取實時流量異常指數。