[发明专利]一种实时网络横向蠕虫攻击流量检测方法及装置

说明书

本申请公开了一种实时网络横向蠕虫攻击流量检测方法及装置，其中方法包括：获取实时网络流量数据包；解析所述实时网络流量数据包并提取横向蠕虫攻击流量特征；将所述横向蠕虫攻击流量特征加载至预设横向蠕虫攻击流量检测模型中进行预测，得到预测结果，所述预测结果包括第一预测结果以及第二预测结果，所述第一预测结果为横向蠕虫攻击，所述第二预测结果为非横向蠕虫攻击；根据所述预测结果进行处理。通过对实时网络流量数据包进行解析和特征提取，提取出横向蠕虫攻击的多维度特征，再利用预设横向蠕虫攻击流量检测模型进行检测，该模型的准确检测以及实时告警，能够满足检测的效率以及准确性要求。

技术领域

本申请涉及攻击检测技术领域，尤其涉及一种实时网络横向蠕虫攻击流量检测方法及装置。

背景技术

随着计算机网络技术的飞速发展，Internet应用深入，对计算机系统安全和网络安全的威胁日益严重。蠕虫是一种智能化、自动化的入侵技术，不需要计算机使用者干预即可运行的攻击程序或代码，它会扫描和攻击网络上存在系统漏洞的节点主机，通过局域网或互联网从一个节点传播到另外一个节点。

蠕虫具有传播速度快、覆盖面广、破坏力强等特点，不仅可以占用受感染主机的大部分系统资源，对目标系统造成破坏，同时，还会抢占网络带宽，造成网络严重堵塞，甚至整个网络瘫痪。因此，如何对网络蠕虫进行实时检测以便及时采取措施对其加以防范和遏止，已经称为网络安全研究领域的一个重要课题。

发明内容

本申请提供了一种实时网络横向蠕虫攻击流量检测方法及装置，能够实时、快速且准确地对实时网络中的横向蠕虫攻击进行检测并识别。

有鉴于此，本申请第一方面提供了一种实时网络横向蠕虫攻击流量检测方法，所述方法包括：

获取实时网络流量数据包；

解析所述实时网络流量数据包并提取横向蠕虫攻击流量特征；

将所述横向蠕虫攻击流量特征加载至基于随机森林的预设横向蠕虫攻击流量检测模型中进行预测，得到预测结果，所述预测结果包括第一预测结果以及第二预测结果，所述第一预测结果为横向蠕虫攻击，所述第二预测结果为非横向蠕虫攻击；

根据所述预测结果进行处理。

可选地，所述横向蠕虫攻击流量特征具体包括：

流量五元组、与当前连接具有相同源ip的连接数、与当前连接具有相同源ip和相同目的端口的连接数、与当前连接具有相同目的端口的连接数、当前连接的源ip作为目的ip的连接数、与当前连接具有相同源ip和相同目的端口的连接数占比与当前连接具体相同源ip的连接数、当前连接的源ip作为目的ip的连接数占比当前连接的源ip作为源ip的连接数。

可选地，所述将所述横向蠕虫攻击流量特征加载至基于随机森林的预设横向蠕虫攻击流量检测模型中进行预测之前还包括：

基于随机森林法，采用基尼指数作为切分节点的标准，以是否为横向蠕虫攻击作为分类结果，通过训练样本集对横向蠕虫攻击流量检测模型进行训练，得到基于随机森林的预设横向蠕虫攻击流量检测模型。

可选地，所述得到基于随机森林的预设横向蠕虫攻击流量检测模型之后还包括：

通过测试样本集对所述基于随机森林的预设横向蠕虫攻击流量检测模型进行验证，根据对测试样本集的分类结果以及实际分类结果，以检测率和误报率作为所述基于随机森林的预设横向蠕虫攻击流量检测模型的评价指标，当所述检测率高于第一预设值，所述误报率低于第二预设值时，所述基于随机森林的预设横向蠕虫攻击流量检测模型训练完成。

可选地，所述根据所述预测结果进行处理具体包括：

若所述预测结果为第一预测结果，则进行告警处理；

若所述预测结果为第二预测结果，则丢弃所述实时网络流量数据包。