技术领域
[0001] 本
发明涉及通信技术领域，尤其涉及一种异常流量检测方法、装置和设备。
背景技术
[0002] 网络中的攻击行为越来越多，如端口扫描攻击、DDoS(Distributed Denial of Service，分布式拒绝服务)攻击、
蠕虫病毒攻击等，这些攻击行为会导致网络性能下降，干扰正常的网络行为，甚至引起网络中断或者瘫痪。因此，需要及时检测到网络中的异常流量(即攻击行为产生的流量)，对异常流量进行控制。
[0003] 为了检测到网络中的异常流量，可以设置流量
阈值。在任意时刻，若网络中的流量值(traffic volume)大于该流量阈值，就认为该时刻存在异常流量。若网络中的流量值不大于该流量阈值，就认为该时刻不存在异常流量。
[0004] 但是，流量值过大并不意味着一定存在异常流量，有可能只是单纯的网络繁忙，因此上述方式，仅根据流量值是否大于流量阈值判断是否存在异常流量，是存在很大误差的。
发明内容
[0005] 本
申请提供一种异常流量检测方法，所述方法包括：
[0006] 获取网络设备在预设时长内的每个预设时隙传输的流量的第一流量值；
[0007] 确定第一流量序列，所述第一流量序列包括每个第一流量值；
[0008] 计算所述第一流量序列对应的第一组小波系数；
[0009] 计算所述第一组小波系数对应的第一Hurst指数；
[0010] 若所述第一Hurst指数与标准Hurst指数之间的差值的绝对值大于第一
门限值，则确定存在异常流量；否则，确定不存在异常流量。
[0011] 本申请提供一种异常流量检测装置，所述装置包括：
[0012] 获取模
块，用于获取网络设备在预设时长内的每个预设时隙传输的流量的第一流量值；
[0013] 第一确定模块，用于确定第一流量序列，所述第一流量序列包括每个第一流量值；
[0014] 第一计算模块，用于计算所述第一流量序列对应的第一组小波系数；
[0015] 第二计算模块，用于计算所述第一组小波系数对应的第一Hurst指数；
[0016] 第二确定模块，用于若所述第一Hurst指数与标准Hurst指数之间的差值的绝对值大于第一门限值，则确定存在异常流量；否则，确定不存在异常流量。
[0017] 本申请提供一种异常流量检测设备，包括：
存储器、处理器；
[0018] 所述存储器，用于存储机器可读指令；所述处理器，用于调用所述机器可读指令，以执行上述的异常流量检测方法。
[0019] 基于上述技术方案，本申请
实施例中，根据预设时长内的每个预设时隙网络设备传输的流量的流量值所构成的流量序列得到一组小波系数，并计算该组小波系数对应的Hurst指数。由于正常流量之间是具有相似性的，因此基于相同时长且相同时隙
对流量进行
采样得到的多个流量序列对应的多组小波系数也相似，相应的，基于该多组小波系数分别计算得到的Hurst指数大小也近似。所以本发明实施例中设置一标准Hurst指数，将计算得到的Hurst指数与标准Hurst指数进行比较，从而确定是否存在异常流量。如果计算得到的Hurst指数与标准Hurst指数近似，则确定不存在异常流量，否则，确定存在异常流量。该确定异常流量的方式不需要考虑流量值的大小，而是通过流量值的相似性进行判断，即便是在某一段时间流量值过大，也可以判断出该段时间内是存在异常流量，还是因为网络繁忙引起的流量值过大。综上，利用本发明实施例提供的异常流量检测方法及装置可以提高检测是否存在异常流量的准确性，减少错误的检测结果，减少误报和漏报等情况。
附图说明
[0020] 图1是本申请一种实施方式中的异常流量检测方法的
流程图；
[0021] 图2是本申请中采用
小波变换算法对第一流量序列进行处理的示意图；
[0022] 图3是本申请一种实施方式中的计算第一Hurst指数的流程图；
[0023] 图4是本申请一种实施方式中的得到第一斜率的流程图；
[0024] 图5是本申请一种实施方式中的异常流量检测装置的结构图；
[0025] 图6是本申请一种实施方式中的异常流量检测设备的
硬件结构图。
具体实施方式
[0026] 在本申请实施例使用的术语仅仅是出于描述特定实施例的目的，而非限制本申请。本申请和
权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其它含义。还应当理解，本文中使用的术语“和/或”是指包含一个或多个相关联的列出项目的任何或所有可能组合。
[0027] 应当理解，尽管在本申请实施例可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，此外，所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。
