流量数据的风险检测方法技术

本发明专利技术提供一种流量数据的风险检测方法

【技术实现步骤摘要】
流量数据的风险检测方法、装置及电子设备


[0001]本专利技术涉及网络安全
，尤其涉及一种流量数据的风险检测方法
、
装置及电子设备
。

技术介绍

[0002]随着互联网的高速发展和科技的不断进步，电子设备容易受到其它设备的攻击
。
此时，该电子设备就需要对接收到的流量数据进行风险检测，以确定该电子设备在后续能够正常运行
。
[0003]现有的流量数据的风险检测方法往往在获取流量数据之后，确定该流量数据的流量类型，并在确定流量数据的流量类型为已知类型攻击流量的情况下，确定该流量数据的风险等级
。
[0004]然而，对于未知类型攻击流量的风险等级，并没有相应的检测方法
。

技术实现思路

[0005]本专利技术提供一种流量数据的风险检测方法
、
装置及电子设备，用以实现利用流量分类模型和未知攻击检测模型对流量数据进行检测，并在确定该流量数据为未知类型攻击流量的情况下，也可准确确定该流量数据的风险信息，提高了电子设备对网络环境安全态势的感知能力，进而有效提高了该电子设备的防御效果
。
[0006]本专利技术提供一种流量数据的风险检测方法，包括：
[0007]获取当前流量数据；
[0008]将所述当前流量数据输入至流量分类模型中，得到所述流量分类模型输出的所述当前流量数据的流量类型；
[0009]在所述流量类型为非已知攻击流量的情况下，若采用未知攻击检测模型确定所述非已知攻击流量为未知类型攻击流量，则采用所述未知攻击检测模型，确定所述当前流量数据的风险信息；
[0010]其中，所述流量分类模型是根据流量特征样本集和流量类型样本集训练得到的；所述未知攻击检测模型是根据不同类型流量特征样本集和风险等级样本集训练得到的
。
[0011]根据本专利技术提供的一种流量数据的风险检测方法，所述流量分类模型的训练步骤如下：根据流量数据样本集，确定至少一个数据包；对所述至少一个数据包进行重组，得到目标会话流；根据所述目标会话流的统计特征，确定所述流量特征样本集；根据所述流量特征样本集和所述流量类型样本集，对初始流量分类模型进行训练，得到所述流量分类模型
。
[0012]根据本专利技术提供的一种流量数据的风险检测方法，所述不同类型流量特征样本集包括已知攻击流量特征样本集和非已知攻击流量特征样本集，所述未知攻击检测模型的训练步骤如下：获取所述已知攻击流量特征样本集和所述非已知攻击流量特征样本集；根据所述已知攻击流量特征样本集
、
所述非已知攻击流量特征样本集的特征均值，以及所述非已知攻击流量特征样本集的各非已知攻击流量特征样本，确定所述非已知攻击流量特征样
本集的共性特征；根据所述共性特征和所述风险等级样本集，对初始未知攻击检测模型进行训练，得到所述未知攻击检测模型
。
[0013]根据本专利技术提供的一种流量数据的风险检测方法，所述对所述至少一个数据包进行重组，得到目标会话流，包括：针对任一数据包，在所述数据包的流标识属于流重组字典的情况下，获取所述数据包与前一数据包之间的间隔时长，所述数据包的流标识与所述前一数据包的流标识相同；在所述间隔时长小于预设时长阈值的情况下，将所述数据包写入所述前一数据包所在的初始会话流，得到新的初始会话流；在确定所述数据包包含重置
RST
标志或为最后一个确认字符
ACK
包的情况下，将所述新的初始会话流写入流列表；将所述流列表中的所有初始会话流确定为所述目标会话流
。
[0014]根据本专利技术提供的一种流量数据的风险检测方法，所述方法还包括：针对任一数据包，获取所述数据包对应的数据包信息，所述数据包信息包括源网络协议
IP
地址
、
源端口号
、
目的
IP
地址
、
目的端口号及传输层协议；根据所述数据包信息，确定所述数据包的流标识
。
[0015]根据本专利技术提供的一种流量数据的风险检测方法，所述根据所述目标会话流的统计特征，确定所述流量特征样本集，包括：提取所述目标会话流的统计特征以及所述至少一个数据包各自对应的数据包信息；根据所述统计特征和所述数据包信息，构建所述流量特征样本集
。
[0016]根据本专利技术提供的一种流量数据的风险检测方法，所述根据所述已知攻击流量特征样本集
、
所述非已知攻击流量特征样本集的特征均值，以及所述非已知攻击流量特征样本集的各非已知攻击流量特征样本，确定所述非已知攻击流量特征样本集的共性特征，包括：
S1、
确定所述已知攻击流量特征样本集中各已知攻击流量特征样本对应的第一深层特征
、
所述特征均值对应的第二深层特征，以及所述非已知攻击流量特征样本集中各非已知攻击流量特征样本对应的第三深层特征；
S2、
基于所述第二深层特征，对所述第一深层特征和所述第三深层特征进行聚类，得到初始共性特征；
S3、
将所述初始共性特征确定为新的第二深层特征，并重复执行步骤
