[发明专利]实时识别异常流量的方法、装置、计算机设备和存储介质

权利要求书

1.一种实时识别异常流量的方法，其特征在于，包括：

获取已经接收、且存储在数据库中的流量数据；

从所述流量数据中获取样本集，其中，每个所述流量数据为一个样本，每个所述流量数据被贴有是否是异常流量的标签；

将所述样本集分出初始训练样本集；

将所述初始训练样本集分别输入逻辑回归LR模型与随机森林RF模型进行训练，其中，根据逻辑回归LR模型与随机森林RF模型的输出结果判定所述初始训练样本集的每个样本是否是异常流量，如果判定结果与样本的标签一致，则判定结果准确，判定结果准确的样本数占所述初始训练样本集中的样本总数的比为准确度，在所述准确度均没有达到预定阈值时，不断对所述逻辑回归LR模型与随机森林RF模型进行训练，直到所述准确度均达到预定阈值；

将所述样本集中所述初始训练样本集以外的样本组成对抗训练样本集；

将所述对抗训练样本集分别输入所述LR模型与所述RF模型；

如果基于所述LR模型与RF模型的输出判定出的所述对抗训练样本集中的样本是否是异常流量的判定结果一致，却与所述样本的标签不一致，将所述样本的标签改变为与所述判定结果一致；

确定所述LR模型与RF模型的输出判定出的所述对抗训练样本集中的样本是否是异常流量的判定结果一致、却与所述样本的标签不一致的数量占所述对抗训练样本集中样本总数的比；

如果所述比大于预定阈值，将标签改变后的对抗训练样本集再次输入所述LR模型与RF模型，重复基于所述LR模型与所述RF模型的输出判定出的所述对抗训练样本集中的样本是否是异常流量的判定结果一致、却与该样本的标签不一致，则将所述样本的标签改变为与所述判定结果一致，并确定所述比的过程，直到所述比不大于预定阈值；

接收实时流量数据；

将所述实时流量数据分成第一部分和第二部分，其中，所述第一部分被贴有是否是异常流量的标签；

将所述LR模型与RF模型同时投入对所述第一部分中的实时流量数据的识别中；

确定LR模型的判定结果与贴有的标签一致的实时流量数据数占第一部分中的所有实时流量数据的占比，作为第一准确度；确定RF模型的判定结果与贴有的标签一致的实时流量数据数占第一部分中的所有实时流量数据的占比，作为第二准确度；

将第一准确度和第二准确度中准确度更高的模型配置到第二部分中的实时异常流量的识别中，并进行异常流量的实时识别。

2.根据权利要求1的方法，其特征在于，所述获取样本集，包括：

将所述流量数据输入离线异常流量识别模型，由异常流量识别模型输出正样本及负样本，所述正样本为正常流量样本，打上正常流量标签；所述负样本为异常流量样本，打上异常流量标签；

将所有所述正样本及负样本进行数据清洗，其中清洗过的样本组成所述样本集。

3.根据权利要求2的方法，其特征在于，将所述正样本及负样本进行数据清洗，包括：对格式转换失败、部分格式转换的数据进行删除。

4.根据权利要求1的方法，其特征在于，根据逻辑回归LR模型的输出结果判定所述初始训练样本集的每个样本是否是异常流量包括：将逻辑回归LR模型输出的异常流量风险分数与预定风险分数阈值进行比较，其中，如果输出的异常流量风险分数高于预定风险分数阈值，则该样本是异常流量。

5.根据权利要求1的方法，其特征在于，第一部分被贴有是否是异常流量的标签是通过将第一部分中的流量数据输入所述LR模型与RF模型以外的其它异常流量数据识别模型进行的。