[发明专利]一种异常流量检测方法和装置

权利要求书

1.一种异常流量检测方法，其特征在于，包括：

提取待检测数据流的特征值；

根据所述特征值生成与所述待检测数据流对应的待检测向量；

计算所述待检测向量与基准向量集合中的各个基准向量间的相似度，所述基准向量对应于正常数据流；

根据所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度确定所述待检测数据流是否为异常数据流。

2.如权利要求1所述的异常流量检测方法，其特征在于，所述计算所述待检测向量与基准向量集合中的各个基准向量间的相似度包括：

通过词频反文档频率TF-IDF算法和向量距离算法计算所述待检测向量与所述基准向量集合中各个基准向量间的相似度。

3.根据权利要求2所述的异常流量检测方法，其特征在于，所述通过词频反文档频率算法和向量距离算法计算所述待检测向量与所述基准向量集合中各个基准向量间的相似度包括：

以待检测向量中各个特征值作为需评估的词，以基准向量集合作为语料库，使用TF-IDF算法计算所述待检测向量中各个特征值对应的TF-IDF评估值，生成TF-IDF处理后的待检测向量；

针对每个基准向量，以所述基准向量中各个特征值作为需评估的词，以基准向量集合作为语料库，使用TF-IDF算法计算所述基准向量中各个特征值对应的TF-IDF评估值，生成TF-IDF处理后的基准向量；

利用向量距离算法计算TF-IDF处理后的待检测向量与TF-IDF处理后的各个基准向量间距离，以所述距离作为待检测向量与各个基准向量间相似度。

4.如权利要求1所述的异常流量检测方法，其特征在于，所述根据所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度确定所述待检测数据流是否为异常数据流包括：

将所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度分别与第一阈值比较；

在所述待检测向量与所述基准向量集合中的各个基准向量间的所述相似度都小于第一阈值时，确定所述待检测数据流为异常数据流。

5.根据权利要求1至4任一所述的异常流量检测方法，其特征在于，所述方法还包括：

根据待添加向量与基准向量集合中各个基准向量间的相似度确定是否将所述待添加向量作为新的基准向量添加到所述基准向量集合中。

6.根据权利要求5所述的异常流量检测方法，其特征在于，所述根据待添加向量与基准向量集合中各个基准向量间的相似度确定是否将所述待添加向量作为新的基准向量添加到所述基准向量集合中包括：

利用TF-IDF算法和向量距离算法计算所述待添加向量与基准向量集合中各个基准向量间的相似度；

根据待添加向量与基准向量集合中各个基准向量间的相似度确定所述待添加向量是否为重复向量；

当所述待添加向量不为重复向量时，将所述待添加向量作为新的基准向量添加到所述基准向量集合中。

7.根据权利要求6所述的异常流量检测方法，其特征在于，所述根据待添加向量与基准向量集合中各个基准向量间的相似度确定所述待添加向量是否为重复向量包括：

将待添加向量与基准向量集合中各个基准向量间的相似度分别与第二阈值比较；

当待添加向量与基准向量集合中各个基准向量间的相似度都小于第二阈值时，确定所述待添加向量不为重复向量。

8.一种异常流量检测装置，其特征在于，包括：

特征值提取模块，用于提取待检测数据流的特征值；

向量生成模块，用于根据所述特征值生成与所述待检测数据流对应的待检测向量；

相似度计算模块，用于计算所述待检测向量与基准向量集合中的各个基准向量间的相似度，所述基准向量对应于正常数据流；

异常判断模块，用于根据所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度确定所述待检测数据流是否为异常数据流。

9.根据权利要求8所述的异常流量检测装置，其特征在于，所述相似度计算模块用于通过词频反文档频率TF-IDF算法和向量距离算法计算所述待检测向量与所述基准向量集合中各个基准向量间的相似度。

10.根据权利要求8或9所述的异常流量检测装置，其特征在于，所述装置还包括：

基准向量添加模块，用于根据待添加向量与基准向量集合中各个基准向量间的相似度确定是否将所述待添加向量作为新的基准向量添加到所述基准向量集合中。