[發明專利]異常網絡數據行為模型的獲取方法、裝置、電子設備及存儲介質

有效

• 申請號: 201910490636.1
• 申請日: 2019-06-06
• 公開（公告）號: CN110225025B
• 公開（公告）日: 2021-07-20
• 發明（設計）人: 姜龍;趙陽;魏向杰;肖豐佳;羅果
• 申請（專利權）人: 綠盟科技集團股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 黃志華

1.一種異常網絡數據行為模型的獲取方法，其特征在于，所述方法包括：

獲取第一網絡的第一混合網絡數據，第二網絡的第一類型網絡數據和第三網絡的第二混合網絡數據；其中，所述第一混合網絡數據為所述第一網絡中第一類型網絡數據和第二類型網絡數據的混合網絡數據，所述第二混合網絡數據為所述第三網絡中在所述第一類型網絡數據基礎上所述第二類型網絡數據從無到有再到無的變化過程的混合網絡數據；網絡數據包括多個netflow數據，所述netflow數據為基于四元組確定的數據信息，所述四元組包括源地址、目的地址、目的端口和網絡數據類型；其中，所述第一類型網絡數據為正常網絡數據，所述第二類型網絡數據為異常網絡數據；

根據所述第一混合網絡數據、所述第一類型網絡數據或所述第二混合網絡數據的多個netflow數據中流起始時間的先后順序和預設狀態標記規則，分別對所述第一混合網絡數據、所述第一類型網絡數據和所述第二混合網絡數據的屬性特征進行狀態標記，獲取相應的第一狀態鏈、第二狀態鏈和第三狀態鏈，所述屬性特征包括所述netflow數據的周期性、大小和持續時間，狀態鏈是所述具有相同四元組的多個netflow數據的狀態集合；

基于相同的目的端口和網絡數據類型，采用預設狀態鏈修改規則，對所述第一狀態鏈、所述第二狀態鏈和所述第三狀態鏈進行兩兩比對和狀態鏈修改，獲取異常狀態鏈；

將所述異常狀態鏈確定為異常網絡數據行為模型。

2.如權利要求1所述的方法，其特征在于，獲取相應的第一狀態鏈、第二狀態鏈和第三狀態鏈，包括：

對所述第一混合網絡數據、所述第一類型網絡數據和所述第二混合網絡數據進行netflow類型提取，分別獲取所述第一混合網絡數據、所述第一類型網絡數據和所述第二混合網絡數據中具有相同四元組的多個netflow數據；

在所述具有相同四元組的多個netflow數據中，根據預設狀態標記規則，對所述多個netflow數據中每個netflow數據的周期性、大小和持續時間進行狀態標記，得到所述netflow數據的狀態組合；

按照所述流起始時間的先后順序，將所述多個netflow數據的狀態組合構成所述第一混合網絡數據對應的第一狀態鏈、所述第一類型網絡數據對應的第二狀態鏈和所述第二混合網絡數據對應的第三狀態鏈；其中，所述netflow數據的大小是由netflow數據中總字節數字段的字節數確定的；所述netflow數據的持續時間是由netflow數據中流存在時間字段的流存在時間確定的；所述netflow數據的周期性是由netflow數據中相鄰三個netflow數據中流起始時間字段的流起始時間確定的。

3.如權利要求2所述的方法，其特征在于，得到所述netflow數據的狀態組合，包括：

根據預設狀態標記規則，對待標記的netflow數據的大小和周期性的關聯關系進行第一類標記，且對所述待標記的netflow數據的持續時間進行第二類標記，得到所述待標記的netflow數據的狀態組合，所述待標記的netflow數據為所述多個netflow數據中的任一netflow數據。

4.如權利要求2所述的方法，其特征在于，基于相同的目的端口和網絡數據類型，采用預設狀態鏈修改規則，對所述第一狀態鏈、所述第二狀態鏈和所述第三狀態鏈進行兩兩比對和狀態鏈修改，獲取異常狀態鏈，包括：

根據所述預設狀態鏈修改規則，對所述第一狀態鏈的狀態組合與所述第二狀態鏈的狀態組合進行相應比對，判斷所述第一狀態鏈與所述第二狀態鏈是否存在相同狀態組合；

若存在，則刪除所述第一狀態鏈中與所述第二狀態鏈存在相同狀態組合的第一狀態鏈，得到處理后的第一狀態鏈；

根據所述預設狀態鏈修改規則，對所述處理后的第一狀態鏈的狀態組合與所述第三狀態鏈的狀態組合進行相應比對，并按照所述第三狀態鏈的狀態組合對所述處理后的第一狀態鏈的狀態組合進行修改，得到所述異常狀態鏈。