[發明專利]一種基于智能終端的異常流量分析方法及裝置

在審

• 申請號: 202011112621.0
• 申請日: 2020-10-16
• 公開（公告）號: CN112291213A
• 公開（公告）日: 2021-01-29
• 發明（設計）人: 姚熙;何鑫鑫;王迷濤
• 申請（專利權）人: 北京方研矩行科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京萬思博知識產權代理有限公司 11694
• 代理人: 姜楠楠

1.一種基于智能終端的異常流量分析方法，其特征在于，包括：

收集物聯網設備的流量數據；

對所述流量數據進行處理得到預測數據集；

利用預設流量分析模型對所述預測數據集進行分析，確定所述流量數據是否存在異常；

當確定所述流量數據存在異常時，根據所述流量數據對應的惡意控制端信息確定惡意網絡流量拓撲圖。

2.根據權利要求1所述的方法，其特征在于，預設流量分析模型的獲取方式包括：

通過在設備端安裝agent的方式，實時或定時向云端服務器上報流量數據；

云端服務器收集設備正常運行狀態下的流量數據和受惡意控制后發起DDoS攻擊狀態下的流量數據；

對收集到的流量數據，記錄所述流量數據所屬的類別；

分別對正常運行狀態下的流量數據和受惡意控制后發起DDoS攻擊狀態下的流量數據進行處理，完成特征提取，得到特征數據集；

對所述特征數據集進行拆分得到訓練集和測試集；

使用所述訓練集和所述測試集對流量分析模型進行訓練和驗證得到預設流量分析模型。

3.根據權利要求2所述的方法，其特征在于，對正常運行狀態下的流量數據和受惡意控制后發起DDoS攻擊狀態下的流量數據進行處理包括：

對收集到的正常運行狀態下的流量數據和受惡意控制后發起DDoS攻擊狀態下的流量數據進行清洗；

對清洗后的流量數據進行格式轉換，轉換為每個流量包的描述數據；

對轉換后的描述數據按照預設維度進行匯聚。

4.根據權利要求2所述的方法，其特征在于，使用所述特征數據對流量分析模型進行訓練和驗證得到預設流量分析模型包括：

利用訓練集的特征數據對流量分析模型進行訓練；并記錄流量分析模型的各項評估指標；

根據評估指標優劣調整流量分析模型的參數獲得測試測試流量分析模型；

使用測試集的特征數據對所述測試流量分析模型進行驗證；

若測試流量分析模型的各項評估指標達到期望值，則將所述測試流量分析模型作為預設流量分析模型；否則，重新調整流量分析模型的算法及其參數，得到各項評估指標達到期望值的預設流量分析模型。

5.根據權利要求2所述的方法，其特征在于，還包括：當確定所述流量數據存在異常時，發出告警。

6.根據權利要求1所述的方法，其特征在于，根據所述流量數據對應的惡意控制端信息確定惡意網絡流量拓撲圖包括：

對收集到的攻擊數據算法分析得到惡意控制端ip和攻擊目標ip；

通過ip白名單對分析得到的惡意控制端ip和攻擊目標ip數據進行確認與優化；

統計得到設備與惡意控制端ip、攻擊目標ip的流量交互過程中的參數及攻擊類型，繪制惡意網絡流量拓撲圖；

所述流量交互過程中的參數包括以下的的一項或者多項：

數據包種類、流量大小、攻擊開始時間與攻擊結束時間。

7.一種基于智能終端的異常流量分析裝置，其特征在于，包括：

搜集模塊，設置為收集物聯網設備的流量數據；

處理模塊，設置為對所述流量數據進行處理得到預測數據集；

分析模塊，設置為利用預設流量分析模型對所述預測數據集進行分析，確定所述流量數據是否存在異常；

拓撲模塊，設置為當確定所述流量數據存在異常時，根據所述流量數據對應的惡意控制端信息確定惡意網絡流量拓撲圖。