[发明专利]一种基于Netflow日志数据的网络安全威胁分析方法及系统

权利要求书

1.一种基于Netflow日志数据的网络安全威胁分析方法，其特征在于，该方法包括以下步骤：

1)对镜像网络流量数据进行采集，并对采集的Netflow数据进行归一化处理，以输入的Netflow数据作为输入文档，通过大量该输入文档对LDA分析模型进行训练，得到收敛的结果，并保存训练好的LDA分析模型，同时设定一个告警阈值；

2)通过所述LDA分析模型对新采集到的Netflow数据进行分析得到一个分值；

3)当判断分值低于告警阀值时，确定新采集的Netflow数据为可疑Netflow数据，在前端页面进行展示，向用户告警，否则直接跳转到步骤4)；

4)结束。

2.根据权利要求1所述的方法，在所述步骤3)中当判断分值低于告警阀值时，确定新采集的Netflow数据为可疑Netflow数据，在前端页面进行展示，向用户告警之后，还包括下列步骤：

针对确定的发现的可疑Netflow数据进行分析，找到该可疑Netflow数据对应的源IP地址和目的IP地址，并与对应的位置信息关联，展示在地图上。

3.根据权利要求1所述的方法，所述LDA分析模型中，将对Netflow数据处理后的词语形成的文档作为文档集合D，将Netflow数据处理后形成的词语作为文档词语集合W，将

Netflow数据中的网络行为主题作为文档主题集合T。

4.根据权利要求3所述的方法，所述Netflow数据中每个词语在文档集合中出现的概率标识为：根据该概率确定新采集到的Netflow数据的分值。

5.根据权利要求3或4所述的方法，将每条Netflow数据分成两个独立的词语，一个是与源IP文档对应，另一个是与目的IP文档相对应,所述Netflow数据处理后的词语由以下参数组成：

Netflow数据中的流量方向特征标识、端口标识、协议、时间、数据包的大小和数据包的数量。

6.一种基于Netflow日志数据的网络安全威胁分析系统，其特征在于，该系统包括：

LDA分析模型训练模块，对镜像网络流量数据进行采集，并对采集的Netflow数据进行归一化处理，以输入的Netflow数据作为输入文档，通过大量该输入文档对LDA分析模型进行训练，得到收敛的结果，并保存训练好的LDA分析模型，同时设定一个告警阀值；

Netflow数据分析模块，通过所述LDA分析模型对新采集到的Netflow数据进行分析得到一个分值；

告警模块，当判断分值低于告警阀值时，确定新采集的Netflow数据为可疑Netflow数据，在前端页面进行展示，向用户告警。

7.根据权利要求6所述的系统，所述告警模块包括：

展示子模块，用于针对确定的发现的可疑Netflow数据进行分析，找到该可疑Netflow数据对应的源IP地址和目的IP地址，并与对应的位置信息关联，展示在地图上。

8.根据权利要求6所述的系统，所述LDA分析模型中，将对Netflow数据处理后的词语形成的文档作为文档集合D，将Netflow数据处理后形成的词语作为文档词语集合W，将Netflow数据中的网络行为主题作为文档主题集合T。