[發明專利]一種網絡流量異常檢測和分析方法及裝置

有效

• 申請號: 202111339663.2
• 申請日: 2021-11-12
• 公開（公告）號: CN114124492B
• 公開（公告）日: 2023-07-25
• 發明（設計）人: 盧云揚
• 申請（專利權）人: 中盈優創資訊科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/0631;H04L41/14
• 代理公司: 上海嘉藍專利代理事務所(普通合伙) 31407
• 代理人: 金波

1.一種網絡流量異常檢測和分析方法，其特征在于，該方法包括：

建立BGP-LS采集通道，監控鏈路狀態變化；

建立SNMP或Telemetry采集通道，監控鏈路流量變化；

采集到現網流量信息后，根據系統配置的流量告警閾值，先判斷是否存在異常流量，再生成實時流量告警并觸發網絡流量調度，同時將采集到的現網流量信息同步發送給大數據平臺；

對異常流量進行溯源分析時，根據大數據平臺上訓練好的時序預測模型，生成預測的流量變化基線，與當前采集的實際流量進行對比計算，對異常流量進行進一步的分析，包括：

大數據平臺利用采集到現網流量信息訓練現有的時序預測模型；

對異常流量進行溯源分析時，根據訓練好的時序預測模型生成預測的流量變化基線，若當前采集的實際流量與預測的流量變化基線的差異小于指定的百分比，則認為是正常擁塞，由流量調度系統自行處理即可，否則認為是未知原因擁塞，嘗試關聯網絡異常的告警事件；

對于無法關聯到網絡異常的告警事件，則啟動NetFlow分析診斷，對網絡流量成分進行分析，將異常的網絡流量成分和正常的網絡流量成分的占比進行比較，判斷流量變化是整體出現等比例流量變化還是特定對象出現流量變化，若是特定對象出現流量變化，則找到占比出現顯著變化的對象，進而判斷流量變化位置以及原因。

2.根據權利要求1所述的網絡流量異常檢測和分析方法，其特征在于，采集到現網流量信息后，根據系統配置的流量告警閾值，先判斷是否存在異常流量，再生成實時流量告警并觸發網絡流量調度，包括：

采集到現網納管設備上各端口的流量，通過計算每條鏈路上實時流量和可用帶寬的比例確定當前利用率；

根據系統配置的流量告警閾值和流量監控鏈路范圍，當流量監控鏈路范圍內鏈路的當前利用率超過流量告警閾值時，觸發流量擁塞告警，并通知流量調度系統。

3.一種網絡流量異常檢測和分析裝置，其特征在于，該裝置包括：

鏈路狀態監控模塊，用于建立BGP-LS采集通道，監控鏈路狀態變化；

鏈路流量監控模塊，用于建立SNMP或Telemetry采集通道，監控鏈路流量變化；

實時流量分析模塊，用于采集到現網流量信息后，根據系統配置的流量告警閾值，先判斷是否存在異常流量，再生成實時流量告警并觸發網絡流量調度，同時將采集到的現網流量信息同步發送給大數據平臺；

異常流量溯源分析模塊，用于對異常流量進行溯源分析時，根據大數據平臺上訓練好的時序預測模型，生成預測的流量變化基線，與當前采集的實際流量進行對比計算，對異常流量進行進一步的分析，包括：

大數據平臺利用采集到現網流量信息訓練現有的時序預測模型；

對異常流量進行溯源分析時，根據訓練好的時序預測模型生成預測的流量變化基線，若當前采集的實際流量與預測的流量變化基線的差異小于指定的百分比，則認為是正常擁塞，由流量調度系統自行處理即可，否則認為是未知原因擁塞，嘗試關聯網絡異常的告警事件；

對于無法關聯到網絡異常的告警事件，則啟動NetFlow分析診斷，對網絡流量成分進行分析，將異常的網絡流量成分和正常的網絡流量成分的占比進行比較，判斷流量變化是整體出現等比例流量變化還是特定對象出現流量變化，若是特定對象出現流量變化，則找到占比出現顯著變化的對象，進而判斷流量變化位置以及原因。

4.根據權利要求3所述的網絡流量異常檢測和分析裝置，其特征在于，采集到現網流量信息后，根據系統配置的流量告警閾值，先判斷是否存在異常流量，再生成實時流量告警并觸發網絡流量調度，包括：

采集到現網納管設備上各端口的流量，通過計算每條鏈路上實時流量和可用帶寬的比例確定當前利用率；

根據系統配置的流量告警閾值和流量監控鏈路范圍，當流量監控鏈路范圍內鏈路的當前利用率超過流量告警閾值時，觸發流量擁塞告警，并通知流量調度系統。

5.一種計算機設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述計算機程序時實現權利要求1-2任一項所述方法。

6.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有執行權利要求1-2任一項所述方法的計算機程序。