[发明专利]一种实时网络横向蠕虫攻击流量检测方法及装置

权利要求书

1.一种实时网络横向蠕虫攻击流量检测方法，其特征在于，包括：

获取实时网络流量数据包；

解析所述实时网络流量数据包并提取横向蠕虫攻击流量特征；

将所述横向蠕虫攻击流量特征加载至基于随机森林的预设横向蠕虫攻击流量检测模型中进行预测，得到预测结果，所述预测结果包括第一预测结果以及第二预测结果，所述第一预测结果为横向蠕虫攻击，所述第二预测结果为非横向蠕虫攻击；

根据所述预测结果进行处理。

2.根据权利要求1所述的实时网络横向蠕虫攻击流量检测方法，其特征在于，所述横向蠕虫攻击流量特征具体包括：

流量五元组、与当前连接具有相同源ip的连接数、与当前连接具有相同源ip和相同目的端口的连接数、与当前连接具有相同目的端口的连接数、当前连接的源ip作为目的ip的连接数、与当前连接具有相同源ip和相同目的端口的连接数占比与当前连接具体相同源ip的连接数、当前连接的源ip作为目的ip的连接数占比当前连接的源ip作为源ip的连接数。

3.根据权利要求1所述的实时网络横向蠕虫攻击流量检测方法，其特征在于，所述将所述横向蠕虫攻击流量特征加载至基于随机森林的预设横向蠕虫攻击流量检测模型中进行预测之前还包括：

基于随机森林法，采用基尼指数作为切分节点的标准，以是否为横向蠕虫攻击作为分类结果，通过训练样本集对横向蠕虫攻击流量检测模型进行训练，得到基于随机森林的预设横向蠕虫攻击流量检测模型。

4.根据权利要求3所述的实时网络横向蠕虫攻击流量检测方法，其特征在于，所述得到基于随机森林的预设横向蠕虫攻击流量检测模型之后还包括：

通过测试样本集对所述基于随机森林的预设横向蠕虫攻击流量检测模型进行验证，根据对测试样本集的分类结果以及实际分类结果，以检测率和误报率作为所述基于随机森林的预设横向蠕虫攻击流量检测模型的评价指标，当所述检测率高于第一预设值，所述误报率低于第二预设值时，所述基于随机森林的预设横向蠕虫攻击流量检测模型训练完成。

5.根据权利要求1所述的实时网络横向蠕虫攻击流量检测方法，其特征在于，所述根据所述预测结果进行处理具体包括：

若所述预测结果为第一预测结果，则进行告警处理；

若所述预测结果为第二预测结果，则丢弃所述实时网络流量数据包。

6.一种实时网络横向蠕虫攻击流量检测装置，其特征在于，包括：

获取单元，用于获取实时网络流量数据包；

提取单元，用于解析所述实时网络流量数据包并提取横向蠕虫攻击流量特征；

预测单元，用于将所述横向蠕虫攻击流量特征加载至基于随机森林的预设横向蠕虫攻击流量检测模型中进行预测，得到预测结果，所述预测结果包括第一预测结果以及第二预测结果，所述第一预测结果为横向蠕虫攻击，所述第二预测结果为非横向蠕虫攻击；

处理单元，用于根据所述预测结果进行处理。

7.根据权利要求6所述的实时网络横向蠕虫攻击流量检测装置，其特征在于，所述横向蠕虫攻击流量特征具体包括：

流量五元组、与当前连接具有相同源ip的连接数、与当前连接具有相同源ip和相同目的端口的连接数、与当前连接具有相同目的端口的连接数、当前连接的源ip作为目的ip的连接数、与当前连接具有相同源ip和相同目的端口的连接数占比与当前连接具体相同源ip的连接数、当前连接的源ip作为目的ip的连接数占比当前连接的源ip作为源ip的连接数。

8.根据权利要求6所述的实时网络横向蠕虫攻击流量检测装置，其特征在于，还包括：

训练单元，用于基于随机森林法，采用基尼指数作为切分节点的标准，以是否为横向蠕虫攻击作为分类结果，通过训练样本集对横向蠕虫攻击流量检测模型进行训练，得到基于随机森林的预设横向蠕虫攻击流量检测模型。