[发明专利]异常流量检测方法、DDoS攻击检测方法、装置和电子设备

说明书

本申请实施例提供了异常流量检测方法、DDoS攻击检测方法、装置和电子设备。所述方法的实施例包括：获取实时流量的流量成分数据；确定实时流量的来源用户，并获取来源用户的流量成分画像其中，流量成分画像基于来源用户的历史正常流量成分数据预先生成；检测实时流量的流量成分数据与流量成分画像的相似度；基于相似度，确定实时流量是否为异常流量。该实施方式提高了异常流量检测结果的准确性。

技术领域

本申请实施例涉及计算机技术领域，特别是涉及一种异常流量检测方法、DDoS攻击检测方法、装置和电子设备。

背景技术

随着互联网技术的发展，DDoS(Distributed Denial of Service attack，分布式拒绝服务攻击)等网络恶意攻击行为日益增多，互联网服务提供商、因特网内容提供商、互联网数据中心等运营商面临的安全和运营挑战不断加剧。为保障网络安全，需要对网络流量进行检测，以确定其是否为网络恶意攻击行为时的异常流量。

现有技术中，通常通过人工设定固定的流量阈值，当网络中某一用户产生的流量超过该流量阈值时，判定遭受网络恶意攻击，从而将该用户产生的流量识别为异常流量。然而，由于每个用户的访问习惯以及访问的服务各不相同，对所有用户采用通用的流量阈值规则容易造成误检和漏检，导致异常流量检测的准确性较低。

发明内容

本申请实施例提出了异常流量检测方法、DDoS攻击检测方法、装置和电子设备，以提高异常流量检测结果的准确性。

第一方面，本申请实施例提供了一种异常流量检测方法，包括：获取实时流量的流量成分数据；确定所述实时流量的来源用户，并获取所述来源用户的流量成分画像，其中，所述流量成分画像基于所述来源用户的历史正常流量成分数据预先生成；检测所述实时流量的流量成分数据与所述流量成分画像的相似度；基于所述相似度，确定所述实时流量是否为异常流量。

第二方面，本申请实施例提供了一种异常流量检测方法，包括：第一获取单元，被配置成获取实时流量的流量成分数据；第二获取单元，被配置成确定所述实时流量的来源用户，并获取所述来源用户的流量成分画像，其中，所述流量成分画像基于所述来源用户的历史正常流量成分数据预先生成；检测单元，被配置成检测所述实时流量的流量成分数据与所述流量成分画像的相似度；确定单元，被配置成基于所述相似度，确定所述实时流量是否为异常流量。

第三方面，本申请实施例还提供了一种DDoS攻击检测方法，包括：获取实时流量的流量成分数据；确定所述实时流量的来源用户，并获取所述来源用户的流量成分画像，其中，所述流量成分画像基于所述来源用户的历史正常流量成分数据预先生成，所述历史正常流量成分数据不含DDoS攻击流量的流量成分数据；检测所述实时流量的流量成分数据与所述流量成分画像的相似度；基于所述相似度，确定是否遭受DDoS攻击。

第四方面，本申请实施例还提供了一种DDoS攻击检测装置，包括：第一获取单元，被配置成获取实时流量的流量成分数据；第二获取单元，被配置成确定所述实时流量的来源用户，并获取所述来源用户的流量成分画像，其中，所述流量成分画像基于所述来源用户的历史正常流量成分数据预先生成，所述历史正常流量成分数据不含DDoS攻击流量的流量成分数据；检测单元，被配置成检测所述实时流量的流量成分数据与所述流量成分画像的相似度；确定单元，被配置成基于所述相似度，确定是否遭受DDoS攻击。

第五方面，本申请实施例还提供了一种流量成分画像生成方法，包括：通过时间序列分解算法对用户的历史正常流量成分数据进行分解，得到不同流量成分对应的时间序列分解结果，其中，所述历史正常流量成分数据包含多种流量成分的值；基于所述时间序列分解结果，确定每种流量成分的基准值；将所述每种流量成分的基准值汇总，得到所述用户的流量成分画像。