[發明專利]網絡流量異常檢測方法及裝置

有效

• 申請號: 201810821544.2
• 申請日: 2018-07-24
• 公開（公告）號: CN109067725B
• 公開（公告）日: 2021-05-14
• 發明（設計）人: 郭棟
• 申請（專利權）人: 成都亞信網絡安全產業技術研究院有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 申健

1.一種網絡流量異常檢測方法，其特征在于，包括：

獲取網絡流量異常檢測樣本以及所述網絡流量異常檢測樣本的數據點分布特征；其中，所述網絡流量異常檢測樣本包括網絡流量數據以及與所述網絡流量數據關聯的網絡行為特征；

根據預設聚類分析算法對所述數據點分布特征進行聚類分析，將剔除聚類分析結果中的密集數據點之后的數據集作為初步異常檢測數據集；其中，所述預設聚類分析算法中為每個數據點增加一個referrer域，所述referrer域中存儲有指向信息以將所述數據點指向與所述數據點相距最近的最相鄰數據點；

根據預設離群分析算法獲取所述初步異常檢測數據集的第一離群點集以及離群點數，以及根據預設離群分析算法、所述離群點數以及預設離群分析算法的局部離群因子調整距離參數值以獲取所述初步異常檢測數據集的第二離群點集；

獲取所述第一離群點集與所述第二離群點集的交集作為網絡流量異常檢測結果。

2.根據權利要求1所述的網絡流量異常檢測方法，其特征在于，所述預設聚類分析算法基于OPTICS算法實現；則所述根據預設聚類分析算法對所述數據點分布特征進行聚類分析具體包括：

根據預設聚類分析算法有序種子隊列中數據點的可達距離的更新對所述數據點的referrer域的指向信息進行更新；以及，在所述預設聚類分析算法有序種子隊列新插入數據點后對所述數據點的referrer域的指向信息進行更新；

根據所述referrer域的指向信息重新組織所述預設聚類分析算法的結果隊列。

3.根據權利要求2所述的網絡流量異常檢測方法，其特征在于，所述對所述數據點的referrer域的指向信息進行更新具體為：將所述數據點指向所述預設聚類分析算法的結果隊列的末尾。

4.根據權利要求1-3任一所述的網絡流量異常檢測方法，其特征在于，所述預設離群分析算法基于LOF算法實現，則所述根據預設離群分析算法獲取所述初步異常檢測數據集的第一離群點集以及離群點數具體為：

根據預設離群分析算法計算預設領域參數；其中，所述預設領域參數包括：預設領域數據點個數、預設領域平均距離以及預設領域內數據點密度；

根據所述預設領域參數確定數據點密度跳變位置以獲取所述初步異常檢測數據集的離群點數以及第一離群點集；

所述根據預設離群分析算法、所述離群點數以及預設離群分析算法的局部離群因子調整距離參數值以獲取所述初步異常檢測數據集的第二離群點集具體為：

調整距離參數值以使所述初步異常檢測數據集的局部離群因子大于1的數據點個數與所述離群點數相等；

獲取與所述局部離群因子對應的離群點集作為第二離群點集。

5.根據權利要求1-3任一所述的網絡流量異常檢測方法，其特征在于，所述獲取網絡流量異常檢測樣本以及所述網絡流量異常檢測樣本的數據點分布特征具體為：

獲取網絡流量異常檢測樣本，計算所述網絡流量異常檢測樣本的信息熵以獲取所述網絡流量異常檢測樣本的數據點分布特征。

6.一種網絡流量異常檢測裝置，其特征在于，包括：

獲取模塊，用于獲取網絡流量異常檢測樣本以及所述網絡流量異常檢測樣本的數據點分布特征；其中，所述網絡流量異常檢測樣本包括網絡流量數據以及與所述網絡流量數據關聯的網絡行為特征；

聚類分析模塊，用于根據預設聚類分析算法對所述數據點分布特征進行聚類分析，將剔除聚類分析結果中的密集數據點之后的數據集作為初步異常檢測數據集；其中，所述預設聚類分析算法中為每個數據點增加一個referrer域，所述referrer域中存儲有指向信息以將所述數據點指向與所述數據點相距最近的最相鄰數據點；

離群分析模塊，用于根據預設離群分析算法獲取所述初步異常檢測數據集的第一離群點集以及離群點數，以及根據預設離群分析算法、所述離群點數以及預設離群分析算法的局部離群因子調整距離參數值以獲取所述初步異常檢測數據集的第二離群點集；

處理模塊，用于獲取所述第一離群點集與所述第二離群點集的交集作為網絡流量異常檢測結果。