异常流量的检测方法、装置和电子设备与流程

本申请涉及网络安全领域，具体而言，涉及一种异常流量的检测方法、装置、电子设备和计算机可读存储介质。

背景技术：

1、伴随着网络的正常应用流量，网络上各种异常流量也随之而来，影响到网络的正常运行，威胁着用户主机的安全和使用。网络异常往往由网络攻击、蠕虫病毒、网络滥用等原因引起。例如：各种网络扫描、分布式拒绝服务攻击(distributed denial of service，简称ddos)、网络蠕虫病毒、恶意下载、对网络资源的不当使用等都会造成网络性能下降，严重时会影响正常的网络使用，造成网络拥塞，甚至造成网络中断、网络设备的失效等。因此，对网络异常流量进行检测，发现网络中存在的已知类型和未知类型的网络异常，是网络安全管理中较为重要的环节。

2、在相关技术中，存在利用机器学习算法检测异常流量的方案，但其训练模型所需要的异常流量样本不易采集，且同一个模型不适于多个应用场景(例如基于银行数据训练得到的模型不适用于教育应用场景)，因此将收敛模型应用于实际检测场景时，存在准确度低、模型适应性差的问题。

技术实现思路

1、本申请实施例的目的在于提供一种异常流量的检测方法、装置、电子设备和计算机可读存储介质，用以提高异常流量的检测准确性。

2、第一方面，本申请实施例提供了一种异常流量的检测方法，该方法包括：将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；根据所述异常分值判断所述待检测流量的异常程度。这样，异常检测模型无需获取异常流量样本，并且由于其基于特征值以及由特征值确定的异常区间信息建立，因此其不涉及具体的场景数据，继而可以应用于不同应用场景。因此利用该异常检测模型检测待检测流量时，具有准确度较高，模型适应性较强的优势。

3、可选地，所述异常区间信息基于以下步骤确定：提取多个历史流量分别对应的特征值，并根据数值最大的特征值划分出多个区间；将各个所述历史流量按照各自对应的特征值归置于匹配的区间内；针对于每一个区间，计算该区间所归置的历史流量个数在所述多个历史流量个数中的频率；根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息。这样，可以根据历史流量对划分出的多个区间进行合并，这样，能够在不影响检测效果的同时，减少区间个数，在一定程度上提高了异常检测模型的运算速度。

4、可选地，所述根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息，包括：将每个区间对应的频率按照数值大小进行排序；将相邻两个频率的累加和置于序列中，判断所述累加和是否导致序列的排列顺序发生变化；若否，则将所述相邻两个频率所对应的区间进行合并；若是，停止合并，得到所述异常区间信息。这样，可以在不影响区间稀有性的基础上，通过每个区间对应的频率动态合并区间，得到用于计算异常分值的区间个数，提高计算速率。

5、可选地，所述异常区间信息包括异常区间个数，以及所述异常检测模型计算所述异常分值的步骤包括：初始化与所述异常区间个数对应的多个异常区间内所归置的流量个数；针对每一个当前流量，按照该当前流量的特征值归置于对应的目标异常区间内，并统计该目标异常区间内当前所归置的流量个数；统计流量个数在所述目标异常区间的流量个数以下的多个异常区间中所归置的目标流量个数总和；以及统计所述多个异常区间所归置的流量个数总和；计算所述目标流量个数总和与所述流量个数总和的比值，并按照预设规则将所述比值进行映射；将映射后得到的数值确定为所述异常分值。这样，由于目标流量个数总和针对于流量个数在目标异常区间的流量个数以下的多个异常区间，因此其更能够体现当前流量的稀有性，继而使得异常分值具有较高的可信。

6、可选地，所述按照预设规则将所述比值进行映射，包括：将所述比值映射成该比值对应的对数。这样，能够将比值映射成更小的粒度，达到提高检测的准确度的目的。

7、可选地，所述特征值包括基于统计语言模型算法得到的信息熵。这样，可以将基于统计语言模型算法得到的信息熵作为特征值，以提高异常检测模型计算的异常分值的准确度。

8、可选地，所述异常流量的检测方法还包括：基于所述待检测流量，更新所述异常检测模型。这样，可以提高异常检测模型检测流量的准确性。

9、第二方面，本申请实施例提供了一种异常流量的检测装置，该装置包括：计算模块，用于将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；判断模块，用于根据所述异常分值判断所述待检测流量的异常程度。这样，异常检测模型无需获取异常流量样本，并且由于其基于特征值以及由特征值确定的异常区间信息建立，因此其不涉及具体的场景数据，继而可以应用于不同应用场景。因此利用该异常检测模型检测待检测流量时，具有准确度较高，模型适应性较强的优势。

10、第三方面，本申请实施例提供一种电子设备，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如上述第一方面提供的所述方法中的步骤。

11、第四方面，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时运行如上述第一方面提供的所述方法中的步骤。

12、本申请的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请实施例了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

技术特征：

1.一种异常流量的检测方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述异常区间信息基于以下步骤确定：

3.根据权利要求2所述的方法，其特征在于，所述根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息，包括：

4.根据权利要求2所述的方法，其特征在于，所述异常区间信息包括异常区间个数，以及所述异常检测模型计算所述异常分值的步骤包括：

5.根据权利要求4所述的方法，其特征在于，所述按照预设规则将所述比值进行映射，包括：将所述比值映射成该比值对应的对数。

6.根据权利要求1-5任一项所述的方法，其特征在于，所述特征值包括基于统计语言模型算法得到的信息熵。

7.根据权利要求1-5任一项所述的方法，其特征在于，所述方法还包括：

8.一种异常流量的检测装置，其特征在于，包括：

9.一种电子设备，其特征在于，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如权利要求1-7任一所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时运行如权利要求1-7任一所述的方法。

技术总结
本申请提供一种异常流量的检测方法、装置、电子设备和计算机可读存储介质，该方法的一具体实施方式包括：将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；根据所述异常分值判断所述待检测流量的异常程度。该方法可以提高异常流量的检测准确性。

技术研发人员：刘盈
受保护的技术使用者：湖北天融信网络安全技术有限公司
技术研发日：
技术公布日：2024/1/13