[发明专利]一种网络异常行为确定方法、装置、设备及可读存储介质

权利要求书

1.一种网络异常行为确定方法，其特征在于，包括：

获取目标网络中的网络数据流量，并将所述网络数据流量包含的每个数据包作为完全图的节点，构建数据完全图；

利用kruskal算法将所述数据完全图优化为最小生成树，并将所述最小生成树的每个节点作为聚类中心；

根据每个聚类中心分别对所述网络数据流量包含的所有数据包进行分类，得到每个聚类中心分别对应的数据元素集合；

根据每个数据元素集合的类型确定所述目标网络中的异常行为，数据元素集合的类型由所述网络数据流量包含的网络攻击种类确定。

2.根据权利要求1所述的网络异常行为确定方法，其特征在于，所述得到每个聚类中心分别对应的数据元素集合之后，还包括：

分别计算每个数据元素集合的类内距离与类间距离的比值，并判断所有数据元素集合的类内距离与类间距离的比值是否均小于预设的第一阈值；

若是，则执行所述根据每个数据元素集合的类型确定所述目标网络中的异常行为的步骤。

3.根据权利要求2所述的网络异常行为确定方法，其特征在于，当存在不小于所述第一阈值的比值时，还包括：

按照目标公式分别更新每个聚类中心，并执行所述根据每个聚类中心分别对所述网络数据流量包含的所有数据包进行分类，得到每个聚类中心分别对应的数据元素集合的步骤；

其中，所述目标公式为：G’＝G(X，Y，Z)，X＝(x₁m₁+x₂m₂+‥+x_im_i)/M，Y＝(y₁m₁+y₂m₂+‥+y_im_i)/M，Z＝(z₁m₁+z₂m₂+‥+z_im_i)/M；

G’表示更新后的聚类中心，M表示更新前的聚类中心到自身类别中每个数据元素的距离之和，X、Y、Z分别表示更新后的聚类中心在三维空间中的坐标；

m₁、m₂‥m_i表示更新前数据元素集合中的各个数据元素分别到对应的聚类中心的距离，x₁、x₂‥x_i表示更新前数据元素集合中的各个数据元素分别映射至三维空间的X坐标值，y₁、y₂‥y_i表示更新前数据元素集合中的各个数据元素分别映射至三维空间的Y坐标值，z₁、z₂‥z_i表示更新前数据元素集合中的各个数据元素分别映射至三维空间的Z坐标值。

4.根据权利要求3所述的网络异常行为确定方法，其特征在于，所述执行所述根据每个数据元素集合的类型确定所述目标网络中的异常行为的步骤之前，还包括：

计算目标函数的函数值，并判断计算得到的函数值与初始函数值的差值是否小于预设的第二阈值；

若是，则执行所述根据每个数据元素集合的类型确定所述目标网络中的异常行为的步骤。

5.根据权利要求4所述的网络异常行为确定方法，其特征在于，当所述计算得到的函数值与初始函数值的差值不小于预设的第二阈值时，还包括：

将所述计算得到的函数值作为所述初始函数值，并执行所述按照目标公式分别更新每个聚类中心的步骤。