[发明专利]一种异常流量检测方法和装置

说明书

技术领域

本公开涉及网络安全领域，尤其涉及异常流量检测方法和装置。

背景技术

随着信息技术的发展，工业控制系统逐步具有开放、互联和通用的特性。很多工业控制协议逐渐运行于工业以太网上，而在工业以太网上，针对工业控制系统的攻击也更加普遍。因此，需要提供一种能够在网络中检测异常流量的技术方案。

相关技术中，在网络中检测异常流量的技术方案包括两种方式：白名单检测和黑名单检测。在白名单检测中，根据协议标准规范生成白名单作为行为标准，然后根据协议格式对网络流量进行解析，将解析结果与白名单进行比对，如果不命中白名单则认为是异常流量。白名单方法依赖于协议标准规范，比较适用于公开的协议，但对于私有协议不适用。在黑名单检测中，通过网络安全人员分析正在使用设备的安全漏洞，形成黑名单，然后将网络流量与黑名单进行比对，如果命中黑名单则认为是异常流量。黑名单方法依赖于人工分析，投入人力巨大，另外，黑名单检测无法对未知的异常流量攻击形成有效防范。因此，需要提供一种能够高效并且普遍适用多种场景的异常流量检测方法和装置。

发明内容

为克服相关技术中存在的问题，本公开提供一种异常流量检测方法和装置。

根据本公开实施例的第一方面，提供异常流量检测方法，包括：提取待检测数据流的特征值；根据所述特征值生成与所述待检测数据流对应的待检测向量；计算所述待检测向量与基准向量集合中的各个基准向量间的相似度，所述基准向量对应于正常数据流；根据所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度确定所述待检测数据流是否为异常数据流。

可选地，所述计算所述待检测向量与基准向量集合中的各个基准向量间的相似度包括：通过词频反文档频率TF-IDF算法和向量距离算法计算所述待检测向量与所述基准向量集合中各个基准向量间的相似度。

可选地，所述通过词频反文档频率算法和向量距离算法计算所述待检测向量与所述基准向量集合中各个基准向量间的相似度包括：以待检测向量中各个特征值作为需评估的词，以基准向量集合作为语料库，使用TF-IDF算法计算所述待检测向量中各个特征值对应的TF-IDF评估值，生成TF-IDF处理后的待检测向量；针对每个基准向量，以所述基准向量中各个特征值作为需评估的词，以基准向量集合作为语料库，使用TF-IDF算法计算所述基准向量中各个特征值对应的TF-IDF评估值，生成TF-IDF处理后的基准向量；利用向量距离算法计算TF-IDF处理后的待检测向量与TF-IDF处理后的各个基准向量间距离，以所述距离作为待检测向量与各个基准向量间相似度。

可选地，所述根据所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度确定所述待检测数据流是否为异常数据流包括：将所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度分别与第一阈值比较；在所述待检测向量与所述基准向量集合中的各个基准向量间的所述相似度都小于第一阈值时，确定所述待检测数据流为异常数据流。

可选地，所述方法还包括：根据待添加向量与基准向量集合中各个基准向量间的相似度确定是否将所述待添加向量作为新的基准向量添加到所述基准向量集合中。

可选地，所述根据待添加向量与基准向量集合中各个基准向量间的相似度确定是否将所述待添加向量作为新的基准向量添加到所述基准向量集合中包括：利用TF-IDF算法和向量距离算法计算所述待添加向量与基准向量集合中各个基准向量间的相似度；根据待添加向量与基准向量集合中各个基准向量间的相似度确定所述待添加向量是否为重复向量；当所述待添加向量不为重复向量时，将所述待添加向量作为新的基准向量添加到所述基准向量集合中。

可选地，所述根据待添加向量与基准向量集合中各个基准向量间的相似度确定所述待添加向量是否为重复向量包括：将待添加向量与基准向量集合中各个基准向量间的相似度分别与第二阈值比较；当待添加向量与基准向量集合中各个基准向量间的相似度都小于第二阈值时，确定所述待添加向量不为重复向量。

根据本公开实施例的第二方面，提供一种异常流量检测装置，包括：特征值提取模块，用于提取待检测数据流的特征值；向量生成模块，用于根据所述特征值生成与所述待检测数据流对应的待检测向量；相似度计算模块，用于计算所述待检测向量与基准向量集合中的各个基准向量间的相似度，所述基准向量对应于正常数据流；异常判断模块，用于根据所述待检测向量与所述基准向量集合中各个基准向量间的所述相似度确定所述待检测数据流是否为异常数据流。