[发明专利]基于画像技术的网络异常检测方法、装置、设备及介质

权利要求书

1.一种基于画像技术的网络异常检测方法，其特征在于，所述方法包括：

获取网络中的设备的相关数据信息；

根据所述相关数据信息构造设备向量；

计算所述设备向量与所述设备对应的设备画像间的设备偏差；

计算所述设备向量与所述设备所属的设备类型对应的设备类型画像间的类型偏差；

在所述设备偏差和/或所述类型偏差超过设定阈值时，发出告警，以实现网络异常检测；

对网络中的所有设备进行分类以确定每个设备对应的设备类型，包括：

获取每个设备的设备画像信息；

所述设备画像信息包括：在线率，设备类型，设备分组，TCP数据包数量，TCP数据包长度，UDP数据包数量，UDP数据包长度，连接设备数量，连接端口数量，接入位置；

根据设备画像信息构建与设备对应的设备向量；

获取每个设备类型对应的设备类型画像信息；

根据所述设备类型画像信息构建与设备类型对应的设备类型向量；

计算设备向量与每个设备类型向量间的相似度，并将相似度最高且超过设定阈值的设备类型确定为设备所属的设备类型；

所述计算设备向量与每个设备类型向量间的相似度，并将相似度最高且超过设定阈值的设备类型确定为设备所属的设备类型，包括：

计算设备向量与每个设备类型向量间的向量距离；

计算每个向量距离对应的均值和标准差；

将对应均值最小和/或标准差最小，且对应相似度超过设定阈值的向量距离指向的设备类型确定为设备所属的设备类型；

在存在超过设定数量的设备不属于现有任一设备类型时，还包括：

对所有未确定设备类型的设备对应的设备向量进行标准化；

递归计算每两个标准化后的设备向量间的距离，并将距离超过距离阈值的设备确定为同一新类型；

将属于同一新类型的所有设备的设备向量的均值作为新类型向量；

计算新类型向量与未归类设备的设备向量间的距离，并将距离超过距离阈值的设备确定为同一新类型；

依次类推，直至无法聚类为止。

2.根据权利要求1所述的基于画像技术的网络异常检测方法，其特征在于，所述设备画像的构建，包括：

采集设备在第一时间长度内的历史相关数据信息；

根据所述历史相关数据信息，获取每个第二时间长度内，所述设备的基本信息；

计算所述设备在所述第一时间长度内的，所有所述第二时间长度对应的所述基本信息的统计信息；

根据所述统计信息确定设备画像信息，构建设备画像。

3.根据权利要求2所述的基于画像技术的网络异常检测方法，其特征在于，

所述基本信息包括：在线时长，TCP数据包数量，TCP数据包长度，UDP数据包数量，UDP数据包长度，连接IP数量，连接端口数量，所述设备的最大流量对应的端口，与所述设备连接的其他设备的设备类型；

所述统计信息包括：在线时长的均值和标准差，TCP数据包数量的均值和标准差，TCP数据包长度的均值和标准差，UDP数据包数量的均值和标准差，UDP数据包长度的均值和标准差，连接设备数量的均值和标准差，连接端口数量的均值和标准差。

4.根据权利要求3所述的基于画像技术的网络异常检测方法，其特征在于，所述设备类型画像的构建，包括：

获取与所述设备属于同一类型的所有设备对应的设备画像信息的集合；

根据所述设备画像信息的集合，确定设备类型画像。