[發明專利]一種異常流量檢測方法及裝置

有效

• 申請號: 201910047109.3
• 申請日: 2019-01-18
• 公開（公告）號: CN109495521B
• 公開（公告）日: 2021-06-04
• 發明（設計）人: 趙志偉
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙) 11413
• 代理人: 丁蕓;項京

1.一種異常流量檢測方法，其特征在于，所述方法包括：

獲取待檢測流量的流量特征信息；

將所述流量特征信息與常用流量特征信息集合進行匹配；

若未匹配上，則將所述流量特征信息與預設端口協議映射表進行匹配，所述預設端口協議映射表包括預設的端口信息和協議信息之間的映射關系；

基于所述流量特征信息與所述預設端口協議映射表的匹配結果，判斷所述待檢測流量是否為異常流量；

其中，在所述將所述流量特征信息與常用流量特征信息集合進行匹配之前，所述方法還包括：

判斷預設主機運維信息庫中是否存在接收所述待檢測流量的目標主機的運維配置信息；

若所述預設主機運維信息庫中存在所述目標主機的運維配置信息，則判斷所述目標主機的運維配置信息中是否存在與所述流量特征信息相匹配的運維配置信息；若不存在，則確定所述待檢測流量為異常流量；

若所述預設主機運維信息庫中不存在所述目標主機的運維配置信息，則執行所述將所述流量特征信息與常用流量特征信息集合進行匹配的步驟。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

基于所述目標主機在預設時長內接收到的各正常流量的流量日志，分別提取出所述各正常流量的流量特征信息，建立常用流量特征信息集合；

基于所述常用流量特征信息集合，更新所述目標主機的運維配置信息。

3.根據權利要求1、2任一項所述的方法，其特征在于，所述預設端口協議映射表包括預設的端口協議應用映射表，或者，預設的高危端口表；所述端口協議應用映射表包括目標主機開放的端口信息、協議信息和應用類型信息之間的映射關系；所述高危端口表包括所述目標主機易受攻擊的端口信息和協議信息之間的映射關系；

所述將所述流量特征信息與預設端口協議映射表進行匹配，包括：

判斷所述端口協議應用映射表中是否存在與所述流量特征信息相匹配的表項，所述流量特征信息包括端口信息、協議信息和應用類型信息；或者，

判斷所述高危端口表中是否存在與所述流量特征信息相匹配的表項，所述流量特征信息包括端口信息和協議信息；

所述基于所述流量特征信息與所述預設端口協議映射表的匹配結果，判斷所述待檢測流量是否為異常流量，包括：

若所述端口協議應用映射表中不存在與所述流量特征信息包括的端口信息、協議信息和應用類型信息相匹配的表項，則確定所述待檢測流量為異常流量；或者，

若所述高危端口表中存在與所述流量特征信息包括的端口信息和協議信息相匹配的表項，則確定所述待檢測流量為異常流量。

4.根據權利要求1、2任一項所述的方法，其特征在于，所述預設端口協議映射表包括預設的端口協議應用映射表及預設的高危端口表；所述端口協議應用映射表包括目標主機開放的端口信息、協議信息和應用類型信息之間的映射關系，所述高危端口表包括所述目標主機易受攻擊的端口信息和協議信息之間的映射關系；

所述將所述流量特征信息與預設端口協議映射表進行匹配，包括：

判斷所述端口協議應用映射表中是否存在與所述流量特征信息相匹配的表項，所述流量特征信息包括端口信息、協議信息和應用類型信息；

判斷所述高危端口表中是否存在與所述流量特征信息相匹配的表項，所述流量特征信息包括端口信息和協議信息；

所述基于所述流量特征信息與所述預設端口協議映射表的匹配結果，判斷所述待檢測流量是否為異常流量，包括：

若所述端口協議應用映射表中不存在與所述流量特征信息包括的端口信息和協議信息相匹配的表項，則分配第一權值；

若所述端口協議應用映射表中存在與所述流量特征信息包括的端口信息和協議信息相匹配的表項，則判斷所述端口協議應用映射表中與所匹配的端口信息和協議信息對應的應用類型信息是否與所述流量特征信息包括的應用類型信息相匹配；

若不匹配，則分配第二權值；

若所述高危端口表中存在與所述待檢測流量的端口信息和協議信息相匹配的表項，則分配第三權值；

將所述第一權值、所述第二權值及所述第三權值進行累加，判斷累加結果是否大于預設閾值；

若大于，則確定所述待檢測流量為異常流量。