[发明专利]一种异常流量的识别方法及装置

说明书

技术领域

本发明涉及一种异常流量的识别方法及装置。

背景技术

网络对我们来说必不可少，但是任何事情都有不利的一面，在使用网络的时候同样会产生很多障碍，而最难避免的就是网络的异常行为，异常行为等同于黑客攻击，它针对网络进行攻击，窃取机密数据，并且给我们带来巨大的损失，客户无法通讯，商务无法进行，进而保证网络流量的安全性就起到了至关重要的作用。针对相关技术中的问题，目前尚未提出有效的解决方案。

发明内容

为了改善上述问题，本发明提供了一种移动电源管理系统及其控制方法。

为了实现上述目的，本发明采用的技术方案如下：

一种异常流量的识别方法，包括以下步骤：

通过旁路抓包抓取网络流量信息，并且根据抓取的网络流量信息生成流量数据；

根据生成的网络流量数据定义出相应的流量特征；

根据不同的流量特征类型进行分类，并且将相同类型的流量特征定义为特征模块；

利用数据分析技术分析加密链接的上下行流量比例，计算出均值和方差；

当某链接的上下行比例和历史均值出现了很大的偏离，则定位异常可能发生的网络用户。

进一步地，抓取的网络流量信息包括时间信息、源地址、源端口、目的地址、目的端口、TCP/UDP协议、方向、长度、头部长度、tcp头部长度、tcp标志位、上行流量、下行流量、上行包数、下行包数。

再进一步地，根据流量数据，计算网络中加密流量的上下行数据比例和方差。

一种异常流量的识别装置，包括抓包装置、流量定义装置、特征模块生成装置、特征点选取装置以及异常用户定位装置；其中：

抓包装置：用于通过旁路抓包抓取网络流量信息，并且根据抓取的网络流量信息生成流量数据；

流量定义装置：用于根据生成的网络流量数据定义出相应的流量特征；

特征模块生成装置：用于根据不同的流量特征类型进行分类，并且将相同类型的流量特征定义为特征模块；

特征点选取装置：用于利用加密链接上下行流量比例的均值的方差，根据属性向量计算后验概率进而选取特征点；

异常用户定位装置：用于链接属性和历史概率比出现了很大的偏离，则定位异常发生的网络用户。

进一步地，所述抓包装置抓取的信息时间信息，源地址，源端口，目的地址，目的端口，TCP/UDP协议，方向，长度，头部长度，tcp头部长度，tcp标志位，上行流量，下行流量，上行包数，下行包数。

本发明与现有技术相比，具有以下优点及有益效果：

本发明的异常行为识别方法基于行为分析技术进行识别，具有良好的实时性，能够应用于多种场合，同时，通过信息积累，能进一步发现更多的异常流量。

附图说明

图1为本发明的流程图。

具体实施方式

下面结合附图和实施例对本发明作进一步说明，本发明的实施方式包括但不限于下列实施例。

实施例

如图1所示，一种异常流量的识别方法，包括以下步骤：

通过旁路抓包抓取网络流量信息，并且根据抓取的网络流量信息生成流量数据；其中，抓取的网络流量信息包括时间信息、源地址、源端口、目的地址、目的端口、TCP/UDP协议、方向、长度、头部长度、tcp头部长度、tcp标志位、上行流量、下行流量、上行包数、下行包数。

根据生成的网络流量数据定义出相应的流量特征；

根据不同的流量特征类型进行分类，并且将相同类型的流量特征定义为特征模块；

统计出网络内加密链接的上下行流量比例，计算出均值和方差，对于明显偏离均值的链接进行重点分析；如果出现了异常发生的网络链接，结合其它基础数据，分析此链接是否是木马反向控制链接；

当某链接的上下行比例和历史均值出现了很大的偏离，则定位异常可能发生的网络用户。

综上所述，借助于本发明的上述技术方案，通过流量特征提取、流量行为分析等等步骤，本发明的异常行为识别方法基于行为分析技术进行识别，具有良好的实时性，能够应用于多种场合，同时，通过信息积累，能进一步发现更多的异常流量。

实施例2

一种异常流量的识别装置，包括抓包装置、流量定义装置、特征模块生成装置、特征点选取装置以及异常用户定位装置；其中：

抓包装置：用于通过旁路抓包抓取网络流量信息，并且根据抓取的网络流量信息生成流量数据；

流量定义装置：用于根据生成的网络流量数据定义出相应的流量特征；