[發明專利]異常流量的分離過濾方法、系統、存儲介質及電子設備

有效

• 申請號: 202110892512.3
• 申請日: 2021-08-04
• 公開（公告）號: CN113596050B
• 公開（公告）日: 2023-06-30
• 發明（設計）人: 郭旗;龔海澎;王庭宇;賈錦輝
• 申請（專利權）人: 四川英得賽克科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/30
• 代理公司: 北京輕創知識產權代理有限公司 11212
• 代理人: 翟磊

本發明涉及數據處理領域，尤其涉及一種異常流量的分離過濾方法、系統、存儲介質及電子設備。該方法包括：根據讀取熱配置文件中過濾后網絡流量速度判定是否進行首次流量過濾；若判定結果為進行首次流量過濾，則，獲取異常流量統計時間窗口，并統計所述異常流量統計時間窗口內的第一單包信息集；對所述第一單包信息集進行處理，得到第一會話字典，對所述第一會話字典進行聚類計算，得到異常會話集；根據所述異常會話集設置第一抓包過濾條件，完成抓包過濾后，獲取抓包過濾后的第一實時網絡流量速度，根據所述第一實時網絡流量速度完成熱配置文件的更新。本發明能夠達到盡可能抓取更多的網絡數據包而不丟包，提高系統運行的穩定性的效果。

技術領域

本發明涉及數據處理領域，尤其涉及一種異常流量的分離過濾方法、系統、存儲介質及電子設備。

背景技術

目前在工業控制的網絡環境中，遇見流量突然異常增大的場景，通常的處理方式是通過人工分析定位到造成流量異常的具體網絡會話，并將其加入黑名單，或者是通過程序分析出流量異常的會話并將其加入黑名單。然后利用防火墻將黑名單中的會話過濾掉，如果流量異常的會話發現的頻率較高，需要頻繁地更新黑名單并重啟防火墻，費時費力且無法滿足及時過濾異常流量會話的需求。

發明內容

本發明所要解決的技術問題是提供一種異常流量的分離過濾方法、系統、存儲介質及電子設備。

本發明解決上述技術問題的技術方案如下：一種異常流量的分離過濾方法，包括：

步驟1，根據讀取熱配置文件中過濾后網絡流量速度判定是否進行首次流量過濾；

步驟2，若判定結果為進行首次流量過濾，則，獲取異常流量統計時間窗口，并統計所述異常流量統計時間窗口內的第一單包信息集；

步驟3，對所述第一單包信息集進行處理，得到第一會話字典，對所述第一會話字典進行聚類計算，得到異常會話集；

步驟4，根據所述異常會話集設置第一抓包過濾條件，完成抓包過濾后，獲取抓包過濾后的第一實時網絡流量速度，根據所述第一實時網絡流量速度完成熱配置文件的更新。

本發明的有益效果是：通過上述方法可以自動監測設備流量大小以及網絡包處理能力，在設備流量過大且網絡包處理不過來時自動進行過濾，在設備流量正常且網絡包處理正常時自動恢復正常，從而保證盡可能抓取更多的網絡數據包而不丟包，提高系統運行的穩定性。

在上述技術方案的基礎上，本發明還可以做如下改進。

進一步，步驟1具體為：

讀取熱配置文件中的過濾后網絡流量速度，判斷所述過濾后網絡流量速度是否為0，若不為0，則，進行第n次流量過濾，若為0，則，進行所述首次流量過濾，其中，n≥2。

進一步，步驟1之前還包括：

實時獲取設備的網絡流量速度以及待處理網絡包個數，并判斷是否需要進行過濾，判定方法包括：判斷實時網絡流量速度是否超過處理流量閾值以及待處理網絡包個數是否超過處理網絡包個數閾值，若二者均超過所述閾值，則判定為需要進行過濾；

或根據是否收到網絡包預處理進程發送的過濾通知判定是否進行過濾，若收到通知，則判定為需要進行過濾。

進一步，步驟3具體為：

將所述第一單包信息集的信息進行統計，得到第一會話字典，對所述第一會話字典進行聚類計算，得到異常會話集；其中，所述第一會話字典包括m個會話，每個會話由一個鍵值對key-value組成，其中，key為四元組，所述四元組包括：源IP地址、目的IP地址、源端口以及目的端口，value為在所述第一單包信息集中所有四元組的字節數和所有四元組的包數進行合并之后的值。

進一步，步驟4具體為：