[发明专利]异常流量的检测方法、装置和电子设备

说明书

本申请提供一种异常流量的检测方法、装置、电子设备和计算机可读存储介质，该方法的一具体实施方式包括：将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；根据所述异常分值判断所述待检测流量的异常程度。该方法可以提高异常流量的检测准确性。

技术领域

本申请涉及网络安全领域，具体而言，涉及一种异常流量的检测方法、装置、电子设备和计算机可读存储介质。

背景技术

伴随着网络的正常应用流量，网络上各种异常流量也随之而来，影响到网络的正常运行，威胁着用户主机的安全和使用。网络异常往往由网络攻击、蠕虫病毒、网络滥用等原因引起。例如：各种网络扫描、分布式拒绝服务攻击(Distributed Denial of Service，简称DDoS)、网络蠕虫病毒、恶意下载、对网络资源的不当使用等都会造成网络性能下降，严重时会影响正常的网络使用，造成网络拥塞，甚至造成网络中断、网络设备的失效等。因此，对网络异常流量进行检测，发现网络中存在的已知类型和未知类型的网络异常，是网络安全管理中较为重要的环节。

在相关技术中，存在利用机器学习算法检测异常流量的方案，但其训练模型所需要的异常流量样本不易采集，且同一个模型不适于多个应用场景(例如基于银行数据训练得到的模型不适用于教育应用场景)，因此将收敛模型应用于实际检测场景时，存在准确度低、模型适应性差的问题。

发明内容

本申请实施例的目的在于提供一种异常流量的检测方法、装置、电子设备和计算机可读存储介质，用以提高异常流量的检测准确性。

第一方面，本申请实施例提供了一种异常流量的检测方法，该方法包括：将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；根据所述异常分值判断所述待检测流量的异常程度。这样，异常检测模型无需获取异常流量样本，并且由于其基于特征值以及由特征值确定的异常区间信息建立，因此其不涉及具体的场景数据，继而可以应用于不同应用场景。因此利用该异常检测模型检测待检测流量时，具有准确度较高，模型适应性较强的优势。

可选地，所述异常区间信息基于以下步骤确定：提取多个历史流量分别对应的特征值，并根据数值最大的特征值划分出多个区间；将各个所述历史流量按照各自对应的特征值归置于匹配的区间内；针对于每一个区间，计算该区间所归置的历史流量个数在所述多个历史流量个数中的频率；根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息。这样，可以根据历史流量对划分出的多个区间进行合并，这样，能够在不影响检测效果的同时，减少区间个数，在一定程度上提高了异常检测模型的运算速度。

可选地，所述根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息，包括：将每个区间对应的频率按照数值大小进行排序；将相邻两个频率的累加和置于序列中，判断所述累加和是否导致序列的排列顺序发生变化；若否，则将所述相邻两个频率所对应的区间进行合并；若是，停止合并，得到所述异常区间信息。这样，可以在不影响区间稀有性的基础上，通过每个区间对应的频率动态合并区间，得到用于计算异常分值的区间个数，提高计算速率。

可选地，所述异常区间信息包括异常区间个数，以及所述异常检测模型计算所述异常分值的步骤包括：初始化与所述异常区间个数对应的多个异常区间内所归置的流量个数；针对每一个当前流量，按照该当前流量的特征值归置于对应的目标异常区间内，并统计该目标异常区间内当前所归置的流量个数；统计流量个数在所述目标异常区间的流量个数以下的多个异常区间中所归置的目标流量个数总和；以及统计所述多个异常区间所归置的流量个数总和；计算所述目标流量个数总和与所述流量个数总和的比值，并按照预设规则将所述比值进行映射；将映射后得到的数值确定为所述异常分值。这样，由于目标流量个数总和针对于流量个数在目标异常区间的流量个数以下的多个异常区间，因此其更能够体现当前流量的稀有性，继而使得异常分值具有较高的可信。