[發明專利]網絡異常確定方法、設備及存儲介質

有效

• 申請號: 202011247194.7
• 申請日: 2020-11-10
• 公開（公告）號: CN112448947B
• 公開（公告）日: 2022-10-28
• 發明（設計）人: 白巖;李拓
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L43/08;H04L43/12;H04L41/14
• 代理公司: 北京英特普羅知識產權代理有限公司 11015
• 代理人: 程超

1.一種網絡異常確定方法，其特征在于，包括：

獲取網絡流量數據；

按照所述網絡流量數據對應的時間段將所述網絡流量數據劃分為多組子數據；

提取各組子數據的多個維度的特征；

對各組子數據，分別計算所述多個維度的特征中每個維度的特征對應的一組信息熵；

對各組子數據，將各特征的一組信息熵中的各信息熵與預先建立的與該特征對應的信息熵基線的數據范圍進行比較；

計算未在所述數據范圍內的目標信息熵與所述一組信息熵中與該目標信息熵之間的差值最小的信息熵之間的差值；

根據所述各特征對應的所述差值計算所述各特征對應的風險指數；

根據所述各特征對應的風險指數確定網絡是否存在異常。

2.根據權利要求1所述的方法，其特征在于，所述特征至少包括以下任意三種：

操作系統指紋、查詢報文中的設備標識字段、查詢報文中的功能碼字段、查詢報文中的數據包長度、應答報文中的設備標識字段、應答報文中的功能碼字段以及應答報文的數據包長度。

3.根據權利要求1所述的方法，其特征在于，通過如下公式計算所述各特征對應的風險指數：

其中，Score(x)表示特征對應的風險指數，x表示所述差值，δ為預設門限值，n為預設大于1的實數，k為權重系數，k是大于1的整數。

4.根據權利要求3所述的方法，其特征在于，根據所述各特征對應的風險指數確定網絡是否存在異常，包括：

根據所述各特征對應的風險指數計算綜合風險指數；

根據所述綜合風險指數確定網絡是否存在異常；

其中，所述綜合風險指數通過如下公式計算得到：

其中，Score_i表示特征i對應的風險指數，m表示參與運算的特征的個數。

5.根據權利要求4所述的方法，其特征在于，根據所述各特征對應的風險指數確定網絡是否存在異常，包括：

若計算得到的任一所述特征對應的風險指數大于第一預設值，確定網絡存在異常；

或者，若計算得到的綜合風險指數大于第二預設值，確定網絡存在異常，其中，所述第一預設值大于所述第二預設值。

6.根據權利要求1所述的方法，其特征在于，提取所述各組子數據的多個維度的特征，包括：

對各組子數據，根據Modbus協議的特征識別Modbus協議；

對Modbus協議的查詢報文和應答報文進行配對；

解析并提取Modbus協議的查詢報文和應答報文中的關鍵字段和特征。

7.根據權利要求6所述的方法，其特征在于，提取所述各組子數據的多個維度的特征，還包括：

根據在傳輸控制協議TCP握手過程中的TCP包頭信息識別操作系統的類型；

根據媒體存取控制位址MAC地址識別網卡廠商信息；

根據Modbus應用層數據特征識別設備廠商信息；

將所述操作系統類型、所述網卡廠商信息、以及所述設備廠商信息進行哈希運算，得到哈希值。

8.根據權利要求1所述的方法，其特征在于，所述方法還包括：

獲取網絡流量樣本數據；

按照所述網絡流量樣本數據對應的時間段將所述網絡流量樣本數據劃分為多組子樣本數據；

對每組子樣本數據，分別建立所述多個維度的特征中每個維度的特征對應的信息熵基線。

9.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現如權利要求1至8任一項所述的網絡異常確定方法。

10.一種非暫態計算機可讀存儲介質，其特征在于，所述非暫態計算機可讀存儲介質存儲計算機指令，所述計算機指令用于使所述計算機執行權利要求1至8任一項所述的網絡異常確定方法。