[發明專利]一種檢測異常流量外連的方法、裝置、設備及存儲介質

有效

• 申請號: 202011284730.0
• 申請日: 2020-11-17
• 公開（公告）號: CN112422554B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 柏瓊濤;范淵;劉博
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 張春輝

1.一種檢測異常流量外連的方法，其特征在于，包括：

確定需要實現異常流量外連檢測的主機為待檢測主機；

利用多種預先設定的檢測方法對所述待檢測主機進行檢測，得到相應的多個檢測結果，所述多種預先設定的檢測方法包括流量檢測方法、位置檢測方法、情報庫檢測方法、行為檢測方法和會話檢測方法中的任意幾種；

如果表示所述待檢測主機存在異常流量外連的檢測結果的數量大于預設數量，則確定所述待檢測主機存在異常流量外連，否則，確定所述待檢測主機不存在異常流量外連；

利用所述流量檢測方法對所述待檢測主機進行檢測得到相應的檢測結果，包括：

獲取距離當前時刻最近的第一預設時間段內所述待檢測主機的流入數據量及流出數據量，將所述流入數據量及所述流出數據量相加得到數據量和值，如果所述流出數據量占所述數據量和值的比值大于預設比值，和/或所述流出數據量大于第一數據量，則得到表示所述待檢測主機存在異常流量外連的檢測結果，否則，得到表示所述待檢測主機不存在異常流量外連的檢測結果；

利用所述位置檢測方法對所述待檢測主機進行檢測得到相應的檢測結果，包括：

獲取所述待檢測主機的流出數據量所流向的設備所在物理位置為目的位置，如果在距離當前時刻最近的第二預設時間段內，所述待檢測主機流向所述目的位置的流出數據量持續大于第二數據量，則得到表示所述待檢測主機存在異常流量外連的檢測結果，否則，得到表示所述待檢測主機不存在異常流量外連的檢測結果。

2.根據權利要求1所述的方法，其特征在于，所述檢測方法包括情報庫檢測方法，利用所述情報庫檢測方法對所述待檢測主機進行檢測得到相應的檢測結果，包括：

獲取所述待檢測主機的流出數據量所流向的設備的地址為目的地址，將所述目的地址與預先設置的情報庫中各地址進行比對，如果所述情報庫中存在與所述目的地址相同的地址，則得到表示所述待檢測主機存在異常流量外連的檢測結果，否則，得到表示所述待檢測主機不存在異常流量外連的檢測結果；其中，所述情報庫中各地址為連接相應主機后使得所連接的主機發生異常流量外連的設備的地址。

3.根據權利要求2所述的方法，其特征在于，所述檢測方法包括行為檢測方法，利用所述行為檢測方法對所述待檢測主機進行檢測得到相應的檢測結果，包括：

獲取所述待檢測主機當前的行為特征為目的行為特征，并將所述目的行為特征與特征庫中各行為特征進行比對，如果所述特征庫中存在與所述目的行為特征相同的行為特征，則得到表示所述待檢測主機不存在異常流量外連的檢測結果，否則，得到表示所述待檢測主機存在異常流量外連的檢測結果；其中，所述特征庫中行為特征為所述待檢測主機正常情況下的行為特征。

4.根據權利要求3所述的方法，其特征在于，所述檢測方法包括會話檢測方法，利用所述會話檢測方法對所述待檢測主機進行檢測得到相應的檢測結果，包括：

監測所述待檢測主機對應的各項會話，如果所述待測主機對應的會話符合預先設定的異常條件，則得到表示所述待檢測主機存在異常流量外連的檢測結果，否則，得到表示所述待檢測主機不存在異常流量外連的檢測結果；其中，所述異常條件為所述待檢測主機存在異常流量外連時其具有的會話所體現的特征。