[发明专利]一种基于Elasticsearch技术网络异常流量分析方法、装置和电子设备

权利要求书

1.一种基于Elasticsearch技术的网络异常流量分析方法，其特征在于，所述方法包括：

获取网络流量数据，所述网络流量数据包括正常流量数据和/或异常流量数据；其中，监控网络所包括的至少一个设备的所有端口，周期性地采集并存储所述所有端口的网络流量数据，得到所述网络流量数据；

将所述网络流量数据存储至Elasticsearch搜索引擎中；

利用所述Elasticsearch搜索引擎从所述网络流量数据中获取异常流量数据，包括：

当监控到任一端口的流量超过预设的阈值时，记录该端口和时间点，得到告警端口和告警时间点；

获取包括所述告警时间点在内的预设时间段，所述预设时间段包括至少一个完整的采集周期；

利用所述Elasticsearch搜索引擎的range查询从所述网络流量数据中获取所述预设时间段内的异常网络流量数据；

利用所述Elasticsearch搜索引擎的term查询从所述异常网络流量数据中获取所述告警端口的所述异常流量数据；

利用所述Elasticsearch搜索引擎分析所述异常流量数据，得到所述异常流量数据的分析结果；其中，确定与所述告警端口相对应的所有应用，得到应用名单；利用所述Elasticsearch搜索引擎的BUcket Aggregation桶型聚集查询对所述异常流量数据按所述应用名单中的应用进行划分，得到所述应用名单中每个应用的流量数据；利用所述Elasticsearch搜索引擎的Metrics Aggregation指标聚集对所述应用名单中每个应用的流量数据做聚集运算，按预设的维度对所述每个应用的流量数据进行统计，得到所述异常流量数据的分析结果；其中，若同一时间点出现至少两个告警端口时，按照每个告警端口对应的应用的数量逐个分析所述至少两个告警端口。

2.根据权利要求1所述的基于Elasticsearch技术的网络异常流量分析方法，其特征在于，所述将所述网络流量数据存储至Elasticsearch搜索引擎中，具体包括：

按照预设的格式解析所述网络流量数据，得到解析结果，所述解析结果包括源地址、源端口和目的地址；

将所述网络流量数据分别以所述源地址、所述源端口和所述目的地址为维度进行二次聚合，得到聚合流量包；

将所述聚合流量包存储至所述Elasticsearch搜索引擎中。

3.根据权利要求1所述的基于Elasticsearch技术的网络异常流量分析方法，其特征在于，所述预设的维度包括应用的总流量、平均流量、带宽占比。

4.根据权利要求2所述的基于Elasticsearch技术的网络异常流量分析方法，其特征在于，所述聚合流量包的采集时间为所述网络流量数据的最晚采集时间。