[發(fā)明專利]一種基于網(wǎng)絡(luò)流的事件檢測方法和系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202310146496.2
• 申請日: 2023-02-21
• 公開（公告）號: CN116192997A
• 公開（公告）日: 2023-05-30
• 發(fā)明（設(shè)計）人: 張巍;盧國鳴;代天雄
• 申請（專利權(quán)）人: 上海興容信息技術(shù)有限公司
• 主分類號: H04L69/22
• 分類號: H04L69/22;H04L47/2475;H04L67/1396
• 代理公司: 成都七星天知識產(chǎn)權(quán)代理有限公司 51253
• 代理人: 楊永梅;衛(wèi)青

1.一種基于網(wǎng)絡(luò)流的事件檢測方法，其特征在于，所述方法包括：

獲取網(wǎng)絡(luò)數(shù)據(jù)包；

從所述網(wǎng)絡(luò)數(shù)據(jù)包中提取出五元組，所述五元組包括源IP地址、源端口、目的IP地址、目的端口和傳輸層協(xié)議中的至少一個；

基于所述五元組，確定事件分類，所述事件分類包括應(yīng)用類型和用戶行為中的至少一個。

2.如權(quán)利要求1所述的基于網(wǎng)絡(luò)流的事件檢測方法，其特征在于，所述從所述網(wǎng)絡(luò)數(shù)據(jù)包中提取出五元組包括：

將所述五元組分為前向五元組和后向五元組；

基于預(yù)設(shè)時間間隔分別對所述前向五元組和所述后向五元組分塊，獲得多個前向五元組分塊和多個后向五元組分塊；

其中，相鄰的兩個前向五元組分塊之間具有時間重疊，相鄰的兩個后向五元組分塊之間具有時間重疊。

3.如權(quán)利要求2所述的基于網(wǎng)絡(luò)流的事件檢測方法，其特征在于，所述基于五元組確定事件分類包括：

基于所述前向五元組分塊和所述后向五元組分塊，通過分類模型確定所述應(yīng)用類型，所述分類模型為機器學(xué)習(xí)模型；

所述分類模型的輸入數(shù)據(jù)與所述前向五元組分塊的有效荷載長度以及所述后向五元組分塊的有效荷載長度相關(guān)。

4.如權(quán)利要求1所述的基于網(wǎng)絡(luò)流的事件檢測方法，其特征在于，所述基于五元組確定事件分類包括：

基于所述應(yīng)用類型，確定至少一種候選用戶行為；

基于所述五元組與候選五元組，通過相似度模型，計算所述五元組和所述候選五元組之間相似度；

基于所述相似度確定所述至少一種候選用戶行為中的每一種候選用戶行為發(fā)生的概率；

當(dāng)所述至少一種候選用戶行為之間的概率差值大于閾值時，將概率最高的候選用戶行為作為目標用戶行為。

5.一種基于網(wǎng)絡(luò)流的事件檢測系統(tǒng)，其特征在于，所述系統(tǒng)包括獲取模塊、提取模塊和確定模塊；

所述獲取模塊用于獲取網(wǎng)絡(luò)數(shù)據(jù)包；

所述提取模塊用于從所述網(wǎng)絡(luò)數(shù)據(jù)包中提取出五元組，所述五元組包括源IP地址、源端口、目的IP地址、目的端口和傳輸層協(xié)議中的至少一個；

所述確定模塊用于基于所述五元組，確定事件分類，所述事件分類包括應(yīng)用類型和用戶行為中的至少一個。

6.如權(quán)利要求5所述的基于網(wǎng)絡(luò)流的事件檢測系統(tǒng)，其特征在于，所述提取模塊進一步用于：

將所述五元組分為前向五元組和后向五元組；

基于預(yù)設(shè)時間間隔分別對所述前向五元組和所述后向五元組分塊，獲得多個前向五元組分塊和多個后向五元組分塊；

其中，相鄰的兩個前向五元組分塊之間具有時間重疊，相鄰的兩個后向五元組分塊之間具有時間重疊。

7.如權(quán)利要求6所述的基于網(wǎng)絡(luò)流的事件檢測系統(tǒng)，其特征在于，所述確定模塊進一步用于：

基于所述前向五元組分塊和所述后向五元組分塊，通過分類模型確定所述應(yīng)用類型，所述分類模型為機器學(xué)習(xí)模型；

所述分類模型的輸入數(shù)據(jù)與所述前向五元組分塊的有效荷載長度以及所述后向五元組分塊的有效荷載長度相關(guān)。

8.如權(quán)利要求5所述的基于網(wǎng)絡(luò)流的事件檢測系統(tǒng)，其特征在于，所述確定模塊還用于：

基于所述應(yīng)用類型，確定至少一種候選用戶行為；

基于所述五元組與候選五元組，通過相似度模型，計算所述五元組和所述候選五元組之間相似度；

基于所述相似度確定所述至少一種候選用戶行為中的每一種候選用戶行為發(fā)生的概率；

當(dāng)所述至少一種候選用戶行為之間的概率差值大于閾值時，將概率最高的候選用戶行為作為目標用戶行為。

9.一種基于網(wǎng)絡(luò)流的事件檢測裝置，包括處理器，所述處理器用于執(zhí)行權(quán)利要求1～4中任一項所述的基于網(wǎng)絡(luò)流的事件檢測方法。

10.一種計算機可讀存儲介質(zhì)，所述存儲介質(zhì)存儲計算機指令，當(dāng)計算機讀取存儲介質(zhì)中的計算機指令后，計算機執(zhí)行如權(quán)利要求1～4中任一項所述的基于網(wǎng)絡(luò)流的事件檢測方法。