[发明专利]网络流量异常在线检测方法、系统、计算机设备及存储介质

说明书

本申请公开了本发明提供了一种网络流量异常在线检测方法、系统、计算机设备及存储介质，包括：数据获取步骤：将获得的网络流量按照发生的时间顺序对数据包进行编号形成数值序列，通过滑动窗口从所述数值序列中提取子序列；最终特征获得步骤：利用小波分析从每个滑动窗口内的所述子序列中提取能量特征及时域特征，将所述能量特征及所述时域特征融合后获得最终特征；检测模型获得步骤：根据所述最终特征对聚类模型中进行训练获得检测模型；在线检测步骤：根据在线检测数据通过所述检测模型输出检测结果。本发明网络流量异常在线检测系统的优势，检测效率有明显的提高。

技术领域

本发明属于网络流量异常在线检测领域，具体涉及一种网络流量异常在线检测方法、系统、计算机设备及存储介质。

背景技术

异常检测：不同于常规模式下的问题和任务，异常检测针对的是少数、不可预测或不确定、罕见的事件，它具有独特的复杂性，使得一般的机器学习和深度学习技术无效。

小波分析：时间(空间)频率的局部化分析，它通过伸缩平移运算对信号(函数)逐步进行多尺度细化，最终达到高频处时间细分，低频处频率细分，能自动适应时频信号分析的要求，从而可聚焦到信号的任意细节，解决了Fourier变换的困难问题，成为继Fourier变换以来在科学方法上的重大突破。

(1)基于特征的异常检测方法：通过查找与异常特征匹配的网络流量数据中的模式来检测异常。这种基于特征的检测方法可以有效地处理一些常见的攻击行为。然而，由于所提取的特征是预先确定的，因此基于特征的检测方法不能检测一些相对少见的攻击和新类型的攻击。此外，规则特征库需要不断进行更新，否则将大大降低检测检测效果。

(2)基于统计分析的异常检测方法：该方法基于数值序列对数据进行采样和分析，并利用统计方法描述流量特征，检测异常。通过对网络中不同层次的流量数据的统计分析，建立了数据统计结果与常见的网络攻击之间的映射关系，以检测异常情况。这种方法可以应用于各种网络环境，保证了高准确率和低计算复杂度的攻击检测。然而，这种方法通常需要一个特定的阈值，当流型发生变化时，该阈值不能进行自适应调整。

(3)基于数据挖掘的异常检测方法：数据挖掘可以直接从大量的网络流量审计数据中总结出检测规则，而无需人工指定阈值。通常可以通过分析URL参数、POST参数、Cookie等Web攻击载荷，挖掘攻击载荷内部特征，如特征关键字、特殊字符频率等，然后用与各自的识别模型中。数据挖掘方法效果更好的同时也伴随着更加复杂的操作步骤和更低的执行效率。为了能够适应当前数据时代的发展和网络流量环境的规模不断扩大化，需要对其进一步优化。

本发明主要是为了解决大数据背景下网络流量异常检测的实时性、准确性。可以将网络流量视为信号，利用小波分析可以有效地检测短期和长期网络流量异常。将正常网络流量的时变信号与异常网络流量的时变信号进行比较可以发现，其频带范围或频率特性不同。小波分析能够表征信号的局部特征，并能有效地从信号中提取信息。利用小波分析可以同时分析时域和频域的异常流量信号，提高检测效率，降低误检率和漏检率。

发明内容

本申请实施例提供了一种网络流量异常在线检测方法、系统、计算机存储设备，以至少解决相关技术中主观因素影响的问题。

本发明提供了一种网络流量异常在线检测方法，其中，包括：

数据获取步骤：将获得的网络流量按照发生的时间顺序对数据包进行编号形成数值序列，通过滑动窗口从所述数值序列中提取子序列；

最终特征获得步骤：利用小波分析从每个滑动窗口内的所述子序列中提取能量特征及时域特征，将所述能量特征及所述时域特征融合后获得最终特征；

检测模型获得步骤：根据所述最终特征对聚类模型中进行训练获得检测模型；

在线检测步骤：根据在线检测数据通过所述检测模型输出检测结果。