[发明专利]异常网络数据行为模型的获取方法、装置、电子设备及存储介质

摘要

本申请公开了一种异常网络数据行为模型的获取方法、装置、电子设备及存储介质。该方法在获取第一网络的第一混合网络数据，第二网络的第一类型网络数据和第三网络的第二混合网络数据后，根据三种网络数据的多个netflow数据中流起始时间的先后顺序和预设状态标记规则，分别对第一混合网络数据、第一类型网络数据和第二混合网络数据的属性特征进行状态标记，获取相应的第一状态链、第二状态链和第三状态链；基于相同的目的端口和网络数据类型，采用预设状态链修改规则，对第一状态链、第二状态链和第三状态链进行两两比对和状态链修改，获取异常状态链，以获取异常网络数据行为模型，提高了获取异常数据特征的准确率和效率。

主权项

1.一种异常网络数据行为模型的获取方法，其特征在于，所述方法包括：获取第一网络的第一混合网络数据，第二网络的第一类型网络数据和第三网络的第二混合网络数据；其中，所述第一混合网络数据为所述第一网络中第一类型网络数据和第二类型网络数据的混合网络数据，所述第二混合网络数据为所述第三网络中在所述第一类型网络数据基础上所述第二类型网络数据从无到有再到无的变化过程的混合网络数据；网络数据包括多个netflow数据，所述netflow数据为基于四元组确定的数据信息，所述四元组包括源地址、目的地址、目的端口和网络数据类型；根据所述第一混合网络数据、所述第一类型网络数据或所述第二混合网络数据的多个netflow数据中流起始时间的先后顺序和预设状态标记规则，分别对所述第一混合网络数据、所述第一类型网络数据和所述第二混合网络数据的属性特征进行状态标记，获取相应的第一状态链、第二状态链和第三状态链，所述属性特征包括所述netflow数据的周期性、大小和持续时间，状态链是所述具有相同四元组的多个netflow数据的状态集合；基于相同的目的端口和网络数据类型，采用预设状态链修改规则，对所述第一状态链、所述第二状态链和所述第三状态链进行两两比对和状态链修改，获取异常状态链；将所述异常状态链确定为异常网络数据行为模型。