[发明专利]网络行为异常检测方法及系统

摘要

本发明提供一种网络行为异常检测方法，包括：接收网络数据包，对所得到的网络数据包做协议还原，并根据所述协议还原的结果建立所述网络数据包所在的连接；为所建立的各个连接分别提取检测特征，一个连接对应一个由多个检测特征所组成的检测特征向量；将所述检测特征向量中各个检测特征的异常作为朴素可信度模型中的证据，计算证据可信度；根据所述检测特征向量中的各个检测特征创建所述朴素可信度模型中的知识，计算所述知识的可信度；将所述证据可信度以及所述知识的可信度代入朴素可信度模型的可信度计算公式，对网络数据包所在连接是否存在网络行为异常的结论事件进行可信度计算。本发明具有较高的准确率与广泛的适应性。

主权项

1、一种网络行为异常检测方法，包括：步骤1)、接收网络数据包，对所得到的网络数据包做协议还原，并根据所述协议还原的结果，建立所述网络数据包所在的连接；步骤2)、为所建立的各个连接分别提取检测特征，一个连接对应一个由多个检测特征所组成的检测特征向量；步骤3)、将所述检测特征向量中各个检测特征的异常作为朴素可信度模型中的证据，计算证据可信度；其中，所述朴素可信度模型在可信度模型的基础上增加了知识中的证据总是支持结论为真的假设；步骤4)、根据所述检测特征向量中的各个检测特征创建所述朴素可信度模型中的知识，计算所述知识的可信度；其中，在所述朴素可信度模型的知识中，所述检测特征中独立的检测特征对应一个独立的知识，而所述检测特征中的相关检测特征在同一个知识内；步骤5)、将所述证据可信度以及所述知识的可信度代入朴素可信度模型的可信度计算公式，对网络数据包所在连接是否存在网络行为异常的结论事件进行可信度计算。