[发明专利]基于LOF和孤立森林的访问流量异常检测方法及设备

权利要求书

1.一种基于LOF和孤立森林的访问流量异常检测方法，其特征在于，包括：

步骤1.流量预处理：对访问流量数据进行预处理得到流量数据集，所述预处理包括流量提取、流量清洗和流量规格化；

步骤2.机器学习模型训练：将所述流量数据集作为模型输入进行机器学习训练，分别使用局部离群因子LOF检测算法和孤立森林算法进行多次迭代训练，得到训练好的两组共N个异常检测模型并保存；

步骤3.联合智能分析：使用步骤2训练好的两组所述异常检测模型进行目标流量检测，利用装袋Bagging算法进行结果筛选；

所述流量提取包括：使用网络抓包工具把pcap流量源文件导出成csv格式的流量文件；

所述流量清洗包括：对于csv格式的流量文件，去掉头部的特征行，将文本转化为数值并将无用数据行删除，只保留访问流量检测所需要的数据；

所述流量规格化包括：通过设定的特征值的范围对流量特征数据进行归一化，进而生成最终的流量数据并进行整合形成流量数据集。

2.根据权利要求1所述的基于LOF和孤立森林的访问流量异常检测方法，其特征在于，所述访问流量检测所需要的数据包括：发送字节数和接受字节数。

3.根据权利要求1所述的基于LOF和孤立森林的访问流量异常检测方法，其特征在于，使用局部离群因子LOF检测算法进行训练的方法包括：计算所述流量数据集中的每个点的局部离群因子LOF，并判断局部离群因子LOF是否接近于1；若远大于1，则认为该点是离群点；若接近于1，则认为该点是正常点。

4.根据权利要求3所述的基于LOF和孤立森林的访问流量异常检测方法，其特征在于，计算局部离群因子LOF的方法包括：

步骤201.计算对象p的第k距离；

步骤202.计算对象p的局部可达密度，即对象p的第k距离邻域内的点到对象p的平均可达距离的倒数，其中对象p的第k距离邻域表示与对象p之间距离小于等于第k距离的对象集合；

步骤203.计算局部离群因子LOF，即对象p的邻域点的局部可达密度与对象p的局部可达密度之比的平均数。

5.根据权利要求1所述的基于LOF和孤立森林的访问流量异常检测方法，其特征在于，使用孤立森林算法进行训练的方法包括：

步骤211.从所述流量数据集中随机选取n条数据作为子样本，并作为一棵孤立树的根节点；

步骤212.随机指定一个维度，在当前节点数据范围内，随机产生一个切割点p，切割点p产生于当前节点数据中指定维度的最大值与最小值之间；

步骤213.切割点p选取处即作为一个超平面，将当前节点数据空间切分为2个子空间，把当前所选维度下小于切割点p的点放在当前节点的左分支，把大于等于切割点p的点放在当前节点的右分支；

步骤214.在当前节点的左分支和右分支节点递归步骤212、步骤213，不断构造新的叶子节点，直到叶子节点上只有一个数据或树已经生长到了所设定的高度；

步骤215.重复步骤211-步骤214进行采样和构建孤立树，形成孤立森林，并对孤立森林中的每棵孤立树进行测试。

6.根据权利要求1所述的基于LOF和孤立森林的访问流量异常检测方法，其特征在于，利用装袋Bagging算法进行结果筛选的方法包括：通过N个所述异常检测模型进行投票表决，最后进行加权平均得到异常得分，根据预设的异常阈值来判断该异常得分的访问流量是否异常，得到最后的异常检测结果。

7.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1-6任一项所述的基于LOF和孤立森林的访问流量异常检测方法的步骤。