[发明专利]基于分布式随机森林的异常流量检测方法和系统

权利要求书

1.一种基于分布式随机森林的异常流量检测方法，其特征在于，包括以下步骤：

将流量中包含的多个应用的流量信息划分为每个应用的流量；

提取每个应用的流量的流特征；

基于提取的流特征和该应用的流量检测模型，得到应用的流量状态；以及

根据预存的正常流量状态列表，对比判断该应用的流量状态是否出现异常；

在将流量中包含的多个应用的流量信息划分为每个应用的流量的步骤之前，还包括：建立每个应用对应的流量检测模型；

建立每个应用对应的流量检测模型的步骤包括：

分别采集多个状态下应用的流量统计特征，生成多个会话统计特征文件；

根据需求对多个会话统计特征文件中的一个或多个进行信息融合，生成分类特征文件；

采用移动窗口加权平均法排除所述分类特征文件中的冗余特征分类信息；

对排除冗余特征分类信息后的分类特征文件，根据需求利用PCA识别主要特征；以及

对识别到的主要特征进行随机森林训练，生成流量检测模型。

2.一种基于分布式随机森林的异常流量检测系统，其特征在于，包括：

流分片模块，用于流量中包含的多个应用的流量信息划分为每个应用的流量；

流特征提取模块，用于提取每个应用的流量的流特征；

流量状态获取模块，用于基于提取的流特征和该应用的流量检测模型，得到应用的流量状态；以及

异常检测模块，用于根据预存的正常流量状态列表，对比判断该应用的流量状态是否出现异常；

还包括流量检测模型建立模块，用于建立每个应用对应的流量检测模型；

流量检测模型建立模块包括：

采集单元，用于分别采集多个状态下应用的流量统计特征，生成多个会话统计特征文件；

分类特征文件生成单元，用于根据需求对多个会话统计特征文件中的一个或多个进行信息融合，生成分类特征文件；

冗余特征排除单元，用于采用移动窗口加权平均法排除冗余特征分类信息；

识别单元，用于对排除冗余特征分类信息后的分类特征文件，根据需求利用PCA识别主要特征；以及

生成单元，用于对识别到的主要特征进行随机森林训练，生成流量检测模型。

3.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，计算机程序被处理器执行时实现如权利要求1的基于分布式随机森林的异常流量检测方法的步骤。