[发明专利]上网流量异常检测方法及装置

权利要求书

1.一种上网流量异常检测方法，其特征在于，包括：

获取多条上网流量记录的至少两种特征信息；

对所述至少两种特征信息进行聚类运算，以对所述多条上网流量记录进行分类；

根据所述上网流量记录的分类结果所确定的类别以及所述类别对应的异常特征，确定所述上网流量记录是否为异常流量。

2.根据权利要求1所述的上网流量异常检测方法，其特征在于，所述对所述至少两种特征信息进行聚类运算之前，还包括：

对所述至少两种特征信息进行标准化处理，以使所述至少两种特征信息具有相同的取值范围。

3.根据权利要求1所述的上网流量异常检测方法，其特征在于，若所述特征信息包括流量大小信息，则所述对所述至少两种特征信息进行聚类运算之前，还包括：

根据设定的影响因子对所述流量大小信息进行调整，所述影响因子用于增加所述流量大小信息的影响权重。

4.根据权利要求1~3任一项所述的上网流量异常检测方法，其特征在于，所述对所述至少两种特征信息进行聚类运算，包括：

采用K-means聚类运算对所述至少两种特征信息进行聚类运算。

5.根据权利要求1~3任一项所述的上网流量异常检测方法，其特征在于，还包括：

将所述上网流量记录与本地知识库中存储的异常流量信息进行匹配，以确定所述上网流量记录是否为异常流量。

6.一种上网流量异常检测装置，其特征在于，包括：获取模块、分类模块和处理模块；

所述获取模块，用于获取多条上网流量记录的至少两种特征信息；

所述分类模块，用于对所述至少两种特征信息进行聚类运算，以对所述多条上网流量记录进行分类；

所述处理模块，用于根据所述上网流量记录的分类结果所确定的类别以及所述类别对应的异常特征，确定所述上网流量记录是否为异常流量。

7.根据权利要求6所述的上网流量异常检测装置，其特征在于，所述处理模块还用于：

所述对所述至少两种特征信息进行聚类运算之前，对所述至少两种特征信息进行标准化处理，以使所述至少两种特征信息具有相同的取值范围。

8.根据权利要求7所述的上网流量异常检测装置，其特征在于，所述装置还包括：

调整模块，用于所述分类模块对所述至少两种特征信息进行聚类运算之前，若所述特征信息包括流量大小信息，则根据设定的影响因子对所述流量大小信息进行调整，所述影响因子用于增加所述流量大小信息的影响权重。

9.根据权利要求6~8任一项所述的上网流量异常检测装置，其特征在于，所述分类模块对所述至少两种特征信息进行聚类运算，包括：

采用K-means聚类运算对所述至少两种特征信息进行聚类运算。

10.根据权利要求6~8任一项所述的上网流量异常检测装置，其特征在于，所述装置还包括：

匹配模块，用于将所述上网流量记录与本地知识库中存储的异常流量信息进行匹配，以确定所述上网流量记录是否为异常流量。