[發明專利]智能流量基線學習方法、設備和計算機可讀存儲介質

在審

• 申請號: 202011212619.0
• 申請日: 2020-11-03
• 公開（公告）號: CN112333045A
• 公開（公告）日: 2021-02-05
• 發明（設計）人: 郭嫻;楊佳寧;陳柯宇;楊立寶;樊佳訊;李瑩
• 申請（專利權）人: 國家工業信息安全發展研究中心
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京中濟緯天專利代理有限公司 11429
• 代理人: 張瑩

本發明提出了一種智能流量基線學習方法、設備和計算機可讀存儲介質，方法包括以下步驟：從現有流量中識別出鏈路；檢測每一條所述鏈路的鏈路流量I_L；確定每一條所述鏈路的流量基線I_M；對于任意一條所述鏈路，若該鏈路的鏈路流量I_L超過判斷值Q，且持續時間超過設定時間，則判定該鏈路違反流量基線；若任意一條所述鏈路被判定為違反流量基線，則檢測到攻擊，啟動告警；其中，Q＝I_M～1.05*I_M。本發明提供的智能流量基線學習方法、設備和計算機可讀存儲介質，可實現對通訊流量實時監控，精準、快速地識別DoS類攻擊。

技術領域

本發明涉及數據傳輸技術領域，具體而言，涉及一種智能流量基線學習方法、設備和計算機可讀存儲介質。

背景技術

本發明對于背景技術的描述屬于與本發明相關的相關技術，僅僅是用于說明和便于理解本發明的發明內容，不應理解為申請人明確認為或推定申請人認為是本發明在首次提出申請的申請日的現有技術。

在工控環境中，業務流都是采用周期輪詢機制，一條鏈路的流量大小基本固定在某個正常的范圍內，如果流量突然大幅度增加，則可能發生了DoS類攻擊，更為具體地，發生了計算機網絡寬帶攻擊或連通性攻擊。現有技術無法對上述攻擊進行精準、快速地識別。

為了實現精準、快速地識別上述攻擊，本發明提出了一種智能流量基線學習方法、設備和計算機可讀存儲介質，可實現對通訊流量實時監控，精準、快速地識別DoS類攻擊。

發明內容

本發明提供了一種智能流量基線學習方法、設備和計算機可讀存儲介質，可實現對通訊流量實時監控，精準、快速地識別DoS類攻擊。

本發明第一方面的實施例提供了一種智能流量基線學習方法，包括以下步驟：從現有流量中識別出鏈路；檢測每一條鏈路的鏈路流量I_L；確定每一條鏈路的流量基線I_M；對于任意一條鏈路，若該鏈路的鏈路流量I_L超過判斷值Q，且持續時間超過設定時間，則判定該鏈路違反流量基線；若任意一條鏈路被判定為違反流量基線，則檢測到攻擊，啟動告警；其中，Q＝I_M～1.05*I_M。

優選地，鏈路流量I_L為一個通訊會話中的服務端和客戶端之間的通訊流量，通訊流量包括服務端到客戶端的流量、客戶端到服務端的流量、服務端到客戶端的流量與客戶端到服務端的流量之和。

優選地，流量基線I_M為正常通訊情況下鏈路的鏈路流量的閾值，任意一條鏈路的流量基線為服務端到客戶端的流量的閾值、客戶端到服務端的流量的閾值、或服務端到客戶端的流量與客戶端到服務端的流量之和的閾值。

優選地，檢測每一條鏈路的鏈路流量I_L中，鏈路流量I_L為一個通訊會話中服務端到客戶端的流量與客戶端到服務端的流量之和；

確定每一條鏈路的流量基線I_M中，流量基線I_M為正常通訊情況下該鏈路的服務端到客戶端的流量與客戶端到服務端的流量之和的閾值；對于任意一條鏈路，若該鏈路的鏈路流量I_L超過判斷值Q，且持續時間超過設定時間，則判定該鏈路違反流量基線；其中，Q＝1.02*I_M～1.05*I_M。

優選地，在正常通訊情況下，鏈路的鏈路流量I_L為正常鏈路流量，正常鏈路流量的屬性包括，服務端和客戶端的ip地址、服務端和客戶端的MAC地址、服務端和客戶端之間的通訊協議、鏈路的流量基線。