[发明专利]一种网络流量异常检测方法、装置、终端及介质

说明书

本发明公开了一种网络流量异常检测方法、装置、终端及介质，所述方法包括实时采集网络流量数据，对所述网络流量数据进行离散小波变换并计算各尺度下小波系数的方差和期望，从而算出网络流量Hurst系数，计算所述网络流量的波动变量控制值，并基于所述波动变量控制值动态调整Hurst系数基准值，根据所述Hurst系数与所述Hurst系数基准值的差值，判断所述网络流量是否存在异常，若所述网络流量存在异常，则查找所述网络流量的异常时间，进行网络攻击追溯。因此，本发明实施例能够衡量网络流量在各尺度下小波系数方差以及各尺度下小波系数期望值计算网络流量波动变量控制值，从而实现动态更新Hurst系数的基准值降低网络流量异常的误报率。

技术领域

本发明涉及网络流量技术领域，尤其涉及一种网络流量异常检测方法、装置、终端及介质。

背景技术

正常网络流量在时间大尺度下具有统计意义上的自相似性，一旦网络受到攻击(DDos、蠕虫等)后，网络流量的自相似性必然出现显著性降低，并趋向于泊松变化，这种变化使得衡量网络流量时间序列的自相关性的一个重要的性能指标——Hurst参数趋向于0.5。于是有一些学者采用网络流量Hurst参数与Hurst参数基准值(通常设置在0.6-0.75之间)进行比较，如果两者之间的差值大于某个设定的阈值(0.1-0.15)之间，那么就认定网络流量存在异常。这种方法在网络流量波动性很小或者网络规模较小的情况下确实具有较高的检测率。但是，随着网络规模的变化，目前规模还在以一定数量级增大以及用户本身的随机行为对网络流量的影响，网络流量呈现出较大的动态变化性，网络流量Hurst参数也在呈现很大的变化，因此，Hurst参数基准值如果还以固定值来设定的话，必然带来较高的误报率，故，针对当前日趋变化的网络环境，如何调整Hurst参数基准值，以降低网络流量异常的误报率是非常重要的。

发明内容

本发明提供一种网络流量异常检测方法、装置、终端及设备，采用常态的小波变化来求解Hurst参数，引入带有网络流量波动变量控制值的修正因子来更新Hurst参数基准值，当波动情况发生较大的变化时，波动变量控制值将随着网络变化波动规则进行取值，从而实现Hurst参数基准值的动态调整，以降低网络流量异常的误报率。

为了实现上述目的，第一方面，本发明实施例提供了一种网络流量异常检测方法，包括：

实时采集网络流量数据，对所述网络流量数据进行离散小波变换并计算各尺度下小波系数的方差和期望，从而算出网络流量Hurst系数；

基于所述各尺度下小波系数的方差和期望计算所述网络流量的波动变量控制值，并基于所述波动变量控制值动态调整Hurst系数基准值；

根据所述Hurst系数与所述Hurst系数基准值的差值，判断所述网络流量是否存在异常；

若所述网络流量存在异常，则查找所述网络流量的异常时间，进行网络攻击追溯。

作为上述方案的改进，所述实时采集网络流量数据，对所述网络流量数据进行离散小波变换并计算各尺度下小波系数的方差和期望，从而算出网络流量Hurst系数，具体包括：

实时采集网络流量数据，对所述网络流量数据进行离散小波变换并计算各尺度下小波系数，得到所述小波系数的期望；

对任意两个不同尺度下小波系数进行相关性处理后进行傅里叶变换得到所述小波系数的相关性期望；

计算所述小波系数的方差和标准差，进而算出所述两个不同尺度下小波系数进行线性拟合所得到直线的拟合斜率；

基于Hurst系数与所述拟合斜率的关系，获得网络流量Hurst系数；

其中，所述各尺度下小波系数的表达式为