[發(fā)明專利]異常流量檢測方法、裝置、存儲介質以及電子設備

在審

• 申請?zhí)枺?/td>: 202111370704.4
• 申請日: 2021-11-18
• 公開（公告）號: CN114143049A
• 公開（公告）日: 2022-03-04
• 發(fā)明（設計）人: 楊康;王碩;姜娜;孫澤懿
• 申請（專利權）人: 北京明略軟件系統(tǒng)有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/36;G06N3/04
• 代理公司: 北京華夏泰和知識產權代理有限公司 11662
• 代理人: 杜欣

本發(fā)明公開了一種異常流量檢測方法、裝置、存儲介質以及電子設備。該方法包括：獲取用戶目標時間段內的網站訪問數據；篩選網站訪問數據，得到篩選數據，其中篩選數據包括用戶的id字段，網站ip地址，id字段訪問網站ip地址的訪問時間和訪問次數，id字段為用戶的ip地址；根據篩選數據構建id字段的訪問知識圖譜；利用目標神經網絡模型識別訪問知識圖譜的特征，得到id字段在目標時間段內訪問網站ip地址所產生的流量是正常流量或異常流量的目標結果。本發(fā)明解決了無法有效通過一條異常流量捕捉整個異常流量簇的技術問題。

技術領域

本發(fā)明涉及計算機領域，具體而言，涉及一種異常流量檢測方法、裝置、存儲介質以及電子設備。

背景技術

現有技術中，在檢測異常流量時，可以采用對大量的異常流量進行分類和規(guī)則歸納，然后通過規(guī)則去檢索符合規(guī)則的異常流量的方式，但規(guī)則的閾值影響檢測的性能；或采用對流量進行簡單的特征映射的方式，但此方法不能獲取流量之間的關系從而捕捉整個異常流量簇。

發(fā)明內容

本發(fā)明實施例提供了一種異常流量檢測方法、裝置、存儲介質以及電子設備，以至少解決無法有效通過一條異常流量捕捉整個異常流量簇的技術問題。

根據本發(fā)明實施例的一個方面，提供了一種異常流量檢測方法，包括：獲取用戶目標時間段內的網站訪問數據；篩選上述網站訪問數據，得到篩選數據，其中上述篩選數據包括上述用戶的id字段，網站ip地址，上述id字段訪問上述網站ip地址的訪問時間和訪問次數，上述id字段為上述用戶的ip地址；根據上述篩選數據構建上述id字段的訪問知識圖譜；利用目標神經網絡模型識別上述訪問知識圖譜的特征，得到上述id字段在上述目標時間段內訪問上述網站ip地址所產生的流量是正常流量或異常流量的目標結果。

根據本發(fā)明實施例的另一方面，提供了一種異常流量檢測裝置，包括：獲取模塊，用于獲取用戶目標時間段內的網站訪問數據；篩選模塊，用于篩選上述網站訪問數據，得到篩選數據，其中上述篩選數據包括上述用戶的id字段，網站ip地址，上述id字段訪問上述網站ip地址的訪問時間和訪問次數，上述id字段為上述用戶的ip地址；構建模塊，用于根據上述篩選數據構建上述id字段的訪問知識圖譜；識別模塊，用于利用目標神經網絡模型識別上述訪問知識圖譜的特征，得到上述id字段在上述目標時間段內訪問上述網站ip地址所產生的流量是正常流量或異常流量的目標結果。

作為一種可選的示例，上述構建模塊包括：第一處理單元，用于使用上述id字段作為上述訪問知識圖譜的中心節(jié)點的字段；第二處理單元，用于使用上述網站ip地址作為上述中心節(jié)點的關聯節(jié)點；第三處理單元，用于使用上述訪問時間和上述訪問次數作為上述中心節(jié)點到對應的上述關聯節(jié)點的邊屬性。

作為一種可選的示例，上述識別模塊包括：第一識別單元，用于由上述目標神經網絡模型識別上述訪問知識圖譜，得到上述訪問知識圖譜的圖譜特征；第二識別單元，用于對上述圖譜特征進行識別，得到識別結果，其中，上述識別結果用于指示上述id字段訪問上述網站ip地址的行為正常或異常；確定單元，用于根據上述識別結果，確定上述目標結果。

作為一種可選的示例，上述第一識別單元包括：第一映射子單元，用于將上述訪問知識圖譜中每一個關聯節(jié)點映射為第一維度的特征向量；統(tǒng)一子單元，用于統(tǒng)一上述訪問知識圖譜中每一個邊屬性的特征維度為第二維度；第二映射子單元，用于將上述訪問知識圖譜中每一個邊屬性的特征維度映射為一個上述第一維度乘上述第二維度的特征矩陣；第一處理子單元，用于將上述特征矩陣與上述訪問知識圖譜中每一個關聯節(jié)點的特征向量相乘，得到上述訪問知識圖譜中每一個關聯節(jié)點的第一隱藏向量；第二處理子單元，用于將上述第一隱藏向量進行非線性變換后再拼接，得到上述id字段的第二隱藏向量；第一確定子單元，用于將上述第二隱藏向量確定為上述圖譜特征。

作為一種可選的示例，上述第二識別單元包括：第三映射子單元，用于將上述圖譜特征輸入到全連接層，映射到第三維度；輸出子單元，用于通過全連接層輸出上述id字段訪問上述網站ip地址的行為正常或異常的識別結果。