[發明專利]流量數據的檢測方法及相關設備

有效

• 申請號: 202011009283.8
• 申請日: 2020-09-23
• 公開（公告）號: CN112153044B
• 公開（公告）日: 2021-11-12
• 發明（設計）人: 陳嘉豪;郭豪;宜娜;張融
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市隆天聯鼎知識產權代理有限公司 44232
• 代理人: 葉虹

1.一種流量數據的檢測方法，其特征在于，包括：

獲取第一時長內的目標流量數據，所述目標流量數據包括目標源地址、目標目的地址、源端口號和時間戳；

根據所述目標流量數據中的時間戳和源端口號，獲得所述第一時長內各預設時間段內所述目標源地址和所述目標目的地址的源端口特征值；

獲得所述目標流量數據的特征數據時間序列，所述特征數據時間序列包括按序排列的各預設時間段對應的源端口特征值，其中所述源端口特征值表示在同一目標源地址和目標目的地址對下，源端口號在每個預設時間段內的變化數量；

對所述特征數據時間序列進行異常檢測，獲得所述目標流量數據中的異常流量數據，所述異常流量數據包括所述目標源地址中的可疑目標源地址；

其中，對所述特征數據時間序列進行異常檢測，獲得所述目標流量數據中的異常流量數據，包括：

將所述特征數據時間序列進行分解，獲得所述特征數據時間序列的周期分量、趨勢分量和余項分量，將所述特征數據時間序列的中位數作為第一中位數，用所述第一中位數替換所述特征數據時間序列的趨勢分量，其中所述周期分量表示所述特征數據時間序列的周期性特征；

根據所述特征數據時間序列、所述特征數據時間序列的周期分量和所述第一中位數，得到所述特征數據時間序列對應的余項時間序列，所述余項時間序列中包括源端口特征值對應的余項源端口特征值，對所述余項時間序列進行檢測，獲得所述余項源端口特征值中的異常余項源端口特征值；

獲取所述余項時間序列的中位數和絕對中位差，根據對應余項時間序列的中位數和絕對中位差，計算對應余項時間序列的偏離殘差值，將所述余項時間序列的偏離殘差值中最大的偏離殘差值作為對應余項時間序列的檢驗統計量，其中所述偏離殘差值表示所述余項時間序列中的各數據與所述余項時間序列的中位數的差的絕對值與所述余項時間序列的絕對中位差的比值；

比較對應余項時間序列的檢驗統計量和臨界值的大小，若對應余項時間序列的檢驗統計量大于所述臨界值，則將對應余項時間序列的檢驗統計量對應的余項源端口特征值作為異常余項源端口特征值。

2.根據權利要求1所述的方法，其特征在于，所述余項時間序列包括第一余項時間序列；其中，根據所述特征數據時間序列、所述特征數據時間序列的周期分量和所述第一中位數，得到所述特征數據時間序列對應的余項時間序列，包括：

根據所述特征數據時間序列、所述周期分量和所述第一中位數，獲得所述第一余項時間序列，所述第一余項時間序列包括各源端口特征值對應的余項源端口特征值，其中所述余項源端口特征值表示在所述第一余項時間序列中與各源端口特征值對應的特征值；

其中，對所述余項時間序列進行檢測，獲得所述余項源端口特征值中的異常余項源端口特征值，包括：

從所述第一余項時間序列檢測獲得所述余項源端口特征值中的異常余項源端口特征值；

確定所述異常余項源端口特征值對應的目標源地址為所述第一時長內的可疑目標源地址。

3.根據權利要求2所述的方法，其特征在于，所述異常余項源端口特征值包括第一異常余項源端口特征值；其中，檢測獲得所述第一余項時間序列中的異常余項源端口特征值，包括：

根據所述第一余項時間序列的第一數量和異常點閾值，確定第一臨界值；

獲得所述第一余項時間序列的第二中位數和第一絕對中位差，確定所述第一余項時間序列的第一偏離殘差值，其中所述第一偏離殘差值表示所述第一余項時間序列中的各數據與所述第一余項時間序列的中位數的差的絕對值與所述第一余項時間序列的絕對中位差的比值；

將所述第一偏離殘差值的最大值確定為第一檢驗統計量；

若所述第一檢驗統計量大于所述第一臨界值，則將所述第一檢驗統計量對應的余項源端口特征值確定為所述第一異常余項源端口特征值。