[发明专利]异常网络流量检测方法、装置和存储介质

权利要求书

1.一种异常网络流量检测方法，其特征在于，包括：

设置一观察窗，其中，所述观察窗包含n个连续的检测时间点，n是大于1的整数；

获取当前观察窗内每个检测时间点的网络流量值；

分别计算所述当前观察窗内每两个相邻检测时间点的网络流量值的低频值和高频值，其中，所述低频值用于指示网络流量在两个相邻检测时间点内的平均取值，所述高频值为网络流量在两个相邻检测时间点内的后一个时间点相对前一个时间点的流量差值；

根据所述当前观察窗内至少一个低频值和至少一个高频值计算所述当前观察窗的流量决策值，其中，所述流量决策值用于衡量所述当前观察窗内是否出现异常网络流量；以及

判断所述当前观察窗的流量决策值是否超过一网络流量阈值，如果超过，则确认检测到异常网络流量。

2.根据权利要求1所述的方法，其特征在于，所述根据所述当前观察窗内至少一个低频值和至少一个高频值计算所述当前观察窗的流量决策值包括：

计算所述当前观察窗内所述至少一个低频值的平均值以及所述至少一个高频值的和，其中，所述高频值的和指所述当前观察窗内所述至少一个高频值及其绝对值的和；以及

根据所述低频值的平均值和所述高频值的和，计算所述当前观察窗的流量决策值。

3.根据权利要求1或2所述的方法，其特征在于，该方法进一步包括：

根据之前保存的设定数量个历史观察窗内低频值的信息和高频值的信息，确定所述网络流量阈值。

4.根据权利要求3所述的方法，其特征在于，

所述之前保存的设定数量个历史观察窗内低频值的信息和高频值的信息为：之前保存的第一设定数量个历史观察窗内的低频值平均值和第二设定数量个历史观察窗内的高频值的和；

所述根据之前保存的设定数量个历史观察窗内低频值的信息和高频值的信息，确定所述网络流量阈值包括：

从所述第一设定数量个历史观察窗内的低频值平均值中选取最大的低频值平均值作为低频系数，从所述第二设定数量个历史观察窗内的高频值的和中选取最大的高频值的和作为高频系数；

计算设定时间段内的历史检测时间点的网络流量值的平均值，以及设定时间段内的历史观察窗内的高频值的和的平均值；

将所述低频系数与所述设定时间段内的历史检测时间点的网络流量值的平均值进行比较，将较大者确定为低频参考系数；将所述高频系数与所述设定时间段内的历史观察窗内的高频值的和的平均值进行比较，将较大者确定为高频参考系数；

根据所述低频参考系数与所述高频参考系数，计算所述网络流量阈值。

5.根据权利要求4所述的方法，其特征在于，

所述第一设定数量个历史观察窗内的低频值平均值为：最小的i个历史观察窗内的低频值平均值，其中，i是大于2的整数；

所述第二设定数量个历史观察窗内的高频值的和为：最小的j个历史观察窗内的高频值的和，其中，j是大于2的整数；

所述从第一设定数量个历史观察窗内的低频值平均值中选取最大的低频值平均值作为低频系数包括：从所述最小的i个历史观察窗内的低频值平均值中选取最大的低频值平均值作为低频系数；

所述从第二设定数量个历史观察窗内的高频值的和中选取最大的高频值的和作为高频系数包括：从所述最小的j个历史观察窗内的高频值的和中选取最大的高频值和作为高频系数。