[發明專利]基于網絡流結構特征融合的異常流量檢測方法及裝置

有效

• 申請號: 202110633083.8
• 申請日: 2021-06-07
• 公開（公告）號: CN113556317B
• 公開（公告）日: 2022-10-11
• 發明（設計）人: 喻民;劉超;杜富強;劉明奇;高世浩;姜建國;黃偉慶
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06K9/62
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王毅

1.一種基于網絡流結構特征融合的異常流量檢測方法，其特征在于，包括：

獲取待檢測的網絡流；

將所述待檢測的網絡流輸入至預設的預判器，得到與所述待檢測的網絡流對應的判斷結果；

若與所述待檢測的網絡流對應的判斷結果為所述待檢測的網絡流能夠僅依靠網絡流結構特征進行檢測，則將所述待檢測的網絡流輸入至預設的網絡流結構特征檢測器進行所述待檢測的網絡流的檢測，并確定異常網絡流量檢測結果；

若與所述待檢測的網絡流對應的判斷結果為所述待檢測的網絡流不能夠僅依靠網絡流結構特征進行檢測，則將所述待檢測的網絡流輸入至預設的全特征檢測器進行所述待檢測的網絡流的檢測，并確定異常網絡流量檢測結果；所述預設的全特征檢測器為基于網絡流特征和網絡流結構特征構建的檢測器；

所述網絡流的網絡流結構特征采用源節點和目的節點分別在網絡通信圖中的出度與入度組成的四維向量來表示，且使用過去一段時間網絡流形成的網絡結構，來表示當前時刻網絡流結構。

2.根據權利要求1所述的基于網絡流結構特征融合的異常流量檢測方法，其特征在于，所述預設的網絡流結構特征檢測器，包括：

獲取數據集的網絡流特征；所述網絡流特征包括網絡流的標識特征和統計特征；

基于所述網絡流的標識特征提取網絡流的結構特征；

基于所述網絡流的結構特征采用KNN分類算法構建預設的網絡流結構特征檢測器。

3.根據權利要求1所述的基于網絡流結構特征融合的異常流量檢測方法，其特征在于，所述預設的全特征檢測器，包括：

獲取數據集的網絡流特征；所述網絡流特征包括網絡流的標識特征和統計特征；

基于所述網絡流的標識特征提取網絡流的結構特征；

基于所述網絡流的結構特征和所述網絡流特征組成全特征向量；

基于所述全特征向量采用KNN分類算法構建預設的全特征檢測器。

4.根據權利要求2或3所述的基于網絡流結構特征融合的異常流量檢測方法，其特征在于，所述網絡流的標識特征包括源節點的IP地址、目的節點的IP地址、時間戳、源端口和目的端口。

5.根據權利要求1所述的基于網絡流結構特征融合的異常流量檢測方法，其特征在于，所述預設的預判器，包括：

使用預設的網絡流結構特征檢測器和預設的全特征檢測器的測試結果構建數據集；

基于所述數據集采用KNN分類算法構建預設的預判器；

若所述預設的預判器輸出結果為0，則表示輸入的網絡流能夠僅依靠網絡流結構特征進行檢測；

若所述預設的預判器輸出結果為1，則表示輸入的網絡流不能夠僅依靠網絡流結構特征進行檢測。

6.一種基于網絡流結構特征融合的異常流量檢測裝置，其特征在于，包括：

獲取模塊，用于獲取待檢測的網絡流；

預判模塊，用于將所述待檢測的網絡流輸入至預設的預判器，得到與所述待檢測的網絡流對應的判斷結果；

檢測模塊，用于若與所述待檢測的網絡流對應的判斷結果為所述待檢測的網絡流能夠僅依靠網絡流結構特征進行檢測，則將所述待檢測的網絡流輸入至預設的網絡流結構特征檢測器進行所述待檢測的網絡流的檢測，并確定異常網絡流量檢測結果；若與所述待檢測的網絡流對應的判斷結果為所述待檢測的網絡流不能夠僅依靠網絡流結構特征進行檢測，則將所述待檢測的網絡流輸入至預設的全特征檢測器進行所述待檢測的網絡流的檢測，并確定異常網絡流量檢測結果；所述預設的全特征檢測器為基于網絡流特征和網絡流結構特征構建的檢測器；

所述網絡流的網絡流結構特征采用源節點和目的節點分別在網絡通信圖中的出度與入度組成的四維向量來表示，且使用過去一段時間網絡流形成的網絡結構，來表示當前時刻網絡流結構。