[发明专利]异常网络数据行为模型的获取方法、装置、电子设备及存储介质

说明书

本申请公开了一种异常网络数据行为模型的获取方法、装置、电子设备及存储介质。该方法在获取第一网络的第一混合网络数据，第二网络的第一类型网络数据和第三网络的第二混合网络数据后，根据三种网络数据的多个netflow数据中流起始时间的先后顺序和预设状态标记规则，分别对第一混合网络数据、第一类型网络数据和第二混合网络数据的属性特征进行状态标记，获取相应的第一状态链、第二状态链和第三状态链；基于相同的目的端口和网络数据类型，采用预设状态链修改规则，对第一状态链、第二状态链和第三状态链进行两两比对和状态链修改，获取异常状态链，以获取异常网络数据行为模型，提高了获取异常数据特征的准确率和效率。

技术领域

本申请涉及通信技术领域，尤其涉及一种异常网络数据行为模型的获取方法、装置、电子设备及存储介质。

背景技术

随着网络规模的迅速扩大、网络技术的复杂化，以及网络设备的多样化，使得网络数据形态呈几何倍数增长变化。

目前，网络数据的检测方法主要是先构建数据特征库：通过人工查找异常网络数据的数据包中特定位置的特殊字段，将该特殊字段作为异常网络数据的异常数据特征，构建数据特征库。在检测过程中，将网络数据与数据特征库中的多个异常数据特征进行匹配，若匹配成功，则确定网络数据为异常网络数据，若匹配不成功，则确定网络数据为正常网络数据。

然而，发明人发现上述构建数据特征库的过程中需要解析数据包的内部信息，之后通过人工查找内部信息中的异常数据特征来构建数据特征库。由于存在人工操作，故存在人为误差，降低了获取异常数据特征的准确性和效率。

发明内容

本申请实施例提供一种异常网络数据行为模型的获取方法、装置、电子设备及存储介质，解决了现有技术存在的上述问题，提高了获取异常数据特征的准确性和效率。

第一方面，提供了一种异常网络数据行为模型的获取方法，该方法可以包括：

获取第一网络的第一混合网络数据，第二网络的第一类型网络数据和第三网络的第二混合网络数据；其中，所述第一混合网络数据为所述第一网络中第一类型网络数据和第二类型网络数据的混合网络数据，所述第二混合网络数据为所述第三网络中在所述第一类型网络数据基础上所述第二类型网络数据从无到有再到无的变化过程的混合网络数据；网络数据包括多个netflow数据，所述netflow数据为基于四元组确定的数据信息，所述四元组包括源地址、目的地址、目的端口和网络数据类型；

根据所述第一混合网络数据、所述第一类型网络数据或所述第二混合网络数据的多个netflow数据中流起始时间的先后顺序和预设状态标记规则，分别对所述第一混合网络数据、所述第一类型网络数据和所述第二混合网络数据的属性特征进行状态标记，获取相应的第一状态链、第二状态链和第三状态链，所述属性特征包括所述netflow数据的周期性、大小和持续时间，状态链是所述具有相同四元组的多个netflow数据的状态集合；

基于相同的目的端口和网络数据类型，采用预设状态链修改规则，对所述第一状态链、所述第二状态链和所述第三状态链进行两两比对和状态链修改，获取异常状态链。

将所述异常状态链确定为异常网络数据行为模型。

在一个可选的实现中，获取相应的第一状态链、第二状态链和第三状态链，包括：

对所述第一混合网络数据、所述第一类型网络数据和所述第二混合网络数据进行netflow类型提取，分别获取所述第一混合网络数据、所述第一类型网络数据和所述第二混合网络数据中具有相同四元组的多个netflow数据；

在所述具有相同四元组的多个netflow数据中，根据预设状态标记规则，对所述多个netflow数据中每个netflow数据的周期性、大小和持续时间进行状态标记，得到所述netflow数据的状态组合；