[0028] 本申请实施例中提出一种异常流量检测方法，该方法可以基于Hurst(赫斯特)指数对异常流量进行检测。其中，该方法可以应用于网络设备，该网络设备可以是移动终端、
笔记本电脑、主机、PC(Personal Computer，个人计算机)、
服务器等，对此网络设备的类型不做限制。
[0029] 参见图1所示，为异常流量检测方法的流程图，该方法可以包括：
[0030] 步骤101，获取网络设备在预设时长内的每个预设时隙传输的流量的第一流量值，并确定第一流量序列，所述第一流量序列包括每个第一流量值。
[0031] 其中，为了检测是否存在异常流量，可以统计预设时长内的每个预设时隙网络设备传输的所有流量的第一流量值，并根据第一流量值确定第一流量序列，该第一流量序列包括每个第一流量值。例如，预设时长可以为1小时，预设时隙可以为1秒，那么第一流量值是1小时内的每秒钟网络设备传输的所有流量的流量值。相应的，确定的第一流量序列包括3600个第一流量值。
[0032] 步骤102，计算该第一流量序列对应的第一组小波系数。
[0033] 在一个例子中，可以采用小波变换算法对第一流量序列进行处理，得到第一组小波系数。如图2所示，该处理过程可以包括：将第一流量序列转换为原始
信号A，并通过高通
滤波器对原始信号A进行处理得到细节信号B，并按照预设的算法将细节信号B转换为数值，该数值即为第一个小波系数。同时，通过
低通滤波器对原始信号A进行处理，得到近似信号C。然后，通过
高通滤波器对近似信号C进行处理，得到细节信号D，并按照预设的算法将细节信号D转换为数值，该数值即为第二个小波系数。同时，通过低通滤波器对近似信号C进行处理，得到近似信号E，以此类推，一直到得到第N个小波系数，其中，N为第一组小波系数中包括的小波系数的个数，N的取值可以根据经验配置。
[0034] 其中，上述每个近似信号可以用于描述第一流量序列与其它流量序列近似的信息，而细节信号可以用于描述第一流量序列不同于其它流量序列的信息，比如在网络受到攻击，存在异常流量时，细节信号会发生明显变化，即对细节信号进行转换得到的小波系数也会发生明显变化，从而可以反映出是否存在异常流量。
[0035] 步骤103，计算该第一组小波系数对应的第一Hurst指数。
[0036] 以下结合图3所示的流程图，对步骤103进行说明。
[0037] 步骤301，对该第一组小波系数进行处理得到第一斜率。
[0038] 步骤302，对第一斜率进行计算得到第一Hurst指数。
[0039] 在一个例子中，可以将第一斜率减1，再除以2，得到计算结果；将所述计算结果确定为第一Hurst指数。
[0040] 在一个例子中，如图4所示，步骤301可以具体包括：
[0041] 步骤401，分别计算该第一组小波系数中包括的每个小波系数对应的方差，得到N个方差。
[0042] 步骤402，分别计算每个方差对应的对数，并将得到的N个对数确定为N个参数值。
[0043] 其中，可以采用对数计算公式计算每个方差对应的对数，得到N个对数。例如，对数计算公式可以为log2yi，yi表示第i个小波系数对应的方差，log2yi就是该方差对应的对数。
[0044] 步骤403，利用该N个参数值在
坐标系中建立N个坐标点，对N个坐标点进行线性拟合，得到线性拟合结果(即一条直线)。利用线性拟合结果得到第一斜率，即直线的斜率。
[0045] 其中，每个坐标点的横坐标为i，纵坐标为所述N个参数值中的第i个参数值，i的取值为小于等于N的正整数，例如，i的取值可以依次为1,2,…N。
[0046] 步骤104，判断第一Hurst指数与标准Hurst指数之间的差值的绝对值是否大于第一门限值。如果是，则执行步骤105；如果否，则执行步骤106。
[0047] 步骤105，确定存在异常流量。
[0048] 步骤106，确定不存在异常流量。
[0049] 在一个例子中，网络中的正常流量具有相似性，即相同时长且相同时隙对流量进行采样得到的多个流量序列对应的多组小波系数也相似，相应的，基于该多组小波系数分别计算得到的Hurst指数大小也近似。也就是说，若在某一预设时长内网络中存在异常流量，则这些异常流量将阻塞网络中的正常流量，导致网络设备传输的流量的相似性降低，这样，在该预设时长内按照预设时隙对流量进行采样得到的流量序列对应的一组小波系数会与基于相同时长且相同时隙对正常流量进行采样得到的流量序列对应的一组小波系数存在明显变化，相应的，Hurst指数也会发生明显变化。
