[发明专利]训练流量检测模型、检测业务流量异常的方法及装置

权利要求书

1.一种训练流量检测模型的方法，其特征在于，

获取终端设备集群中各个终端设备的训练业务流量，得到训练业务流量集合；

提取所述训练业务流量集合中每个训练业务流量所对应的第一训练特征信息和第二训练特征信息，其中，所述第一训练特征信息用于指示各终端设备的地址特征，所述第二训练特征信息用于指示各终端设备的流量分析特征；

利用所述第一训练特征信息以及所述第二训练特征信息对神经网络模型进行训练，得到所述流量检测模型；

所述提取所述训练业务流量集合中每个训练业务流量所对应的第一训练特征信息，包括：

根据所述训练业务流量集合中每个训练业务流量，确定所述终端设备集群的地址个数；

获取终端设备的目的地址在预设时间内的出现次数；

根据所述终端设备集群的地址个数以及所述终端设备的目的地址在预设时间内的出现次数，计算得到所述第一训练特征信息。

2.根据权利要求1所述的方法，其特征在于，所述根据所述终端设备集群的设备个数以及所述各个终端设备的目的地址在预设时间内的出现次数，计算得到所述第一训练特征信息，包括：

采用如下方式计算所述第一训练特征信息：

其中，所述S₁表示所述第一训练特征信息，所述D_i表示所述第i个终端设备的目的地址在预设时间内的出现次数，所述i表示第i个终端设备，所述n表示所述终端设备集群的地址个数。

3.根据权利要求1所述的方法，其特征在于，所述第二训练特征信息，包括：发送或接收数据包的间隔时长的第一特征数据；各终端设备空闲态与活跃态之间的间隔时长的第二特征数据；发送或者接收每秒字节数和每秒包数的第三特征数据。

4.根据权利要求3所述的方法，其特征在于，所述第一特征数据包括：各终端设备发送数据包的间隔时长的最大值的标准方差、发送数据包的间隔时长的最小值的标准方差、发送数据包的间隔时长的平均值的标准方差、接收数据包的间隔时长的最大值的标准方差、接收数据包的间隔时长最小值的标准方差、接收数据包的间隔时长平均值的标准方差中的至少一项；和/或，

所述第二特征数据包括：各终端设备空闲态之前的最近一次活跃时长的最大值的标准方差、各终端设备空闲态之前的最近一次活跃时长的最小值的标准方差、各终端设备空闲态之前的最近一次活跃时长的平均值的标准方差、各终端设备活跃态之前的最近一次空闲时长的最大值的标准方差、各终端设备活跃态之前的最近一次空闲时长的最小值的标准方差、各终端设备活跃态之前的最近一次空闲时长的平均值的标准方差中的至少一项；和/或，

所述第三特征数据包括:各终端设备发送或接收每秒字节数最大值的标准方差、发送或接收每秒字节数最小值的标准方差、发送或接收每秒字节数平均值的标准方差、发送或接收每秒包数最大值的标准方差、发送或接收每秒包数最小值的标准方差以及每秒包数平均值的标准方差中的至少一项。

5.根据权利要求1至4中任一项所述的方法，其特征在于，所述利用所述第一训练特征信息以及所述第二训练特征信息对神经网络模型进行训练，得到所述流量检测模型，包括：

将所述第一训练特征信息以及所述第二训练特征信息输入至具有N个隐藏层的深度前馈神经网络，其中，所述N为大于或等于1的整数，所述隐藏层采用激活函数进行处理；

通过所述N个隐藏层的深度前馈神经网络输出预测偏离度；

根据所述预测偏离度和实际偏离度确定待优化偏离度；

若所述待优化偏离度满足预设偏离条件，则获取所述流量检测模型；

若所述待优化偏离度未满足所述预设偏离条件，则再次执行步骤将所述第一训练特征信息以及所述第二训练特征信息输入至具有N个隐藏层的深度前馈神经网络至步骤根据所述预测偏离度和实际偏离度确定待优化偏离度，直至所述待优化偏离度满足所述预设偏离条件；

其中，所述预设偏离条件，包括：

其中，所述Δr表示所述待优化偏离度，所述r表示所述预测偏离度，所述r'表示所述实际偏离度，所述n'表示执行步骤将所述第一训练特征信息以及所述第二训练特征信息输入至具有N个隐藏层的深度前馈神经网络至步骤根据所述预测偏离度和实际偏离度确定待优化偏离度的次数，所述β表示判断门限。