一种流量识别方法、装置、设备及存储介质与流程

本发明涉及数据处理，具体涉及一种流量识别方法、装置、设备及存储介质。

背景技术：

1、对恶意流量（如对服务器进行攻击的数据流量）进行识别是网络安全领域的关键技术之一。在相关技术中，通常采用深度学习算法对或决策树等算法对恶意流量进行识别和阻拦。但在相关技术中，采用深度学习算法对或决策树等算法只能从流量数据宏观上进行识别，而部分恶意流量是在正常流量中掺杂少量的攻击数据包，相关技术难以对该类型的恶意流量进行准确识别。

2、可见，相关技术中存在对恶意流量识别准确率较低的问题。

技术实现思路

1、本发明实施例提供一种流量识别方法、装置、设备及存储介质，以解决相关技术中对恶意流量识别准确率较低的问题。

2、为解决上述问题，本发明是这样实现的：

3、第一方面，本发明实施例提供一种流量识别方法，包括：

4、对接收到的流量数据进行采样，得到采样数据，所述采样数据包括多个数据包和每个数据包中每个数据包对应的时间戳；

5、基于所述采样数据构建结构化流图，所述结构化流图包括多个节点和多个边，所述多个节点与所述多个数据包一一对应，所述多个节点中每个节点用于表征所述数据包的状态，所述多个边中每个边用于表征连接的两个节点对应的数据包存在连续传输关系、响应关系或传输异常关系，所述传输异常关系用于表征两个节点之间的时间戳的间隔异常；

6、确定所述多个数据包中的突变点数据包，所述突变点数据包与相邻数据包之间的数据间隔大于设定间隔阈值，所述相邻数据包为所述多个数据包中与所述突变点数据包相邻的数据包；

7、基于所述结构化流图计算所述突变点数据包对应的突变置信度，所述突变置信度用于表征所述突变点数据包为异常流量的概率；

8、基于所述突变置信度生成所述流量数据对应的流量识别结果。

9、第二方面，本发明实施例提供一种流量识别装置，包括：

10、采样模块，用于对接收到的流量数据进行采样，得到采样数据，所述采样数据包括多个数据包和每个数据包中每个数据包对应的时间戳；

11、构建模块，用于基于所述采样数据构建结构化流图，所述结构化流图包括多个节点和多个边，所述多个节点与所述多个数据包一一对应，所述多个节点中每个节点用于表征所述数据包的状态，所述多个边中每个边用于表征连接的两个节点对应的数据包存在连续传输关系、响应关系或传输异常关系，所述传输异常关系用于表征两个节点之间的时间戳的间隔异常；

12、确定模块，用于确定所述多个数据包中的突变点数据包，所述突变点数据包与相邻数据包之间的数据间隔大于设定间隔阈值，所述相邻数据包为所述多个数据包中与所述突变点数据包相邻的数据包；

13、计算模块，用于基于所述结构化流图计算所述突变点数据包对应的突变置信度，所述突变置信度用于表征所述突变点数据包为异常流量的概率；

14、生成模块，用于基于所述突变置信度生成所述流量数据对应的流量识别结果。

15、第三方面，本发明实施例还提供一种电子设备，包括收发机和处理器，

16、所述处理器，用于对接收到的流量数据进行采样，得到采样数据，所述采样数据包括多个数据包和每个数据包中每个数据包对应的时间戳；

17、所述处理器，用于基于所述采样数据构建结构化流图，所述结构化流图包括多个节点和多个边，所述多个节点与所述多个数据包一一对应，所述多个节点中每个节点用于表征所述数据包的状态，所述多个边中每个边用于表征连接的两个节点对应的数据包存在连续传输关系、响应关系或传输异常关系，所述传输异常关系用于表征两个节点之间的时间戳的间隔异常；

18、所述处理器，用于确定所述多个数据包中的突变点数据包，所述突变点数据包与相邻数据包之间的数据间隔大于设定间隔阈值，所述相邻数据包为所述多个数据包中与所述突变点数据包相邻的数据包；

19、所述处理器，用于基于所述结构化流图计算所述突变点数据包对应的突变置信度，所述突变置信度用于表征所述突变点数据包为异常流量的概率；

20、所述处理器，用于基于所述突变置信度生成所述流量数据对应的流量识别结果。

21、第四方面，本发明实施例提供一种电子设备，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现上述第一方面所述的流量识别方法的步骤。

22、第五方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述第一方面所述的流量识别方法的步骤。

23、第六方面，本发明还提供一种计算机程序产品，包括计算机指令，所述计算机指令被处理器执行时实现上述第一方面所述的流量识别方法的步骤。

24、在本发明实施例中，对接收到的流量数据进行采样，得到采样数据，所述采样数据包括多个数据包和每个数据包中每个数据包对应的时间戳；基于所述采样数据构建结构化流图，所述结构化流图包括多个节点和多个边，所述多个节点与所述多个数据包一一对应，所述多个节点中每个节点用于表征所述数据包的状态，所述多个边中每个边用于表征连接的两个节点对应的数据包存在连续传输关系、响应关系或传输异常关系，所述传输异常关系用于表征两个节点之间的时间戳的间隔异常；确定所述多个数据包中的突变点数据包，所述突变点数据包与相邻数据包之间的数据间隔大于设定间隔阈值，所述相邻数据包为所述多个数据包中与所述突变点数据包相邻的数据包；基于所述结构化流图计算所述突变点数据包对应的突变置信度，所述突变置信度用于表征所述突变点数据包为异常流量的概率；基于所述突变置信度生成所述流量数据对应的流量识别结果。这样，通过确定多个数据包中的突变点数据包，并基于结构化流图计算突变点数据包对应的突变置信度，进而可以通过突变置信度对流量进行识别，以识别突变点数据包是否为异常流量的数据包，实现了从单个数据包实现识别异常流量，进而提高了识别准确率。

1.一种流量识别方法，其特征在于，包括：

2.如权利要求1所述的方法，其特征在于，所述对接收到的流量数据进行采样，得到采样数据，包括：

3.如权利要求2所述的方法，其特征在于，所述在所述第一采样置信度小于所述设定置信阈值的情况下，或者，在所述时间戳质量小于所述设定质量阈值的情况下，将所述第二数据设为所述采样数据，包括：

4.如权利要求1至3中任一项所述的方法，其特征在于，所述确定所述多个数据包中的突变点数据包，包括：

5.如权利要求4所述的方法，其特征在于，所述基于所述结构化流图计算所述突变点数据包对应的突变置信度，包括：

6.如权利要求1至3中任一项所述的方法，其特征在于，所述方法还包括：

7.如权利要求6所述的方法，其特征在于，所述在所述第一评分大于设定评分阈值的情况下，生成阻断策略，包括：

8.一种流量识别装置，其特征在于，包括：

9.一种电子设备，其特征在于，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现如权利要求1至7中任一项所述的流量识别方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7中任一项所述的流量识别方法的步骤。