[0050] 基于上述原理，可以设置一标准Hurst指数，如可以根据经验配置标准Hurst指数，也可以通过训练得到标准Hurst指数，当然，还可以采用其它方式获得标准Hurst指数，对此不做限制。然后，将预设时长内得到的第一Hurst指数与标准Hurst指数进行分析，以确定网络设备在预设时长内传输的流量中是否存在异常流量。
[0051] 具体的，当不存在异常流量时，则第一Hurst指数与标准Hurst指数近似，即第一Hurst指数与标准Hurst指数之间的差值的绝对值不大于第一门限值。当存在异常流量时，则第一Hurst指数与标准Hurst指数存在明显变化，即第一Hurst指数与标准Hurst指数之间的差值的绝对值大于第一门限值。
[0052] 在一个例子中，在确定存在异常流量后，还可以根据第一Hurst指数确定异常流量的攻击类型。具体的，若标准Hurst指数大于第一Hurst指数，且标准Hurst指数减去第一Hurst指数得到的差值大于第二门限值，确定攻击类型是DDoS攻击；若第一Hurst指数大于标准Hurst指数，且第一Hurst指数减去标准Hurst指数得到的差值大于第三门限值、小于第四门限值，则确定攻击类型是蠕虫病毒攻击；其中，第二门限值大于第一门限值；第三门限值大于第一门限值。
[0053] 其中，网络中的攻击行为可以包括但不限于：DDoS攻击、蠕虫病毒攻击等，通过对DDoS攻击、蠕虫病毒攻击的异常流量进行分析，可以得出以下结论：当网络中存在蠕虫病毒攻击时，Hurst指数会迅速上升，最终上升到2附近，当网络中存在DDoS攻击时，Hurst指数会迅速下降，最终下降到0～0.3附近。
[0054] 基于此，在一个例子中，标准Hurst指数可以为0.9，第二门限值可以为0.6，第三门限值可以为0.9，第四门限值可以为1.3。
[0055] 在一个例子中，训练标准Hurst指数的过程可以在步骤101之前执行，该过程可以包括：
[0056] 获取网络设备在至少一个预设时长内的每个预设时隙传输的正常流量的第二流量值，并确定每个预设时长对应的第二流量序列，该第二流量序列包括对应的预设时长内的每个第二流量值；计算每个第二流量序列对应的第二组小波系数；然后计算该第二组小波系数对应的第二Hurst指数，并根据第二Hurst指数计算标准Hurst指数。具体的，若只有一个第二Hurst指数，则该第二Hurst指数即为标准Hurst指数；若有多个第二Hurst指数，则该多个第二Hurst指数的均值即为标准Hurst指数。
[0057] 在计算出标准Hurst指数后，还可以存储标准Hurst指数。基于此，在步骤104中，先查询标准Hurst指数，然后，利用标准Hurst指数与第一Hurst指数执行步骤104-步骤106。
[0058] 在一个例子中，计算每个第二流量序列对应的第二组小波系数及计算该第二组小波系数对应的第二Hurst指数的过程可以参见步骤102和步骤103。
[0059] 在本发明实施例中，根据预设时长内的每个预设时隙网络设备传输的流量的流量值所构成的流量序列得到一组小波系数，并计算该组小波系数对应的Hurst指数。由于正常流量之间是具有相似性的，因此基于相同时长且相同时隙对流量进行采样得到的多个流量序列对应的多组小波系数也相似，相应的，基于该多组小波系数分别计算得到的Hurst指数大小也近似。所以本发明实施例中设置一标准Hurst指数，将计算得到的Hurst指数与标准Hurst指数进行比较，从而确定是否存在异常流量。如果计算得到的Hurst指数与标准Hurst指数近似，则确定不存在异常流量，否则，确定存在异常流量。该确定异常流量的方式不需要考虑流量值的大小，而是通过流量值的相似性进行判断，即便是在某一段时间流量值过大，也可以判断出该段时间内是存在异常流量，还是因为网络繁忙引起的流量值过大。
[0060] 综上，利用本发明实施例提供的异常流量检测方法可以提高检测是否存在异常流量的准确性，减少错误的检测结果，减少误报和漏报等情况。
[0061] 基于与上述方法同样的申请构思，本申请实施例中还提出一种异常流量检测装置，如图5所示，为所述异常流量检测装置的结构图，所述装置包括：
[0062] 获取模块501，用于获取网络设备在预设时长内的每个预设时隙传输的流量的第一流量值；
[0063] 第一确定模块502，用于确定第一流量序列，所述第一流量序列包括每个第一流量值；
[0064] 第一计算模块503，用于计算所述第一流量序列对应的第一组小波系数；
[0065] 第二计算模块504，用于计算所述第一组小波系数对应的第一Hurst指数；
[0066] 第二确定模块505，用于若所述第一Hurst指数与标准Hurst指数之间的差值的绝对值大于第一门限值，则确定存在异常流量；否则确定不存在异常流量。
[0067] 所述获取模块501，还用于获取网络设备在至少一个预设时长内的每个预设时隙传输的正常流量的第二流量值；
