[发明专利]异常流量检测方法、DDoS攻击检测方法、装置和电子设备

权利要求书

1.一种异常流量检测方法，其特征在于，所述方法包括：

获取实时流量的流量成分数据；

确定所述实时流量的来源用户，并获取所述来源用户的流量成分画像，其中，所述流量成分画像基于所述来源用户的历史正常流量成分数据预先生成；

检测所述实时流量的流量成分数据与所述流量成分画像的相似度；

基于所述相似度，确定所述实时流量是否为异常流量。

2.根据权利要求1所述的方法，其特征在于，所述流量成分画像通过如下步骤预先生成：

通过时间序列分解算法对所述来源用户的历史正常流量成分数据进行分解，得到不同流量成分对应的时间序列分解结果，其中，所述历史正常流量成分数据包含多种流量成分的值；

基于所述时间序列分解结果，确定每种流量成分的基准值；

将所述每种流量成分的基准值汇总，得到所述来源用户的流量成分画像。

3.根据权利要求2所述的方法，其特征在于，所述历史正常流量成分数据通过如下步骤获取：

获取所述来源用户在目标历史时段内产生的历史流量的流量成分数据；

过滤所述历史流量的流量成分数据中的异常数据，得到所述来源用户的历史正常流量成分数据。

4.根据权利要求3所述的方法，其特征在于，所述过滤所述历史流量的流量成分数据中的异常数据，得到所述来源用户的历史正常流量成分数据，包括：

对所述历史流量的流量成分数据进行统计，得到每种流量成分的标准偏差；

基于所得到的标准偏差，确定每种流量成分的误差区间；

对于每种流量成分，从所述历史流量的该种流量成分对应的流量成分数据中，查找剩余误差位于该种流量成分的误差区间以外的异常数据；

过滤所查找到的异常数据，得到所述来源用户的历史正常流量成分数据。

5.根据权利要求2所述的方法，其特征在于，所述通过时间序列分解算法对所述来源用户的历史正常流量成分数据进行分解，得到不同流量成分对应的时间序列分解结果，包括：

按照历史时间点，分别将每种流量成分对应的历史正常流量成分数据汇总为时间序列；

通过时间序列分解算法分别对每种流量成分对应的时间序列进行分解，得到不同流量成分对应的时间序列分解结果。

6.根据权利要求5所述的方法，其特征在于，所述时间序列分解结果包括趋势分量、周期分量和残差分量；以及，

所述基于所述时间序列分解结果，确定每种流量成分的基准值，包括：

选取目标历史时间点，并对于每种流量成分，执行如下步骤：

从该种流量成分对应的时间序列中，选取历史峰值；

基于该种流量成分对应的时间序列中的数值，计算该种流量成分的波动系数序列；

从所述波动系数序列中选取所述目标历史时间点对应的目标波动系数，并分别从所述趋势分量、所述周期分量和所述残差分量选取所述目标历史时间点对应的目标趋势值、目标周期值和目标残差值；

基于所述历史峰值、所述目标波动系数、所述目标趋势值、所述目标周期值和所述目标残差值，确定该种流量成分的基准值。

7.根据权利要求6所述的方法，其特征在于，所述基于所述历史峰值、所述目标波动系数、所述目标趋势值、所述目标周期值和所述目标残差值，确定该种流量成分的基准值，包括：

对所述历史峰值、所述目标趋势值、所述目标周期值和预设倍数的所述目标残差值求和，得到第一求和结果；

将所述第一求和结果与所述目标波动系数的乘积，确定为该种流量成分的基准值。

8.根据权利要求1所述的方法，其特征在于，所述流量成分画像为多维向量；以及，

所述检测所述实时流量的流量成分数据与所述流量成分画像的相似度，包括：

将所述实时流量的流量成分数据汇总为待测向量；

通过余弦相似度算法，确定所述待测向量与所述流量成分画像的相似度。