为在多个时间窗口上的业务流指派异常值相关分类制造技术

本公开涉及为在多个时间窗口上的业务流指派异常值相关分类。提供了用于将多子时间窗口采样架构与机器学习相结合以检测可以指示恶意/有问题的网络活动的异常值业务流行为的系统和方法。例如，网络设备可以在已定义的时间窗口期间获得业务流数据的样本。业务流数据的样本可以包括与网络设备在已定义的时间窗口中传送的业务流的被采样子集相关联的信息。网络设备可以将已定义的时间窗口划分为两个或更多个子时间窗口。在每个子时间窗口中，使用机器学习，网络设备可以基于所有被采样业务流的相对行为特性，为每个被采样业务流指派异常值相关分类。网络设备可以聚合在多个子时间窗口上针对每个被采样业务流的异常值相关分类，并且基于聚合异常值相关分类来处理业务流。流。流。

【技术实现步骤摘要】
为在多个时间窗口上的业务流指派异常值相关分类

技术介绍

[0001]数据可以以数据分组的形式从一个计算机网络传送到另一个计算机网络(在一些情况下，这种传送可以经由互联网发生)。类似地，计算机网络可以与互联网交换数据分组。
[0002]“业务流”可以指代从特定源发送到特定目的地的一个或多个数据分组的序列。例如，业务流可以是在聊天会话期间从源计算机发送到目的地计算机的消息序列。类似地，可能存在与互联网和目的地计算机之间的网络浏览器会话相关联的业务流。
[0003]联网设备(例如，交换机、路由器、防火墙或任何其他能够控制业务流的硬件或软件实现的系统等)可以在计算机网络之间传送业务流(它们还可以在计算机网络内部的组件/设备之间传送业务流)。例如，网络设备可以在办公室计算机网络的各种客户端设备与互联网之间传送业务流。类似地，网络设备可以将业务流从一个网络(例如律师事务所计算机网络)上的计算机传送到另一个网络(例如银行计算机网络)上的计算机。利用当今复杂的计算网络，单个网络设备每天可以传送数百万的业务流。
[0004]机器学习可以指的是使用人工智能(例如机器本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种方法，包括：在已定义的时间窗口期间获得业务流数据的样本，其中：所述业务流数据的样本包括与由网络设备在所述已定义的时间窗口内传送的所有业务流的被采样子集相关联的信息，并且被采样的所述业务流具有一个或多个行为特性；将所述已定义的时间窗口划分为两个或更多个子时间窗口；在至少一个子时间窗口中，使用异常值分类机器学习算法，基于被采样的所述业务流的相对行为特性，将异常值相关分类指派给被采样的所述业务流中的一个或多个业务流；以及聚合在所述已定义的时间窗口期间针对一个或多个被采样的业务流的所述异常值相关分类。2.根据权利要求1所述的方法，还包括：基于针对一个或多个被采样的业务流的聚合的所述异常值相关分类来处理业务流。3.根据权利要求2所述的方法，还包括：基于针对一个或多个被采样的业务流的聚合的所述异常值相关分类，将被采样的所述业务流的子集定义为针对所述已定义的时间窗口的顶部异常值。4.根据权利要求2所述的方法，其中基于针对一个或多个被采样的业务流的聚合的所述异常值相关分类来处理业务流包括：将与所述顶部异常值相关联的信息提供给用户接口。5.根据权利要求2所述的方法，其中所述一个或多个行为特性包括以下至少一项：数据分组体量；平均数据分组长度；中位数据分组长度；最小数据分组长度；最大数据分组长度；以及数据分组的总数。6.根据权利要求2所述的方法，其中被采样的所述业务流中的一个或多个业务流还包括一个或多个标识特性，所述标识特性包括以下至少一项：源互联网协议IP；目的地IP；源端口；目的地端口；以及IP协议。7.根据权利要求2所述的方法，其中所述两个或更多个子时间窗口长度相等，并且每个子时间窗口为十分钟或更短。8.根据权利要求2所述的方法，其中所述两个或更多个子时间窗口的长度使用子时间窗口长度确定机器学习算法而被确定。9.根据权利要求8所述的方法，其中所述两个或更多个子时间窗口的所述长度使每个子时间窗口被分类为异常值的被采样的业务流的数目最大化。
10.根据权利要求8所述的方法，其中所述异常值分类机器学习算法是无监督机器学习算法。11.一种网络设备，包括至少一个处理器；以及存储指令的存储器，所述指令在由所述至少一个处理器执行时，使所述系统执行一种方法，所述方法包括：在已定义的时间窗口期间获得业务流数据的样本，其中：所述业务流数据的样本包括与由所述网络设备在所述已定义的时间窗口内传送的所有业务流的被采样子集相关联的信息，并且每个被采样的业务流具有一个或多个行为特性；将所述已定义的时间窗口划分为两个或更多个子时间窗口；在至少一个子时间窗口中，使用异常值分类机器学习...

【专利技术属性】
技术研发人员：M，
申请(专利权)人：慧与发展有限责任合伙企业，
类型：发明
国别省市：