[发明专利]基于网络流量大数据的异常行为检测方法、系统和介质

权利要求书

1.基于网络流量大数据的异常行为检测方法，其特征在于，包括以下步骤：

采集预设时间段内的网络访问流量轨迹特征信息，所述网络访问流量轨迹特征信息包括流量日志信息、访问事件信息、访问领域内容信息以及访问主体用户信息；

根据所述访问主体用户信息提取主体用户特征信息，并对访问主体用户进行属性识别，获得访问主体用户属性信息；

根据所述流量日志信息、访问事件信息、访问领域内容信息结合所述访问主体用户属性信息生成网络访问流量监测图谱；

根据所述网络访问流量监测图谱提取各访问主体用户在各子时段的访问流量特征数据，所述访问流量特征数据包括流量地域时间点数据、访问流量领域数据、访问流量应用数据和访问流量层级数据；

采集所述各子时段的网络环境动态数据，并结合所述访问主体用户在对应子时段的所述访问流量特征数据进行处理，获得各子时段的网络访问行为评测数据；

根据所述访问主体用户属性信息结合所述网络环境动态数据以及访问领域内容信息在预设的网络行为管理数据库中进行处理，获得所述访问主体用户在对应子时段的用户网络访问标准规范数据；

根据所述网络访问行为评测数据与对应子时段的所述用户网络访问标准规范数据进行偏离度计算处理，获得所述子时段的网络访问行为偏离系数，并对所述预设时间段内的网络访问行为偏离系数进行访问轨迹聚合，获得所述访问主体用户在预设时间段的访问行为异常指数；

根据所述访问行为异常指数与预设的网络行为稳态检测阈值进行阈值对比，检测所述访问主体用户的网络流量访问行为信息状况。

2.根据权利要求1所述的基于网络流量大数据的异常行为检测方法，其特征在于，所述根据所述访问主体用户信息提取主体用户特征信息，并对访问主体用户进行属性识别，获得访问主体用户属性信息，包括：

根据所述访问主体用户信息提取主体用户特征信息，所述主体用户特征信息包括访问用户身份信息、访问用户权限信息、访问用户授权级别信息；

根据所述访问用户身份信息、访问用户权限信息、访问用户授权级别信息输入预设的流量访客属性识别模型中进行处理，获得访问主体用户属性信息；

所述访问主体用户属性信息包括用户身份认证信息和用户行为授权信息。

3.根据权利要求2所述的基于网络流量大数据的异常行为检测方法，其特征在于，所述根据所述流量日志信息、访问事件信息、访问领域内容信息结合所述访问主体用户属性信息生成网络访问流量监测图谱，包括：

根据所述流量日志信息、访问事件信息、访问领域内容信息提取流量日志记载数据、访问事件记录数据、访问领域内容数据；

基于访问流量监测管理平台的预设访问数据链接融合模型对所述流量日志记载数据、访问事件记录数据、访问领域内容数据进行数据融合，并与所述用户身份认证信息和用户行为授权信息进行信息链接，生成网络访问流量监测图谱。

4.根据权利要求3所述的基于网络流量大数据的异常行为检测方法，其特征在于，所述采集所述各子时段的网络环境动态数据，并结合所述访问主体用户在对应子时段的所述访问流量特征数据进行处理，获得各子时段的网络访问行为评测数据，包括：

采集所述各子时段的网络环境动态数据，所述网络环境动态数据包括异常告警动态数据、漏洞监测动态数据以及攻击频次动态数据；

对各子时段的所述异常告警动态数据、漏洞监测动态数据以及攻击频次动态数据进行处理，获得对应子时段的网络环境稳态系数；

根据所述网络环境稳态系数结合所述访问主体用户对应的访问流量特征数据输入访问流量行为模型中进行计算处理，获得对应子时段的网络访问行为评测数据；

所述网络访问行为评测数据的计算公式为：

；

其中，为第i个子时段的网络访问行为评测数据，、、、分别为第i个子时段的流量地域时间点数据、访问流量领域数据、访问流量应用数据、访问流量层级数据，为预设网络流量异动因子，为第i个子时段的网络环境稳态系数，、、、为特征系数。