[发明专利]一种大规模流量异常主机检测方法和装置

权利要求书

1.一种大规模流量异常主机检测方法，其特征在于，所述方法包括：

针对第一预设时间内的流量数据构造原始项集；其中，所述原始项集包括：客户端因特网协议IP地址、主机IP地址和端口号的映射关系；

对所述原始项集做关联规则的挖掘，获得被大于预设数目的客户端访问的主机IP地址和端口号；

将获得的所述主机IP地址对应的主机的特征向量作为样本，构建预设检测模型；

获得第二预设时间内待检测主机的特征向量，通过构建的预设检测模型确定该主机的流量是否异常；

其中，所述方法进一步包括：

获取第三预设时间内待检测的第二主机在各预设时刻的总字节数；

基于第三预设时间内第二主机在各预设时刻的总字节数，根据季节时间序列模型获得第三预设时间的下一预设时刻的总字节数；其中，第三预设时间的下一预设时刻属于第二预设时间；

若确定下一时刻的实际总字节数与预测的总字节数的差值大于预设字节数阈值，则确定该主机为流量异常的主机；并将第二预设时间内确定为流量异常的第二主机作为待检测主机。

2.根据权利要求1所述的方法，其特征在于，所述对所述原始项集做关联规则的挖掘时，通过频繁项集算法进行挖掘。

3.根据权利要求1所述的方法，其特征在于，所述预设检测模型为孤立森林模型。

4.根据权利要求1所述的方法，其特征在于，所述特征向量包括下述之一或任意组合特征：

连接数、端口数、发出的总包数、发出的总包数的最大值、发出的总包数最小值、发出的总包数均值、发出的总字节数、发出的总字节数最大值，发出的总字节数的最小值、发出的总字节数均值、接收的总包数、接收的总包数的最大值、接收的总包数最小值、接收的总包数均值、接收的总字节数、接收的总字节数最大值，接收的总字节数的最小值、接收的总字节数均值。

5.根据权利要求4所述的方法，其特征在于，所述特征向量还包括下述之一或任意组合特征：

协议类型，IP包、传输控制协议TCP包、用户数据报协议UDP包、控制报文协议ICMP包的个数、字节数、包首部、包首部长度平均包长、独立端口数。

6.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

检测待检测的第一主机的如下信息：flow流条数、开放端口数、流入的包数、字节数、流出的包数；

统计第二预设时间内待检测的第一主机的下述之一或任意组合特征的值：

连接数、端口数、发出的总包数、发出的总包数的最大值、发出的总包数最小值、发出的总包数均值、发出的总字节数、发出的总字节数最大值，发出的总字节数的最小值、发出的总字节数均值、接收的总包数、接收的总包数的最大值、接收的总包数最小值、接收的总包数均值、接收的总字节数、接收的总字节数最大值，接收的总字节数的最小值、接收的总字节数均值；

当第一主机中的任一主机的任一特征的值大于该特征的预设特征阈值时，确定该第一主机为流量异常的主机，并将第二预设时间内确定为流量异常的第一主机作为待检测的第二主机。