[发明专利]一种基于联合AR模型的病毒态势异常检测方法及系统

权利要求书

1.一种基于联合AR模型的病毒态势异常检测方法，其特征在于，包括：

针对网络流量数据生成大小为N+1的时间窗，并利用自回归模型，基于前N个时刻的网络流量数据得到第N+1时刻的网络流量数据的预测值；

基于所述第N+1时刻的网络流量数据的预测值与第N+1时刻的网络流量数据的真实值之间的差距，得到第N+1时刻的网络流量数据的异常统计量，以                                               表示；

对检测到的病毒传播事件按照预设的方式进行分类，并且将所述病毒传播事件用数值序列表示；

针对所述分类中的各类别下的所有病毒传播事件的数值序列生成大小为N+1的时间窗，并利用自回归模型，基于前N个时刻的数值序列的值得到第N+1时刻的数值序列的预测值；

基于所述第N+1时刻的数值序列的预测值与第N+1时刻的数值序列的真实值之间的差距，得到第N+1时刻的病毒传播事件的异常统计量，以表示；所述tag为取自于所述分类中的各类别下的病毒传播事件的标识；

计算病毒传播事件的总异常统计量，以表示，方法为，并判断所述是否大于预设阈值，若是，则出现病毒态势异常，否则没有出现病毒态势异常；所述是指所述分类中各类别下的病毒传播事件数量之和。

2.如权利要求1所述的方法，其特征在于，在判断出现病毒态势异常之后，还包括：针对分类中的各类别下的所有异常统计量计算值，并将所述值按照大小进行排序，认为排序中值较大的病毒传播事件为病毒态势异常的主要贡献者。

3.如权利要求1所述的方法，其特征在于，所述方法是从网络病毒监控设备处获取病毒传播事件相关数据。

4.如权利要求1所述的方法，其特征在于，所述自回归模型采用二阶自回归模型。

5.如权利要求1所述的方法，其特征在于，所述对检测到的病毒传播事件按照预设的方式进行分类包括：按病毒名、病毒家族、病毒类型、病毒运行环境、病毒文件名、病毒文件格式进行分类。

6.一种基于联合AR模型的病毒态势异常检测系统，其特征在于，包括：

第一预测模块，针对网络流量数据生成大小为N+1的时间窗，并利用自回归模型，基于前N个时刻的网络流量数据得到第N+1时刻的网络流量数据的预测值；

流量异常模块，基于所述第N+1时刻的网络流量数据的预测值与第N+1时刻的网络流量数据的真实值之间的差距，得到第N+1时刻的网络流量数据的异常统计量，以表示；

分类模块，对检测到的病毒传播事件按照预设的方式进行分类，并且将所述病毒传播事件用数值序列表示；

第二预测模块，针对所述分类中的各类别下的所有病毒传播事件的数值序列生成大小为N+1的时间窗，并利用自回归模型，基于前N个时刻的数值序列的值得到第N+1时刻的数值序列的预测值；

病毒异常模块，基于所述第N+1时刻的数值序列的预测值与第N+1时刻的数值序列的真实值之间的差距，得到第N+1时刻的病毒传播事件的异常统计量，以表示；所述tag为取自于所述分类中的各类别下的病毒传播事件的标识；

判定模块，计算病毒传播事件的总异常统计量，以表示，方法为，并判断所述是否大于预设阈值，若是，则出现病毒态势异常，否则没有出现病毒态势异常；所述是指所述分类中各类别下的病毒传播事件数量之和。

7.如权利要求6所述的系统，其特征在于，在判定模块判断出现病毒态势异常之后，还包括：针对分类中的各类别下的所有异常统计量计算值，并将所述值按照大小进行排序，认为排序中值较大的病毒传播事件为病毒态势异常的主要贡献者。

8.如权利要求6所述的系统，其特征在于，所述检测系统从网络病毒监控设备处获取所有病毒传播事件相关数据。

9.如权利要求6所述的系统，其特征在于，所述自回归模型采用二阶自回归模型。

10.如权利要求6所述的系统，其特征在于，所述对检测到的病毒传播事件按照预设的方式进行分类包括：按病毒名、病毒家族、病毒类型、病毒运行环境、病毒文件名、病毒文件格式进行分类。