[发明专利]一种网络异常检测方法、装置、设备和介质

说明书

本发明公开了一种网络异常检测方法、装置、设备和介质，由于该方法基于预先训练完成的每种应用层协议对应的条件随机场模型，检测数据流的对应协议行为，若协议行为异常则确定网络异常，从而提高了对待检测网络的实时检测准确性。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络异常检测方法、装置、设备和介质。

背景技术

在现有的主流的网络异常检测方法包括：基于主机的网络异常检测方法以及基于网络的网络异常检测方法。

基于主机的网络异常检测方法主要是检测主机日志和操作指令，从而确定是否发生网络异常，但其只能在发生网络异常之后进行事后追溯，不能实时检测是否发生网络异常。而基于网络的网络异常检测方法主要是检测网络行为，网络行为包括正常网络行为和异常网络行为，若检测到异常网络行为则确定发生网络异常，但是基于网络的网络异常检测方法的误报率较高。

因此，如何提高对网络异常的实时检测的准确度就成为亟待解决的技术问题。

发明内容

本发明提供了一种网络异常检测方法、装置、设备和介质，用以解决现有技术中的问题。

本发明提供了一种网络异常检测方法，所述方法包括：

获取待检测网络在预设时间周期内传输的每条数据流；

针对每条数据流，根据该条数据流中任一数据报文的目标头部关键字以及预先保存的每种应用层协议对应的头部关键字，确定所述目标头部关键词对应的目标应用层协议，根据该条数据流中包含的数据报文，获取目标预设协议行为特征属性对应的目标属性值，将目标属性值输入预先训练完成的所述目标应用层协议对应的目标条件随机场模型，获取该条数据流对应的协议行为检测结果；

若任一数据流对应的协议行为检测结果为异常，则确定所述待检测网络的网络异常。

进一步地，所述根据该条数据流中包含的数据报文，获取目标预设协议行为特征属性对应的目标属性值包括：

若所述目标预设协议行为特征属性包含用户行为标识和用户IP，则从该条数据流包含的任一数据报文中获取用户行为标识的标识信息和用户IP，将获取的用户行为标识和用户IP分别确定为目标属性值；

若所述目标预设协议行为特征属性包含数据包字节数和数据包数量，则从该条数据流包含的每个数据报文中获取包含的字节数、以及包含的数据包的数量，将获取的字节数的和值和数据包的总数量分别确定为目标属性值；

若所述目标预设协议行为特征属性包含用户行为开始时间和用户行为结束时间，则根据该条数据流包含的每个数据报文中携带的时间戳，获取该条数据流对应的每个开始时间和每个结束时间，将获取的时间最早的开始时间、和时间最晚的结束时间分别确定为目标属性值。

进一步地，所述方法还包括：

若所述每条数据流对应的协议行为检测结果均正常，则确定所述待检测网络的网络正常。

进一步地，所述获取待检测网络在预设时间周期内传输的每条数据流之后，所述针对每条数据流，根据该条数据流中任一数据报文的目标头部关键字、以及预先保存的每种应用层协议对应的头部关键字，确定所述目标头部关键词对应的目标应用层协议之前，所述方法还包括：

根据每条数据流中包含的每个数据报文，获取每条数据流的聚合条件要素值，其中聚合条件要素包括源IP地址、流方向、传输层协议、应用层协议和端口；

针对每条数据流，确定与该条数据流的聚合条件要素值一致的其他数据流，将该数据路与所述其他数据流聚合为一条数据流；

针对得到的每条数据流进行后续针对每条数据流，根据该条数据流中任一数据报文的目标头部关键字、以及预先保存的每种应用层协议对应的头部关键字，确定所述目标头部关键词对应的目标应用层协议的操作。