[发明专利]一种异常流量检测的方法

权利要求书

1.一种异常流量检测的方法，其特征在于，包括：

检测设备对报文的目标IP进行统计和检测；

所述检测设备筛选出异常的目标IP，并向清洗设备发出通告；

所述清洗设备对含有所述异常的目标IP的报文进行源IP统计、特征码统计和报文长度概率统计后再进行清洗过滤；

其中，所述检测设备对报文的目标IP进行统计包括：

所述检测设备收到报文时，从所述报文中取出目标IP；

所述检测设备判断所述目标IP是否存在于哈希数组中，若不存在，在所述哈希数组的统计总报文数单元PKG、统计每秒报文数单元PS、统计正常的报文数单元NOR、统计报文平均值单元AVG和检测异常持续时间单元ATT的子数组中，为所述目标IP地址设置对应的数组位，设置初始值为零，并将PKG中对应的数组位的值加1；若存在，直接使所述目标IP对应的PKG数组位的值加1；

所述检测设备对报文的目标IP进行检测包括：

所述检测设备建立统计线程，每隔一秒对所述哈希数组中所有数组位进行遍历计算，逐一取出目标IP对应的各个数组位上的值，根据其前后一秒PKG的值相减得出与所述目标IP对应的PS的值，并且使所述目标IP的建立时间加1；

在所述使所述目标IP的建立时间加1之后，还包括：

若所述目标IP建立时间小于30秒，把与目标IP相对应的PS的值累加进NOR的值，然后用NOR的值除以所述目标IP的建立时间得出AVG的值；

若所述目标IP建立时间不小于30秒：若所述目标IP对应的PS的值小于AVG的值的四倍时把PS的值累加进NOR的值中，然后用所述NOR的值除以其建立时间得出新的AVG的值，若目标IP对应的ATT的值大于零，则所述ATT的值减1，若所述目标IP对应的PS的值不小于AVG的值的四倍，所述ATT的值加1，若所述ATT的值大于10，则所述目标IP发生异常并向清洗设备发出通告。

2.根据权利要求1所述的方法，其特征在于，在所述检测设备筛选出异常的目标IP，并向清洗设备发出通告之后，还包括：

清洗设备接收到异常通告并从中取出异常目标IP，为所述异常目标IP建立统计总报文数单元TOT、统计每个源IP的报文单元ICT、统计每种报文长度的数量单元LEN和统计报文样本单元DNA，并生成一个随机数R用于抽取报文样本。

3.根据权利要求2所述的方法，其特征在于，所述清洗设备对含有所述异常的目标IP的报文进行源IP统计、特征码统计和报文长度概率统计包括：

清洗设备收到一个所述异常目标IP的报文时，从中取出源IP，获得所述报文长度L，所述TOT的值加1，所述源IP的ICT的值加1，所述报文LEN的值加1，取出所述报文R位置上的值V，让报文R位置上值为V的DNA的值加1。

4.根据权利要求3所述的方法，其特征在于，所述清洗设备对含有所述异常的目标IP的报文进行源IP统计、特征码统计和报文长度概率统计后再进行清洗过滤包括：

若所述收到的异常目标IP的报文的ICT的值除以TOT大于20％，或者LEN的值除以TOT大于20％，或者DNA的值除以TOT大于20％则丢弃报文，否则回注报文到目标服务器。