[发明专利]智能流量基线学习方法、设备和计算机可读存储介质

权利要求书

1.一种智能流量基线学习方法，其特征在于，包括以下步骤：

从现有流量中识别出链路；

检测每一条所述链路的链路流量I_L；

确定每一条所述链路的流量基线I_M；

对于任意一条所述链路，若该链路的链路流量I_L超过判断值Q，且持续时间超过设定时间，则判定该链路违反流量基线；

若任意一条所述链路被判定为违反流量基线，则检测到攻击，启动告警；

其中，Q＝I_M～1.05*I_M。

2.根据权利要求1所述的智能流量基线学习方法，其特征在于，所述链路流量I_L为一个通讯会话中的服务端和客户端之间的通讯流量，所述通讯流量包括所述服务端到所述客户端的流量、所述客户端到所述服务端的流量、所述服务端到所述客户端的流量与所述客户端到所述服务端的流量之和。

3.根据权利要求2所述的智能流量基线学习方法，其特征在于，所述流量基线I_M为正常通讯情况下所述链路的链路流量的阈值，任意一条所述链路的所述流量基线为所述服务端到所述客户端的流量的阈值、所述客户端到所述服务端的流量的阈值、或所述服务端到所述客户端的流量与所述客户端到所述服务端的流量之和的阈值。

4.根据权利要求1所述的智能流量基线学习方法，其特征在于，所述检测每一条所述链路的链路流量I_L中，所述链路流量I_L为一个通讯会话中服务端到客户端的流量与客户端到服务端的流量之和；所述确定每一条所述链路的流量基线I_M中，所述流量基线I_M为正常通讯情况下该链路的服务端到客户端的流量与客户端到服务端的流量之和的阈值；对于任意一条所述链路，若该链路的链路流量I_L超过判断值Q，且持续时间超过设定时间，则判定该链路违反流量基线；

其中，Q＝1.02*I_M～1.05*I_M。

5.根据权利要求1-4中任意一项所述的智能流量基线学习方法，其特征在于，在所述正常通讯情况下，所述链路的链路流量I_L为正常链路流量，所述正常链路流量的属性包括，所述服务端和所述客户端的ip地址、所述服务端和所述客户端的MAC地址、所述服务端和所述客户端之间的通讯协议、所述链路的流量基线。

6.根据权利要求1-4中任意一项所述的智能流量基线学习方法，其特征在于，每隔T₁时间对任意一条所述链路的链路流量I_L进行检测，若存在某条链路的链路流量I_L超过其判断值Q，则每隔T₂时间对任意一条所述链路的链路流量I_L进行检测，其中，T₁0.2*T₂，并执行如下判定：

若该链路的链路流量I_L不再超过判断值Q，则恢复每隔T₁时间对任意一条所述链路的链路流量I_L进行检测；

若该链路的链路流量I_L依然超过判断值Q，则累计所述链路流量I_L超过判断值Q的持续时间，若持续时间超过设定时间，则判定该链路违反流量基线。

7.根据权利要求6所述的智能流量基线学习方法，其特征在于，若判定某条链路违反流量基线，则当且仅当该链路的链路流量I_L恢复到判断值Q以下时，方可再次启动告警。

8.根据权利要求1-4中任意一项所述的智能流量基线学习方法，其特征在于，流量的单位可以是pps或者bps。