[发明专利]一种异常流量的识别方法及装置

权利要求书

1.一种异常流量的识别方法，其特征在于:包括以下步骤：

通过旁路抓包抓取网络流量信息，并且根据抓取的网络流量信息生成流量数据；

根据生成的网络流量数据定义出相应的流量特征；

根据不同的流量特征类型进行分类，并且将相同类型的流量特征定义为特征模块；

利用数据分析技术分析加密链接的上下行流量比例，计算出均值和方差；

当某链接的上下行比例和历史均值出现了很大的偏离，则定位异常可能发生的网络用户。

2.根据权利要求1所述的移动电源管理系统，其特征在于，抓取的网络流量信息包括时间信息、源地址、源端口、目的地址、目的端口、TCP/UDP协议、方向、长度、头部长度、tcp头部长度、tcp标志位、上行流量、下行流量、上行包数、下行包数。

3.一种异常流量的识别装置，其特征在于，包括抓包装置、流量定义装置、特征模块生成装置、特征点选取装置以及异常用户定位装置；其中：

抓包装置：用于通过旁路抓包抓取网络流量信息，并且根据抓取的网络流量信息生成流量数据；

流量定义装置：用于根据生成的网络流量数据定义出相应的流量特征；

特征模块生成装置：用于根据不同的流量特征类型进行分类，并且将相同类型的流量特征定义为特征模块；

特征点选取装置：用于利用加密链接上下行流量比例的均值的方差，根据属性向量计算后验概率进而选取特征点；

异常用户定位装置：用于链接属性和历史概率比出现了很大的偏离，则定位异常发生的网络用户。

4.根据权利要求3所述的一种异常流量的识别装置，其特征在于，所述抓包装置抓取的信息包括时间信息，源地址，源端口，目的地址，目的端口，TCP/UDP协议，方向，长度，头部长度，tcp头部长度，tcp标志位，上行流量，下行流量，上行包数，下行包数。