[发明专利]DNS流量异常检测方法、装置、电子设备及存储介质

权利要求书

1.一种DNS流量异常检测方法，其特征在于，包括：

获取DNS流量的历史数据和当前数据；

根据DNS流量的历史数据和当前数据，获取残差数据，所述残差数据包括历史数据的残差数据和当前数据的残差数据；

根据历史数据的残差数据和当前数据的残差数据，检测当前DNS流量是否存在异常。

2.根据权利要求1所述的方法，其特征在于，所述根据历史数据的残差数据和当前数据的残差数据，检测当前DNS流量是否存在异常，包括：

根据历史数据的残差数据确定与历史数据的残差数据匹配的分布模型，并根据当前数据的残差数据与所述分布模型的异常值判定标准，检测当前DNS流量是否存在异常。

3.根据权利要求2所述的方法，其特征在于，所述分布模型为高斯分布；

相应地，所述根据当前数据的残差数据与所述分布模型的异常值判定标准，检测当前DNS流量是否存在异常，包括：

判断当前数据的残差数据是否满足所述高斯分布的异常值判定标准，若是，则确定当前DNS流量存在异常。

4.根据权利要求3所述的方法，其特征在于，所述高斯分布的异常值判定标准为μ+4σ，其中，μ表示高斯分布的均值，σ表示高斯分布的标准差；

相应地，所述判断当前数据的残差数据是否满足所述高斯分布的异常值判定标准，包括：

判断当前数据的残差数据是否大于μ+4σ，若是，则确定当前DNS流量存在异常。

5.根据权利要求1～4任一项所述的方法，其特征在于，所述根据DNS流量的历史数据和当前数据，获取残差数据，包括：

采用预设分解算法对DNS流量的历史数据和当前数据进行时间序列分解，获取趋势性数据、周期性数据和残差数据；所述趋势性数据、周期性数据和残差数据包括历史数据的趋势性数据、周期性数据和残差数据和当前数据的趋势性数据、周期性数据和残差数据。

6.一种DNS流量异常检测装置，其特征在于，包括：

第一获取模块，用于获取DNS流量的历史数据和当前数据；

第二获取模块，用于根据DNS流量的历史数据和当前数据，获取残差数据，所述残差数据包括历史数据的残差数据和当前数据的残差数据；

异常检测模块，用于根据历史数据的残差数据和当前数据的残差数据，检测当前DNS流量是否存在异常。

7.根据权利要求6所述的装置，其特征在于，所述异常检测模块，具体用于：

根据历史数据的残差数据确定与历史数据的残差数据匹配的分布模型，并根据当前数据的残差数据与所述分布模型的异常值判定标准，检测当前DNS流量是否存在异常。

8.根据权利要求7所述的装置，其特征在于，所述分布模型为高斯分布；

相应地，所述异常检测模块在根据当前数据的残差数据与所述分布模型的异常值判定标准，检测当前DNS流量是否存在异常时，具体用于：

判断当前数据的残差数据是否满足所述高斯分布的异常值判定标准，若是，则确定当前DNS流量存在异常。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至5任一项所述DNS流量异常检测方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至5任一项所述DNS流量异常检测方法的步骤。