一种网络流量异常检测方法和系统技术方案

本发明专利技术提供一种网络流量异常检测方法和系统。该检测方法包括步骤：接收数据包，判断数据包类型并利用预先建立的协议会话状态机对该数据包所属的会话或伪会话行为的正常程度进行度量；根据度量的结果，利用数据挖掘来判断该会话或伪会话是否为异常。通过本发明专利技术，将网络入侵检测系统中的异常检测技术和防火墙中的状态跟踪技术相结合并加以改进；建立了协议会话状态机作为正常会话所必须遵从的行为模式，利用该状态机对流经检测系统的会话或伪会话中的数据包进行检测和错误计数；结合数据挖掘技术进行异常判断，可以有效地发现网络异常会话行为模式的未知攻击。

【技术实现步骤摘要】

【技术保护点】
一种网络流量异常检测方法，其特征在于，包括：接收数据包，判断数据包类型并利用预先建立的协议会话状态机对该数据包所属的会话或伪会话行为的正常程度进行度量；根据度量的结果，利用数据挖掘判断该会话或伪会话是否为异常。

【技术特征摘要】

【专利技术属性】
技术研发人员：沈刚，丁思捷，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：94[中国|深圳]