[發明專利]一種網絡異常行為的檢測方法、裝置、設備及存儲介質

在審

• 申請號: 202210665429.7
• 申請日: 2022-06-14
• 公開（公告）號: CN115086016A
• 公開（公告）日: 2022-09-20
• 發明（設計）人: 邱琳
• 申請（專利權）人: 中國銀行股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 薛平;賈磊

1.一種網絡異常行為的檢測方法，其特征在于，所述方法包括，

獲取待檢測網絡系統的日志信息；

對所述日志信息進行分析，得到所述待檢測網絡系統中每條流的處理軌跡；

根據所述處理軌跡對多條流進行歸類，得到多個流類別；

根據所述流類別的屬性，在所述待檢測網絡系統中提取所述流類別中每條流的特征數據；

計算同一流類別中任意兩條流的特征數據之間的差異程度；

根據所述差異程度確定所述待檢測網絡系統的異常。

2.根據權利要求1所述的方法，其特征在于，對所述日志信息進行分析，得到所述待檢測網絡系統中每條流的處理軌跡進一步包括，

按照預定字段，將所述日志信息劃分成多個子集，所述預定字段包括源地址、目的地址、源端口、目的端口以及協議中的一個或多個的組合；

將每個子集中的多個日志信息按照時間順序進行排列；

提取排列后的多個日志信息中的指定字段的內容，并將所述指定字段的內容按照對應的日志的排列順序進行組合，得到所述處理軌跡，所述指定字段與對所述流進行的操作相對應。

3.根據權利要求2所述的方法，其特征在于，根據所述處理軌跡對多條流進行歸類，得到多個流類別進一步包括，

確定內容相同且順序相同的預定數量個指定字段所對應的多個處理軌跡；

將確定的所述多個處理軌跡各自對應的流劃分到同一個所述流類別中。

4.根據權利要求1所述的方法，其特征在于，根據所述流類別的屬性，提取所述流類別中每條流的特征數據進一步包括；

按照預設的屬性列表，確定所述流類別的屬性對應的該流類別中的流的特征；

在所述待檢測網絡系統中提取每條流的特征對應的數據，得到每條流的特征數據。

5.根據權利要求1所述的方法，其特征在于，根據所述差異程度確定所述待檢測網絡系統的異常進一步包括，

以所述流類別中的一條流為基準，確定該條流與該類別中其他流之間的指定的所述差異程度是否超過第一預設門限值；

若是，則確定所述待檢測網絡系統中該條流出現異常。

6.根據權利要求5所述的方法，其特征在于，確定該條流與該類別中其他流之間的指定的所述差異程度是否超過第一預設門限值之后，所述方法還包括，

以所述流類別中的一條流為基準，確定該條流對應的超過所述第一預設門限值的所述差異程度的數量是否超過第二預設門限值；

若是，則確定所述待檢測網絡系統中該條流出現異常。

7.根據權利要求6所述的方法，其特征在于，確定所述第二預設門限值的步驟包括，

根據該條流對應的所述流類別中所述特征數據對應的特征的數量確定所述第二預設門限值。

8.根據權利要求7所述的方法，其特征在于，根據該條流對應的所述流類別中所述特征數據對應的特征的數量確定所述第二預設門限值進一步包括，

將所述特征的數量的二分之一對應的數值作為所述第二預設門限值。

9.根據權利要求5所述的方法，其特征在于，確定所述待檢測網絡系統中該條流出現異常進一步包括，

對所述差異程度超過所述第一預設門限值的所述特征數據進行分析，確定該條流的異常類別。

10.一種網絡異常行為的檢測裝置，其特征在于，包括，

日志信息獲取單元，用于獲取待檢測網絡系統的日志信息；

處理軌跡計算單元，用于對所述日志信息進行分析，得到所述待檢測網絡系統中每條流的處理軌跡；

流類別歸類單元，用于根據所述處理軌跡對多條流進行歸類，得到多個流類別；

特征數據提取單元，用于根據所述流類別的屬性，在所述待檢測網絡系統中提取所述流類別中每條流的特征數據；

特征數據差異程度計算單元，用于計算同一流類別中任意兩條流的特征數據之間的差異程度；

異常檢測單元，用于根據所述差異程度確定所述待檢測網絡系統的異常。