[发明专利]异常流量的检测方法、装置和计算机可读存储介质

权利要求书

1.一种异常流量的检测方法，其特征在于，所述方法包括：

获取终端的流量数据；

将所述流量数据与沙盒模型中的预设特征进行比对，得到第一比对结果；

根据所述第一比对结果确定所述流量数据中的第一正常流量数据，对所述第一正常流量数据进行分类；

对分类后的所述第一正常流量数据进行筛选，根据筛选结果确定所述第一正常流量数据中的第一异常流量数据。

2.如权利要求1所述的异常流量的检测方法，其特征在于，所述根据所述第一比对结果确定所述流量数据中的第一正常流量数据，对所述第一正常流量数据进行分类的步骤包括：

根据所述第一比对结果确定所述流量数据中的第一正常流量数据和第二异常流量数据；

将所述第一正常流量数据存储至第一虚拟区域，以及将所述第二异常流量数据存储至第二虚拟区域；

对所述第一虚拟区域存储的第一正常流量数据进行分类。

3.如权利要求1所述的异常流量的检测方法，其特征在于，所述对所述第一正常流量数据进行分类的步骤包括：

获取所述第一正常流量数据的流量类型；

根据所述流量类型对所述第一正常流量数据进行分类。

4.如权利要求1所述的异常流量的检测方法，其特征在于，所述对分类后的所述第一正常流量数据进行筛选的步骤包括：

获取分类后的所述第一正常流量数据的通信特征，将所述通信特征与异常流量数据的通信特征进行比对；

根据第二比对结果对所述第一正常流量数据进行筛选。

5.如权利要求1所述的异常流量的检测方法，其特征在于，所述根据筛选结果确定所述第一正常流量数据中的第一异常流量数据的步骤之后，包括：

根据所述筛选结果确定所述第一正常流量数据中的第二正常流量数据；

将所述第二正常流量数据存储至虚拟安全区域，以及将所述第一异常流量数据存储至虚拟回收区域，并输出告警信息，所述虚拟安全区域与所述虚拟回收区域均为第一虚拟区域的子区域。

6.如权利要求5所述的异常流量的检测方法，其特征在于，所述根据筛选结果确定所述第一正常流量数据中的第一异常流量数据的步骤之后，包括：

获取所述虚拟安全区域的存储空间，以及所述第二正常流量数据在所述虚拟安全区域的存储时长；

根据所述存储空间和/或所述存储时长删除所述虚拟安全区域中的第二正常流量数据。

7.如权利要求1所述的异常流量的检测方法，其特征在于，所述方法还包括：

构建攻击场景图；

获取各个所述攻击场景图中每个攻击阶段的权重值，以及每个所述攻击阶段的分值；

根据每个所述攻击阶段的权重值和所述分值确定各个所述攻击场景图的得分值；

当所述得分值大于设定阈值时，输出告警信息。

8.一种异常流量的检测装置，其特征在于，所述异常流量的检测装置包括获取模块、比对模块、分类模块和筛选模块，其中：

所述获取模块，用于获取终端的流量数据；

所述比对模块，用于将所述流量数据与沙盒模型中的预设特征进行比对，得到第一比对结果；

所述分类模块，用于根据所述第一比对结果确定所述流量数据中的第一正常流量数据，对所述第一正常流量数据进行分类；

所述筛选模块，用于对分类后的所述第一正常流量数据进行筛选，根据筛选结果确定所述第一正常流量数据中的第一异常流量数据。

9.一种异常流量的检测装置，其特征在于，所述装置包括存储器、处理器及存储在存储器上并在所述处理器上运行异常流量的检测程序，所述处理器执行所述异常流量的检测程序时实现如权利要求1至7中任一项所述的方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有异常流量的检测程序，所述异常流量的检测程序被处理器执行时实现如权利要求1至7中任一项所述的方法的步骤。