[0068] 所述第一确定模块502，还用于确定每个预设时长对应的第二流量序列，所述第二流量序列包括对应的预设时长内的每个第二流量值；
[0069] 所述第一计算模块503，还用于计算每个第二流量序列对应的第二组小波系数；
[0070] 所述第二计算模块504，还用于计算每个第二组小波系数对应的第二Hurst指数；
[0071] 所述装置还包括(在图中未视出)：
[0072] 第三计算模块，用于根据所述第二Hurst指数计算标准Hurst指数。
[0073] 所述第二计算模块504，具体用于对所述第一组小波系数进行处理得到第一斜率；对所述第一斜率进行计算得到第一Hurst指数。
[0074] 所述第二计算模块504，具体用于在对所述第一组小波系数进行处理得到第一斜率时，分别计算所述第一组小波系数中包括的每个小波系数对应的方差，得到N个方差，其中，N为第一组小波系数中包括的小波系数的个数；
[0075] 分别计算每个方差对应的对数，将得到的N个对数确定为N个参数值；
[0076] 利用所述N个参数值在坐标系中建立N个坐标点，对所述N个坐标点进行线性拟合，并利用线性拟合结果得到所述第一斜率；
[0077] 其中，每个坐标点的横坐标为i，纵坐标为N个参数值中的第i个参数值，i的取值为小于等于N的正整数。
[0078] 所述第二计算模块504，具体用于在对所述第一斜率进行计算得到第一Hurst指数时，将所述第一斜率减1，再除以2，得到计算结果；将所述计算结果确定为第一Hurst指数。
[0079] 所述第二确定模块505，还用于当所述标准Hurst指数大于所述第一Hurst指数，且所述标准Hurst指数减去所述第一Hurst指数得到的差值大于第二门限值时，则确定攻击类型是DDoS攻击；当所述第一Hurst指数大于所述标准Hurst指数，且所述第一Hurst指数减去所述标准Hurst指数得到的差值大于第三门限值、小于第四门限值时，则确定攻击类型是蠕虫病毒攻击；
[0080] 其中，第二门限值大于第一门限值；第三门限值大于第一门限值。
[0081] 本申请实施例提供的异常流量检测设备，从硬件层面而言，其硬件架构示意图具体可以参见图6所示。包括：存储器和处理器，其中：
[0082] 所述存储器：用于存储机器可读指令。
[0083] 所述处理器：用于调用所述机器可读指令，以执行本申请上述示例公开的异常流量检测操作。
[0084] 这里，机器可读存储介质可以是任何
电子、
磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM(Radom Access Memory，
随机存取存储器)、易失存储器、
非易失性存储器、闪存、存储
驱动器(如
硬盘驱动器)、固态硬盘、任何类型的存储盘(如光盘、dvd等)，或者类似的存储介质，或者它们的组合。
[0085] 上述实施例阐明的系统、装置、模块或单元，具体可以由计算
机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、
个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。
[0086] 为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个
软件和/或硬件中实现。
[0087] 本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或
计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
[0088] 本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方
框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程
数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中
指定的功能的装置。
[0089] 而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。
[0090] 这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
[0091] 以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何
修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。
