[发明专利]一种自适应的网络流量异常检测方法

摘要

本发明公开了一种自适应的网络流量异常检测方法，属于网络安全领域，解决现有检测方法，自适性差、开销大和时效性差等问题。本发明包括第一阶段和第二阶段；若为初始学习则执行第一阶段，否则执行第二阶段；第一阶段为初始学习阶段，将最大值学习值作为该网络流量指标的预警阈值触发告警、突跳比例学习值和突跳值学习值作为共同预警阈值触发告警、突跳比例学习值和陡降比例学习值作为共同预警阈值触发告警；第二阶段将更新后的最大值学习值作为该网络流量指标的预警阈值触发告警、突跳比例学习值和突跳值学习值作为共同预警阈值触发告警、突跳比例学习值和陡降比例学习值作为共同预警阈值触发告警。本发明用于自适应学习对网络流量异常检测。

主权项

1.一种自适应的网络流量异常检测方法，其特征在于，包括第一阶段和第二阶段；若为初始学习则执行第一阶段，否则执行第二阶段；第一阶段为初始学习阶段，包括如下步骤：S1、基于n个时间周期，获取每个时间周期内一个或多个网络流量指标的采样值，采样值表示该网络流量指标在该时间周期内的数值，某一个网络流量指标在n个时间周期得到n个采样值；S2、基于每个网络流量指标得到的n个采样值，得到最终最大学习值X_MAX_learn，并将X_MAX_learn*3作为该网络流量指标的预警阈值触发告警；S3、基于小于等于最终最大学习值X_MAX_1earn的该网络流量指标的所有采样值，得到突跳比例学习值X_INC_RATIO_learn和突跳值学习值X_CHANGE_learn作为共同预警阈值触发告警；S4、针对每个网络流量指标的所有采样值，获得陡降比例学习值X_DEC_RATIO_learn，将突跳值学习值X_CHANGE_learn和陡降比例学习值X_DEC_RATIO_learn作为该网络流量指标的共同预警阈值触发告警；S5、将步骤S2‑S4得到的某网络流量指标的结果，对步骤S1获取的对应网络流量指标的n个采样值进行检测，若满足任意一结果，则触发告警，否则不触发告警。第二阶段为持续学习与告警阶段，包括如下步骤：步骤1、基于m个时间周期，再次获取每个时间周期内某网络流量指标的采样值；步骤2、基于新获取的某网络流量指标的m个采样值对上一次得到的最终的最大值学习值X_MAX_learn、突跳值学习值X_CHANGE_learn、突跳比例学习值X_INC_RATIO_learn和陡降比例学习值X_DEC_RATIO_learn进行更新；步骤3、基于更新后的某网络流量指标的结果，再对步骤1中新获取的对应的网络流量指标的n个采样值进行检测，若满足任意一结果，则触发告警，否则不触发告警。