[发明专利]一种异常流量的检测方法及装置

权利要求书

1.一种异常流量的检测方法，其特征在于，包括：

按照预设检测频率获取每个节点对应的特征空间密度；

所述获取每个节点对应的特征空间密度，具体包括：

利用每个所述节点的多个共同特征构建特征空间；

利用所述节点在所述特征空间的位置以及预设半径，确定所述特征空间内所述节点对应的统计区域；

获取所述统计区域的节点总数作为所述节点对应的特征空间密度；

确定所述节点的类型；

如果所述节点为新增节点，则根据所述节点对应的特征空间密度确定所述节点是否属于异常流量聚集点；如果所述节点为原有节点，则根据本次检测所述节点对应的特征空间密度和前一次检测所述节点对应的特征空间密度，确定所述节点是否属于异常流量聚集点；

所述根据所述节点对应的特征空间密度确定所述节点是否属于异常流量聚集点，具体包括：

判断所述节点对应的统计区域内的原有节点数量是否大于预设第一数量；

如果是，则根据所述节点对应的统计区域内所有原有节点对应的密度变化量，获得所述所有原有节点的平均密度变化量作为第一密度阈值，当所述节点对应的特征空间密度超过所述第一密度阈值时，确定所述节点属于异常流量聚集点；

如果否，则将所述节点对应的特征空间密度与预设第二密度阈值进行比较，当所述节点对应的特征空间密度超过所述预设第二密度阈值时，确定所述节点属于异常流量聚集点；

其中，所述特征空间密度表示特征空间中节点预设范围内的节点总数；所述特征空间为依照节点特征构建出的多节点共存的多维空间。

2.根据权利要求1所述的方法，其特征在于，所述确定所述节点的类型，具体包括：

根据所述节点在所述特征空间的位置，从前一次检测数据中匹配所述节点；如果匹配成功，则确定所述节点为原有节点；如果匹配失败，则确定所述节点为新增节点；所述前一次检测数据包括：前一次检测每个节点在所述特征空间的位置。

3.根据权利要求1-2任一项所述的方法，其特征在于，还包括：根据历史数据设置时间维度上的多个检测窗口，并设置每个检测窗口对应的预警阈值；

所述根据本次检测所述节点对应的特征空间密度和前一次检测所述节点对应的特征空间密度，确定所述节点是否属于异常流量聚集点，具体包括：

根据本次检测所述节点对应的特征空间密度和前一次检测所述节点对应的特征空间密度获得本次检测所述节点的密度变化量；

确定本次检测在时间维度上所属的检测窗口；

判断所述本次检测所述节点的密度变化量是否超过所述检测窗口对应的预警阈值，如果是，则确定所述节点属于异常流量聚集点。

4.一种异常流量的检测装置，其特征在于，包括：

密度获取模块，用于按照预设检测频率获取每个节点对应的特征空间密度；

节点类型确定模块，用于确定所述节点的类型；

异常第一确定模块，用于当所述节点为新增节点时，根据所述节点对应的特征空间密度确定所述节点是否属于异常流量聚集点；

异常第二确定模块，用于当所述节点为原有节点时，根据本次检测所述节点对应的特征空间密度和前一次检测所述节点对应的特征空间密度，确定所述节点是否属于异常流量聚集点；

其中，所述特征空间密度表示特征空间中节点预设范围内的节点总数；所述特征空间为依照节点特征构建出的多节点共存的多维空间；

所述异常第一确定模块，具体包括：

第一判断单元，用于判断所述节点对应的统计区域内的原有节点数量是否大于预设第一数量；

异常第一确定单元，用于当所述节点对应的统计区域内的原有节点数量大于预设第一数量时，根据所述节点对应的统计区域内所有原有节点对应的密度变化量，获得所述所有原有节点的平均密度变化量作为第一密度阈值，当所述节点对应的特征空间密度超过所述第一密度阈值时，确定所述节点属于异常流量聚集点；

异常第二确定单元，用于当所述节点对应的统计区域内的原有节点数量不大于预设第一数量时，将所述节点对应的特征空间密度与预设第二密度阈值进行比较，当所述节点对应的特征空间密度超过所述预设第二密度阈值时，确定所述节点属于异常流量聚集点。