[发明专利]一种基于流的网络节点异常检测方法和系统

权利要求书

1.一种基于流的网络节点异常检测方法，其特征在于：所述方法包括：

步骤1、根据待检测节点的历史网络流量数据，获取稳定通信对象集，所述稳定通信对象集包括稳定通信端口集和稳定通信对端集；

步骤2、根据所述稳定通信对象集和待检测节点的历史网络流量数据，获取多维特征统计阈值；

步骤3、获取待检测节点的实时网络流量数据，根据所述多维特征统计阈值对所述待检测节点进行检测和评价；

其中，所述步骤1包括：

步骤1.1、基于第一时间窗口，统计各通信对象的通信时长和流量均值，所述通信对象包括通信端口和通信对端；

步骤1.2、分别对网络节点的通信端口和通信对端进行聚类划分，得到网络节点的稳定通信端口样本集和稳定通信对端样本集；

步骤1.3、交叉检验所述稳定通信端口样本集和稳定对端样本集，排除异常稳定通信端口样本和异常稳定通信对端样本，从而获取稳定通信端口集和稳定通信对端集；

所述步骤2包括：

步骤2.1、定义多个维度的流量特征和每个维度的流量特征对应的属性信息，选择不同的属性信息对多个维度的流量特征进行组合，构成多维流量特征；

步骤2.2、定义多维比率特征、稳定通信对象命中百分比，并与所述多维流量特征进行组合，形成多维属性组合特征集；

步骤2.3、基于第二时间窗口，对网络节点的历史网络流量数据进行统计分析，得到网络节点的多维流量特征统计值；

步骤2.4、根据所述多维流量特征统计值和所述稳定通信对象集获取比率特征值和百分比特征值；

步骤2.5、对所述多维流量特征统计值进行分布规律校验，根据所服从的分布规律，通过对应的比率特征值和百分比特征值获取对应的多维特征统计阈值。

2.根据权利要求1所述的基于流的网络节点异常检测方法，其特征在于，所述步骤1.2具体包括：

设置多个类簇的初始中心，包括选择u1作为一个类簇的所述初始中心，其中，所述u1是所述通信对象样本中所述通信时长和所述流量均值最大的；

进行首轮迭代，计算每个样本到所述多个类簇的所述初始中心的距离，将样本划分到距离最近的类簇中；

然后分别重新计算所述多个类簇的中心值，若所述中心值均未更新，则结束迭代，否则，进入下一轮迭代；

获取以u1为所述初始中心的类簇中的样本，作为网络节点的所述稳定通信端口样本集和所述稳定通信对端样本集。

3.根据权利要求1所述的基于流的网络节点异常检测方法，其特征在于：

所述流量特征项包括4个维度：流方向、流网络协议类型，服务端口和流量指标，其中，

所述流方向的属性信息包括：流入、流出、无方向流；

所述流网络协议类型的属性信息包括：TCP、UDP和ICMP；

所述端口服务号的属性信息范围为：0-65535；

所述流量指标的属性信息包括：字节数、网络包数和对端IP数。

4.根据权利要求3所述的基于流的网络节点异常检测方法，其特征在于：

对各维度上的参数进行交叉组合，构成4元组多维流量特征项，即流方向，协议类型，端口号，流指标。

5.根据权利要求1所述的基于流的网络节点异常检测方法，其特征在于：

所述步骤2.3中，所述比率特征包括：流入比流出的字节数比率、流入比流出的包数比率、TCP比UDP的字节数比率和TCP比UDP的包数比率。