S2
，直到达到预设次数，得到所述非已知攻击流量特征样本集的共性特征
。
[0017]根据本专利技术提供的一种流量数据的风险检测方法，所述采用未知攻击检测模型确定所述非已知攻击流量为未知类型攻击流量，包括：确定所述非已知攻击流量的当前深层特征；在所述当前深层特征与所述共性特征之间的余弦距离大于预设距离阈值的情况下，将所述非已知攻击流量确定为所述未知类型攻击流量
。
[0018]根据本专利技术提供的一种流量数据的风险检测方法，所述风险信息包括风险等级，所述采用所述未知攻击检测模型，确定所述当前流量数据的风险信息，包括：采用所述未知攻击检测模型，根据所述余弦距离对应的距离阈值区间，确定所述当前流量数据的风险等级，所述距离阈值区间与所述风险等级一一对应
。
[0019]根据本专利技术提供的一种流量数据的风险检测方法，所述风险信息包括风险等级，所述方法还包括：在所述流量类型为已知攻击流量的情况下，确定所述已知攻击流量的威胁概率；根据所述威胁概率对应的概率区间，确定所述当前流量数据的风险等级，所述概率区间与所述风险等级一一对应
。
[0020]根据本专利技术提供的一种流量数据的风险检测方法，所述设备安全防御信息包括：
执行体个数
、
执行体异构度
、
执行体置信度
、
调度周期及裁决精度
。
[0021]本专利技术还提供一种流量数据的风险检测装置，包括：
[0022]获取模块，用于获取当前流量数据；
[0023]风险检测模块，用于将所述当前流量数据输入至流量分类模型中，得到所述流量分类模型输出的所述当前流量数据的流量类型；在所述流量类型为非已知攻击流量的情况下，若采用未知攻击检测模型本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.
一种流量数据的风险检测方法，其特征在于，包括：获取当前流量数据；将所述当前流量数据输入至流量分类模型中，得到所述流量分类模型输出的所述当前流量数据的流量类型；在所述流量类型为非已知攻击流量的情况下，若采用未知攻击检测模型确定所述非已知攻击流量为未知类型攻击流量，则采用所述未知攻击检测模型，确定所述当前流量数据的风险信息；其中，所述流量分类模型是根据流量特征样本集和流量类型样本集训练得到的；所述未知攻击检测模型是根据不同类型流量特征样本集和风险等级样本集训练得到的
。2.
根据权利要求1所述的方法，其特征在于，所述流量分类模型的训练步骤如下：根据流量数据样本集，确定至少一个数据包；对所述至少一个数据包进行重组，得到目标会话流；根据所述目标会话流的统计特征，确定所述流量特征样本集；根据所述流量特征样本集和所述流量类型样本集，对初始流量分类模型进行训练，得到所述流量分类模型
。3.
根据权利要求1所述的方法，其特征在于，所述不同类型流量特征样本集包括已知攻击流量特征样本集和非已知攻击流量特征样本集，所述未知攻击检测模型的训练步骤如下：获取所述已知攻击流量特征样本集和所述非已知攻击流量特征样本集；根据所述已知攻击流量特征样本集
、
所述非已知攻击流量特征样本集的特征均值，以及所述非已知攻击流量特征样本集的各非已知攻击流量特征样本，确定所述非已知攻击流量特征样本集的共性特征；根据所述共性特征和所述风险等级样本集，对初始未知攻击检测模型进行训练，得到所述未知攻击检测模型
。4.
根据权利要求2所述的方法，其特征在于，所述对所述至少一个数据包进行重组，得到目标会话流，包括：针对任一数据包，在所述数据包的流标识属于流重组字典的情况下，获取所述数据包与前一数据包之间的间隔时长，所述数据包的流标识与所述前一数据包的流标识相同；在所述间隔时长小于预设时长阈值的情况下，将所述数据包写入所述前一数据包所在的初始会话流，得到新的初始会话流；在确定所述数据包包含重置
RST
标志或为最后一个确认字符
ACK
包的情况下，将所述新的初始会话流写入流列表；将所述流列表中的所有初始会话流确定为所述目标会话流
。5.
根据权利要求4所述的方法，其特征在于，所述方法还包括：针对任一数据包，获取所述数据包对应的数据包信息，所述数据包信息包括源网络协议
IP
地址
、
源端口号
、
目的
IP
地址
、
目的端口号及传输层协议；根据所述数据包信息，确定所述数据包的流标识
。6.
根据权利要求
2、4
和5中任一项所述的方法，其特征在于，所述根据所述目标会话流的统计特征，确定所述流量特征样本集，包括：提取所述目标会话流的统计特征以及所述至少一个数据包各自对应的数据包信息；
根据所述统计特征和所述数据包信息，构建所述流量特征样本集
。7.
根据权利要求3所述的方法，其特征在于，所述根据所述已知攻击流量特征样本集
、

【专利技术属性】
技术研发人员：曹玖新，仇智寅，刘波，周鼎，贺磊，郝宵荣，
申请(专利权)人：网络通信与安全紫金山实验室，
类型：发明
国别省市：