[发明专利]异常网络流量的检测方法、装置、电子设备及存储介质

权利要求书

1.一种异常网络流量的检测方法，其特征在于，包括：

根据目标设备的网络全流量确定所述目标设备与其他设备之间的访问关系；其中，所述网络全流量为所述目标设备在目标时间段内的网络全流量；

根据所述访问关系与预设访问规则配置流量访问策略；其中，所述预设访问规则为允许或禁止所述目标设备访问其他设备的规则；

利用所述流量访问策略检测所述目标设备的异常访问流量；

其中，利用所述流量访问策略检测所述目标设备的异常访问流量包括：在得到所述流量访问策略之后，利用所述流量访问策略对所述目标设备中的访问流量进行实时监控，进而确定所述异常访问流量。

2.根据权利要求1所述检测方法，其特征在于，根据所述访问关系与预设访问规则配置流量访问策略包括：

若所述访问关系对应的其他设备为黑名单中的第一设备，则生成禁止所述目标设备访问所述第一设备的流量访问策略，和/或，禁止所述第一设备访问所述目标设备的流量访问策略；

若所述访问关系对应的其他设备为白名单中的第二设备，则生成允许所述目标设备访问所述第二设备的流量访问策略，和/或，允许所述第二设备访问所述目标设备的流量访问策略。

3.根据权利要求1所述异常网络流量的检测方法，其特征在于，根据所述访问关系与预设访问规则配置流量访问策略包括：

根据所述访问关系对应的五元组与所述预设访问规则配置所述流量访问策略。

4.根据权利要求3所述异常网络流量的检测方法，其特征在于，还包括：

将所述访问关系对应的应用信息、生效时间和域名信息设置为所述流量访问策略的辅助评价信息；

相应的，利用所述流量访问策略检测所述目标设备的包括：

获取待检测流量对应的待检测访问关系；

判断所述待检测访问关系对应的五元组是否符合所述流量访问策略；

若所述待检测访问关系对应的五元组不符合所述流量访问策略，则判定所述待检测流量为异常访问流量；

若所述待检测访问关系对应的五元组符合所述流量访问策略，则将所述待检测访问关系对应的五元组所符合的流量访问策略设置为目标流量访问策略；

判断所述待检测访问关系对应的应用信息、生效时间和域名信息与所述目标流量访问策略的辅助评价信息是否相同；

若不相同，则判定所述待检测流量为异常访问流量。

5.根据权利要求4所述异常网络流量的检测方法，其特征在于，在若所述待检测访问关系对应的五元组不符合所述流量访问策略，则判定所述待检测流量为异常访问流量之后，还包括：

判断所述异常访问流量不符合所述流量访问策略的原因是否为五元组失效；

若是，则根据所述异常访问流量的五元组更新流量访问策略。

6.根据权利要求1所述检测方法，其特征在于，在利用所述流量访问策略检测所述目标设备的异常访问流量之后，还包括：

判断所述异常访问流量是否被误判；

若是，则根据所述异常访问流量生成新流量访问策略。

7.根据权利要求1至6任一项所述异常网络流量的检测方法，其特征在于，还包括：

在用户界面生成所述网络全流量对应的可视化信息；其中，所述可视化信息包括目标设备的设备信息、访问趋势和访问信息中任一项或任几项的组合，所述设备信息包括会话数量、开放端口名称和总流量，所述访问信息包括访问对象组和所述访问对象组对应的访问方向，所述访问对象组通过对所述其他设备按照预设分组规则聚合得到。

8.根据权利要求7所述异常网络流量的检测方法，其特征在于，还包括：

若接收到访问方向筛选指令，则确定所述访问方向筛选指令对应的目标访问方向，并显示所述目标访问方向对应的可视化信息；其中，所述目标访问方向包括所述目标设备访问所述其他设备的访问方向，或所述其他设备访问所述目标设备的访问方向；

若接收到访问对象筛选指令，则确定所述访问对象筛选指令对应的目标访问对象组，并显示所述目标对象访问组内每一设备对应的可视化信息。