[发明专利]基于滑动窗口群的网络异常流量检测方法及装置

权利要求书

1.一种基于滑动窗口群的网络异常流量检测方法，其特征在于，包括如下步骤：

步骤1：采集检测时间段T_Z内的网络流量数据，将所述网络流量数据按照时序切割成多个数据单元，所述每个数据单元与1个基本时间窗口相对应，各个基本时间窗口的时间长度T₀相同；将基本时间窗口划分成多个类型，数据单元相应划分为多个类型；

步骤2：计算每个所述数据单元的网络流量特征值；

步骤3：设置多个滑动时间窗口，所述滑动时间窗口时间长度T_H为所述基本时间窗口时间长度T₀的整数倍，所述滑动时间窗口之间的间距为所述基本时间窗口时间长度T₀的整数倍；

步骤4：针对检测时间段T_Z内的网络流量数据，将所述多个滑动时间窗口同步按时序进行滑动，滑动的步长为基本时间窗口时间长度T₀；

步骤5：计算各滑动窗口内网络流量特征值，进行网络异常流量检测；

步骤5中，计算各滑动窗口内网络流量特征值时，将各滑动窗口内相同类型数据单元的网络流量特征值进行累加；

步骤5中，计算滑动窗口内网络流量特征值的置信区间；当滑动窗口内网络流量特征值超出所述置信区间时，判断出现网络异常流量；

步骤1中，基本时间窗口的时间长度T₀为0.5小时、1小时、1.5小时或2小时；

步骤2中，所述网络流量特征值包括收发流量值、收发数据包数量、网络连接的出入度；

步骤2中，所述网络流量特征值的采集范围包括网络终端节点之间的网络流量特征、网络终端节点之间会话的网络流量特征；

步骤3中，各滑动时间窗口之间的间距相同，所述间距为基本时间窗口时间长度T₀的整数倍；

步骤4中，将所述多个滑动时间窗口同步按时序进行滑动，直至滑动时间窗口超出检测时间段T_Z。

2.一种基于滑动窗口群的网络异常流量检测装置，其特征在于，用于执行权利要求1所述的方法。