本申请提供一种异常流量的检测方法、装置、电子设备和计算机可读存储介质，该方法的一具体实施方式包括：将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；根据所述异常分值判断所述待检测流量的异常程度。该方法可以提高异常流量的检测准确性。确性。确性。
【技术实现步骤摘要】
异常流量的检测方法、装置和电子设备
[0001]本申请涉及网络安全领域，具体而言，涉及一种异常流量的检测方法、装置、电子设备和计算机可读存储介质。
技术介绍
[0002]伴随着网络的正常应用流量，网络上各种异常流量也随之而来，影响到网络的正常运行，威胁着用户主机的安全和使用。网络异常往往由网络攻击、蠕虫病毒、网络滥用等原因引起。例如：各种网络扫描、分布式拒绝服务攻击(Distributed Denial of Service，简称DDoS)、网络蠕虫病毒、恶意下载、对网络资源的不当使用等都会造成网络性能下降，严重时会影响正常的网络使用，造成网络拥塞，甚至造成网络中断、网络设备的失效等。因此，对网络异常流量进行检测，发现网络中存在的已知类型和未知类型的网络异常，是网络安全管理中较为重要的环节。
[0003]在相关技术中，存在利用机器学习算法检测异常流量的方案，但其训练模型所需要的异常流量样本不易采集，且同一个模型不适于多个应用场景(例如基于银行数据训练得到的模型不适用于教育应用场景)，因此将收敛模型应用于实际检测场景时，存在准确度低、模型适应性差的问题。
技术实现思路
[0004]本申请实施例的目的在于提供一种异常流量的检测方法、装置、电子设备和计算机可读存储介质，用以提高异常流量的检测准确性。
[0005]第一方面，本申请实施例提供了一种异常流量的检测方法，该方法包括：将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；根据所述异常分值判断所述待检测流量的异常程度。这样，异常检测模型无需获取异常流量样本，并且由于其基于特征值以及由特征值确定的异常区间信息建立，因此其不涉及具体的场景数据，继而可以应用于不同应用场景。因此利用该异常检测模型检测待检测流量时，具有准确度较高，模型适应性较强的优势。
[0006]可选地，所述异常区间信息基于以下步骤确定：提取多个历史流量分别对应的特征值，并根据数值最大的特征值划分出多个区间；将各个所述历史流量按照各自对应的特征值归置于匹配的区间内；针对于每一个区间，计算该区间所归置的历史流量个数在所述多个历史流量个数中的频率；根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息。这样，可以根据历史流量对划分出的多个区间进行合并，这样，能够在不影响检测效果的同时，减少区间个数，在一定程度上提高了异常检测模型的运算速度。
[0007]可选地，所述根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息，包括：将每个区间对应的频率按照数值大小进行排序；将相邻两个频率的累加和置于序列中，判断所述累加和是否导致序列的排列顺序发生变化；若否，则将所述相邻两个
频率所对应的区间进行合并；若是，停止合并，得到所述异常区间信息。这样，可以在不影响区间稀有性的基础上，通过每个区间对应的频率动态合并区间，得到用于计算异常分值的区间个数，提高计算速率。
[0008]可选地，所述异常区间信息包括异常区间个数，以及所述异常检测模型计算所述异常分值的步骤包括：初始化与所述异常区间个数对应的多个异常区间内所归置的流量个数；针对每一个当前流量，按照该当前流量的特征值归置于对应的目标异常区间内，并统计该目标异常区间内当前所归置的流量个数；统计流量个数在所述目标异常区间的流量个数以下的多个异常区间中所归置的目标流量个数总和；以及统计所述多个异常区间所归置的流量个数总和；计算所述目标流量个数总和与所述流量个数总和的比值，并按照预设规则将所述比值进行映射；将映射后得到的数值确定为所述异常分值。这样，由于目标流量个数总和针对于流量个数在目标异常区间的流量个数以下的多个异常区间，因此其更能够体现当前流量的稀有性，继而使得异常分值具有较高的可信。
[0009]可选地，所述按照预设规则将所述比值进行映射，包括：将所述比值映射成该比值对应的对数。这样，能够将比值映射成更小的粒度，达到提高检测的准确度的目的。
[0010]可选地，所述特征值包括基于统计语言模型算法得到的信息熵。这样，可以将基于统计语言模型算法得到的信息熵作为特征值，以提高异常检测模型计算的异常分值的准确度。
[0011]可选地，所述异常流量的检测方法还包括：基于所述待检测流量，更新所述异常检测模型。这样，可以提高异常检测模型检测流量的准确性。
[0012]第二方面，本申请实施例提供了一种异常流量的检测装置，该装置包括：计算模块，用于将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；判断模块，用于根据所述异常分值判断所述待检测流量的异常程度。这样，异常检测模型无需获取异常流量样本，并且由于其基于特征值以及由特征值确定的异常区间信息建立，因此其不涉及具体的场景数据，继而可以应用于不同应用场景。因此利用该异常检测模型检测待检测流量时，具有准确度较高，模型适应性较强的优势。
[0013]第三方面，本申请实施例提供一种电子设备，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如上述第一方面提供的所述方法中的步骤。
[0014]第四方面，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时运行如上述第一方面提供的所述方法中的步骤。
[0015]本申请的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请实施例了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。
附图说明
[0016]为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以
根据这些附图获得其他相关的附图。
[0017]图1为本申请实施例提供的一种异常流量的检测方法的流程图；
[0018]图2为本申请实施例提供的一种异常流量的检测装置的结构框图；
[0019]图3为本申请实施例提供的一种用于执行异常流量的检测方法的电子设备的结构示意图。
具体实施方式
[0020]下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护本文档来自技高网...
【技术保护点】
【技术特征摘要】
1.一种异常流量的检测方法，其特征在于，包括：将待检测流量输入异常检测模型，得到该待检测流量对应的异常分值；其中，所述异常检测模型基于所述待检测流量的特征值以及预先确定的异常区间信息计算所述异常分值；根据所述异常分值判断所述待检测流量的异常程度。2.根据权利要求1所述的方法，其特征在于，所述异常区间信息基于以下步骤确定：提取多个历史流量分别对应的特征值，并根据数值最大的特征值划分出多个区间；将各个所述历史流量按照各自对应的特征值归置于匹配的区间内；针对于每一个区间，计算该区间所归置的历史流量个数在所述多个历史流量个数中的频率；根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息。3.根据权利要求2所述的方法，其特征在于，所述根据每个区间对应的频率，将所述多个区间进行合并，得到所述异常区间信息，包括：将每个区间对应的频率按照数值大小进行排序；将相邻两个频率的累加和置于序列中，判断所述累加和是否导致序列的排列顺序发生变化；若否，则将所述相邻两个频率所对应的区间进行合并；若是，停止合并，得到所述异常区间信息。4.根据权利要求2所述的方法，其特征在于，所述异常区间信息包括异常区间个数，以及所述异常检测模型计算所述异常分值的步骤包括：初始化与所述异常区间个数对应的多个异常区间内所归置的流量个数；针对每一个当前流量，按照该当前流量的特征值归置于对应的目标异常区间内，并统计该目标异常区间内当前所归置的流量个数；统计流量个数在所述目标异常区...
【专利技术属性】
技术研发人员：刘盈，
申请(专利权)人：北京天融信网络安全技术有限公司北京天融信科技有限公司北京天融信软件有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。