[发明专利]一种异常流量检测方法及检测系统

权利要求书

1.一种异常流量检测方法，其特征在于，包括：

采集网络流量数据；

对所述网络流量数据按照协议类型进行统计，获得不同协议的网络数据流；

对所述不同协议的网络数据流按照时间进行统计，获得目标时间段内不同协议的网络数据流；

根据所述网络数据流的协议类型，分别对所述目标时间段内不同协议的网络数据流进行特征提取，获得目标时间段内不同协议的特征数据；

根据所述特征数据的协议类型，采取预设聚类算法或异常点检测算法对所述目标时间段内不同协议的特征数据进行分析，获得对所述目标时间段内不同协议的网络数据流的分析结果；

所述根据所述网络数据流的协议类型，分别对所述目标时间段内不同协议的网络数据流进行特征提取，获得目标时间段内不同协议的特征数据之后，所述根据所述特征数据的协议类型，采取预设聚类算法或异常点检测算法对所述目标时间段内不同协议的特征数据进行分析，获得对所述目标时间段内不同协议的网络数据流的分析结果之前还包括：

判断所述目标时间段内的不同协议的特征数据是否满足预设条件，如果是，则采用基于子空间模型的聚类算法或基于子空间模型的异常点检测算法对满足预设条件的特征数据进行分析，获得目标时间段内满足预设条件的网络数据流的分析结果；

所述预设条件包括：特征数据的特征维度大于预设维度、存在无关维度且特征数据的分布密度小于预设密度。

2.根据权利要求1所述的异常流量检测方法，其特征在于，所述获得对所述目标时间段内不同协议的网络数据流的判断结果之后还包括：

对所述分析结果进行显示。

3.根据权利要求1所述的异常流量检测方法，其特征在于，所述对所述网络流量数据按照协议类型进行统计，获得不同协议的网络数据流包括：

对所述网络流量数据按照协议类型进行统计，获得TCP协议、UDP协议和ICMP协议的网络数据流。

4.根据权利要求1所述的异常流量检测方法，其特征在于，所述根据所述特征数据的协议类型，采取预设聚类算法或异常点检测算法对所述目标时间段内不同协议的特征数据进行分析，获得对所述目标时间段内不同协议的网络数据流的分析结果包括：

当所述特征数据的协议类型为TCP协议或UDP协议，且不满足所述预设条件时，采用异常点检测算法对协议类型为TCP协议或UDP协议，且不满足所述预设条件的特征数据进行分析，获得所述协议类型为TCP协议或UDP协议，且不满足所述预设条件的特征数据对应的目标时间段内的TCP协议和UDP协议的网络数据流的分析结果；

当所述特征数据的协议类型为ICMP协议，且不满足所述预设条件时，采用异常点检测算法或基于密度的聚类算法对该特征数据进行分析，获得该特征数据对应的目标时间段内的ICMP协议的网络数据流的分析结果。

5.一种异常流量检测系统，其特征在于，包括：

流量采集模块，用于采集网络流量数据；

第一统计模块，用于对所述网络流量数据按照协议类型进行统计，获得不同协议的网络数据流；

第二统计模块，用于对所述不同协议的网络数据流按照时间进行统计，获得目标时间段内不同协议的网络数据流；

特征提取模块，用于根据所述网络数据流的协议类型，分别对所述目标时间段内不同协议的网络数据流进行特征提取，获得目标时间段内不同协议的特征数据；

判断模块，用于判断所述目标时间段内的不同协议的特征数据是否满足预设条件，如果是，则采用基于子空间模型的聚类算法或基于子空间模型的异常点检测算法对满足预设条件的特征数据进行分析，获得目标时间段内满足预设条件的网络数据流的分析结果；

所述预设条件包括：特征数据的特征维度大于预设维度、存在无关维度且特征数据的分布密度小于预设密度；

特征分析模块，用于根据所述特征数据的协议类型，采取预设聚类算法或异常点检测算法对所述目标时间段内不同协议的特征数据进行分析，获得对所述目标时间段内不同协议的网络数据流的分析结果。

6.根据权利要求5所述的异常流量检测系统，其特征在于，还包括：

可视化模块，用于对所述分析结果进行显示。