[发明专利]异常流量的检测方法和装置、电子设备、存储介质

权利要求书

1.一种异常流量的检测方法，其特征在于，包括：

获取目标网络设备的流量序列，其中，所述流量序列中按照时间顺序保存有所述目标网络设备对广告业务的访问行为所产生的多个流量数据；

根据所述流量序列构建多个时段中每个时段的时段网络，其中，所述时段网络包括多个节点和节点之间的边，每个节点用于表示所述目标网络设备在一个访问时刻对广告业务的访问行为，两个节点之间的边用于表示所述两个节点所表示的访问行为之间的关联关系；

从多个所述时段网络中提取网络特征和时序特征，其中，所述网络特征用于通过向量的形式表示所述时段网络的内部特征；

根据所述时段网络的网络特征和时序特征，获取检测结果，其中，所述检测结果用于表示所述目标网络设备是否异常。

2.根据权利要求1所述的方法，其特征在于，获取目标网络设备的流量序列，包括：

获取所述广告业务的流量日志，其中，所述流量日志中保存有多个网络设备对所述广告业务的访问行为所产生的流量数据，所述多个网络设备包括所述目标网络设备；

从所述流量日志中提取所述目标网络设备的流量序列。

3.根据权利要求2所述的方法，其特征在于，从所述流量日志中提取所述目标网络设备的流量序列，包括：

获取所述流量日志中所有数据的来源IP地址；

从所有流量数据中获取来源IP地址不在IP地址集合内的第一流量数据，其中，所述IP地址集合中保存有预设的需要过滤的公有IP地址；

从所有第一流量数据中获取不存在关键字段缺失的第二流量数据，其中，所述关键字段缺失包括所述第一流量数据中不存在关键字段或关键字段的数据为无效数据，所述关键字段的数据为所述时段网络需要使用的属性数据；

对所有所述第二流量数据进行字段缺失值的填充，得到第三流量数据，其中，任意两个所述第三流量数据的数据长度相同；

利用所有所述第三流量数据中与所述目标网络设备匹配的流量数据，构建所述目标网络设备的流量序列，其中，与所述目标网络设备匹配的流量数据表示所携带的IP地址与所述目标网络设备的IP地址相同或所携带的用户帐号与所述目标网络设备上使用的用户帐号相同。

4.根据权利要求1所述的方法，其特征在于，根据所述流量序列构建多个时段中每个时段的时段网络，包括按照如下方式构建每个时段的时段网络：

确定当前时段的起始时间和结束时间；

查找所述流量序列中时间戳不早于所述起始时间且距离所述起始时间最近的第四流量数据、时间戳不晚于所述结束时间且距离所述起始时间最近的第五流量数据；

将所述第四流量数据、所述第五流量数据、以及所述流量序列中位于所述第四流量数据与所述第五流量数据的第六流量数据，作为所述当前时段的时段流量数据，来构建所述当前时段的时段网络，所述当前时段的时段网络中的节点数量与所述时段流量数据的数据个数相同。

5.根据权利要求4所述的方法，其特征在于，将所述第四流量数据、所述第五流量数据、以及所述流量序列中位于所述第四流量数据与所述第五流量数据的第六流量数据，作为所述当前时段的时段流量数据，来构建所述当前时段的时段网络，包括：

利用每个节点的所述时段流量数据的关键字段的内容确定节点的节点属性；

通过对比两个节点的节点属性，创建用于表示所述两个节点之间关联关系的边，其中，所述关联关系包括访问广告业务所使用的应用是否相同、访问的广告业务是否相同、所访问广告业务的广告主是否相同、所访问广告业务的业务类型是否相同以及所访问广告业务的广告主领域是否相同。

6.根据权利要求1所述的方法，其特征在于，从多个所述时段网络中提取网络特征和时序特征，包括：

将所述时段网络输入到图卷积神经网络中，通过所述图卷积神经网络提取用于表示所述时段网络的网络特征的第一向量；

将多个所述时段网络的所述第一向量按照时间顺序输入到长短时记忆神经网络中，通过所述长短时记忆神经网络提取多个所述时段网络在多个时段内的时序特征，并生成表示所述网络特征与所述时序特征的第二向量。