[发明专利]一种异常流量检测方法及检测系统

说明书

本申请公开了一种异常流量检测方法及检测系统，其中，所述异常流量检测方法首先对网络流量数据按照协议类型和时间进行统计，获得目标时间段内不同协议的网络数据，然后根据网络数据流的协议类型分别进行特征提取，最后根据所述特征数据的协议类型，采取预设聚类算法或异常点检测算法对所述目标时间段内不同协议的特征数据进行分析，获得对所述目标时间段内不同协议的网络数据流的分析结果，以实现对所述目标时间段内不同协议的网络数据流是否属于异常流量的鉴别。由于所述异常流量检测方法对不同协议的网络数据流分别进行处理和分析，大大提高了所述异常流量检测方法的适用性。

技术领域

本申请涉及网络安全技术领域，更具体地说，涉及一种异常流量检测方法及检测系统。

背景技术

网络流量是反映网络承载的基本形态，随着网络的普及和网络使用量的与日俱增，网络流量也呈现指数式的上升。网络流量的大小在一定程度上反映了网络的安全性，许多网络攻击都会使得网络流量产生异常，例如分布式拒绝服务(Distributed Denial ofService，DDoS)攻击就是利用大量的正常访问请求来攻击服务器，以占用服务器大量的服务资源，从而使得合法用户无法得到服务器的响应，甚至导致服务器的瘫痪。因此，对网络流量进行检测以发现异常流量情况并采取相应措施是保护网络安全的重要措施。

对于异常流量的检测主要分为基于误用的流量检测和基于异常的流量检测，其中，基于误用的流量检测不仅需要频繁更新特征库，而且对特征库中未包含的异常流量无法检测，而基于异常的流量检测过程不依赖于特征库，并且在检测未知异常流量防范新型网络攻击方面具有优势。

但现有技术中基于异常的流量检测方法大多是针对于某种特定数据类型或某种特定协议下的异常流量的检测，适用范围很小。

发明内容

为解决上述技术问题，本发明提供了一种异常流量检测方法及检测系统，以实现提升对异常流量检测的适用范围的目的。

为实现上述技术目的，本发明实施例提供了如下技术方案：

一种异常流量检测方法，包括：

采集网络流量数据；

对所述网络流量数据按照协议类型进行统计，获得不同协议的网络数据流；

对所述不同协议的网络数据流按照时间进行统计，获得目标时间段内不同协议的网络数据流；

根据所述网络数据流的协议类型，分别对所述目标时间段内不同协议的网络数据流进行特征提取，获得目标时间段内不同协议的特征数据；

根据所述特征数据的协议类型，采取预设聚类算法或异常点检测算法对所述目标时间段内不同协议的特征数据进行分析，获得对所述目标时间段内不同协议的网络数据流的分析结果。

可选的，所述获得对所述目标时间段内不同协议的网络数据流的判断结果之后还包括：

对所述分析结果进行显示。

可选的，所述对所述网络流量数据按照协议类型进行统计，获得不同协议的网络数据流包括：

对所述网络流量数据按照协议类型进行统计，获得TCP协议、UDP协议和ICMP协议的网络数据流。

可选的，所述根据所述网络数据流的协议类型，分别对所述目标时间段内不同协议的网络数据流进行特征提取，获得目标时间段内不同协议的特征数据之后，所述根据所述特征数据的协议类型，采取预设聚类算法或异常点检测算法对所述目标时间段内不同协议的特征数据进行分析，获得对所述目标时间段内不同协议的网络数据流的分析结果之前还包括：

判断所述目标时间段内的不同协议的特征数据是否满足预设条件，如果是，则采用基于子空间模型的聚类算法或基于子空间模型的异常点检测算法对满足预设条件的特征数据进行分析，获得目标时间段内满足预设条件的网络数据流的分析结果；