[发明专利]一种计算机流量异常检测分析系统

权利要求书

1.一种计算机流量异常检测分析系统，其特征在于：所述网络流量监测过程分为三个阶段：(1)收集网络数据：收集的数据包括与配置相关的静态数据、与网络事件相关的动态数据和从动态数据中总结出来的统计数据；(2)数据处理：对收集的数据进行处理，主要是从中提取感兴趣的不正常的信息；(3)异常检测：对报告的信息进行综合分析，检测是否出现问题，并分析产生问题的原因；所述该分析系统工作流程包括三个步骤，建模样本选择，模型学习建立与偏离度评估；所述目前常用的流量的采集方式分为三种：一是基于SNMP的流量监测技术；二是基于操作系统底层提供的功能；三是基于NetFlow的流量监测技术；所述网络异常通常意味着网络的性能或流量参数等出现异常，在异常检测中，统计模型中常用的测量测度包括审计事件的数量、间隔时间、资源消耗等。

2.根据权利要求1所述的一种计算机流量异常检测分析系统，其特征在于：所述SNMP的流量监测优点是能从宏观的角度查看网络的整体性能和状况，给管理人员从大局的层面分析和解决问题带来了方便；基于操作系统底层提供的功能和其它两种流量采集方式相比，流量镜像采集的最大特点是能够提供丰富的应用层信息；NetFlow的流量监测技术和其它两种流量采集方式相比，流量镜像采集的最大特点是能够提供丰富的应用层信息。

3.根据权利要求1所述的一种计算机流量异常检测分析系统，其特征在于：所述网络流量异常检测的基础是网络上产生的流量数据；按照数据聚集的粒度，网络流量数据源可以分成包追踪，网络流和SNMP统计数据，包追踪是指流经网络或网络链路上的IP数据包序列；网络流是在特定的源和目的端点之间的某一单向应用数据包序列的聚合，由支持网络流功能的路由器按照所转发的数据包的属性进行聚集所产生；网络流不包含数据包的内容信息，但保留了数据包的特征信息；SNMP统计数据是指支持SNMP的网络设备对所流经及转发的数据包按流量进行分类统计的数据，网络流的粒度包含了数据流的主要特征，但却不包含数据的内容，网络流包含了用于异常分析的主要属性，又有较少的数据量，对网络流进行数据分析时不关注包负载，减小了包处理开销，更便于进行高效、实时的网络异常的检测及确定。

4.根据权利要求1所述的一种计算机流量异常检测分析系统，其特征在于：所述对于一个复杂的网络系统，为了保障重要应用的带宽需求，通过基于带宽的网络流量分析会使其更加明确，对网络流量进行协议划分，针对不同的协议进行流量监控和分析，在某一个协议的一个时间段内出现超常暴涨，就有可能是攻击流量或蠕虫病毒出现。

5.根据权利要求1所述的一种计算机流量异常检测分析系统，其特征在于：所述流量异常检测分析系统它通过对采集的网络流量进行挖掘、关联性分析；将网络流量、访问行为和业务系统的安全结合起来，帮助管理人员掌握网络资源使用情况、分析业务系统异常情况，保障业务系统的安全、稳定和高效运行。