流量异常检测方法、装置、电子设备和存储介质与流程

技术特征：
1.一种流量异常检测方法，其特征在于，所述方法包括：根据至少一个数据流中每个数据流的标识信息，确定所述至少一个数据流的属性信息在散列的数据结构中存储的目标位置；确定所述至少一个数据流的属性信息，并在所述目标位置存储所述至少一个数据流的属性信息；根据所述至少一个数据流的属性信息，确定待检测数据流的大小的估计值，所述待检测数据流为所述至少一个数据流中的数据流；根据所述待检测数据流的大小的估计值，对所述待检测数据流进行异常检测。2.根据权利要求1所述的方法，其特征在于，所述根据至少一个数据流中每个数据流的标识信息，确定所述至少一个数据流的属性信息在散列的数据结构中存储的目标位置，包括：采用多个哈希函数对所述至少一个数据流中每个数据流的标识信息进行哈希映射，确定在散列的数据结构存储所述每个数据流的属性信息的多个桶的位置，将所述多个桶的位置作为所述目标位置；所述根据所述至少一个数据流的属性信息，确定待检测数据流的大小的估计值，包括：根据所述至少一个数据流的属性信息，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值；根据所述待检测数据流的大小的多个初步估计值，确定所述待检测数据流的大小的估计值。3.根据权利要求2所述的方法，其特征在于，所述根据所述至少一个数据流的属性信息，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值，包括：根据所述至少一个数据流的属性信息，确定所述多个桶中的候选异常数据流的大小的估计值；根据所述多个桶中的候选异常数据流的大小的估计值，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值。4.根据权利要求3所述的方法，其特征在于，所述根据所述至少一个数据流的属性信息，确定所述多个桶中的候选异常数据流的大小的估计值，包括：根据所述至少一个数据流的属性信息，得到所述多个桶中每个桶的数据流的大小的值的总和；针对所述多个桶中的每个桶，确定所述每个桶对应的候选异常数据流；所述每个桶对应的候选异常数据流的大小大于所述每个桶的数据流的大小的值的总和的一半；确定所述每个桶对应的候选异常数据流的大小的估计值。5.根据权利要求3所述的方法，其特征在于，所述根据所述多个桶中的候选异常数据流的大小的估计值，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值，包括：针对所述多个桶中的每个桶，确定所述每个桶中候选异常数据流的大小的偏高估计值和所述每个桶中正常数据流的大小的估计值；所述偏高估计值大于所述候选异常数据流的大小的估计值，所述正常数据流表示所述至少一个数据流中除所述候选异常数据流外的其
它数据流；根据所述每个桶中候选异常数据流的大小的偏高估计值和所述每个桶中正常数据流的大小的估计值，确定所述每个桶中所述待检测数据流的大小的初步估计值。6.根据权利要求5所述的方法，其特征在于，所述确定所述每个桶中候选异常数据流的大小的偏高估计值，包括：针对所述多个桶中的每个桶，所述每个桶中候选异常数据流的大小的偏高估计值等于每个桶的数据流的大小的值的总和与每个桶中的候选异常数据流的大小的估计值的和的一半。7.根据权利要求5所述的方法，其特征在于，所述确定所述每个桶中正常数据流的大小的估计值，包括：针对所述多个桶中的每个桶，所述每个桶中正常数据流的大小的估计值等于每个桶的数据流的大小的值的总和与每个桶中的候选异常数据流的大小的估计值的差的一半。8.根据权利要求2所述的方法，其特征在于，所述根据所述待检测数据流的大小的多个初步估计值，确定所述待检测数据流的大小的估计值，包括：根据所述待检测数据流的大小的多个初步估计值，得到所述待检测数据流的大小的最小初步估计值和多个初步估计值的标准差；将所述待检测数据流的大小的最小初步估计值减去多个初步估计值的标准差，得到所述待检测数据流的大小的估计值。9.根据权利要求1所述的方法，其特征在于，所述根据待检测数据流的大小的估计值，对所述待检测数据流进行异常检测，包括：将所述待检测数据流的大小的估计值与设定的阈值进行比较，当所述待检测数据流的大小的估计值大于设定的阈值时，确定所述待检测数据流存在异常。10.一种流量异常检测装置，其特征在于，所述装置至少包括：第一确定模块，用于根据至少一个数据流中每个数据流的标识信息，确定所述至少一个数据流的属性信息在散列的数据结构中存储的目标位置；存储模块，用于确定所述至少一个数据流的属性信息，并在所述目标位置存储所述至少一个数据流的属性信息；第二确定模块，用于根据所述至少一个数据流的属性信息，确定待检测数据流的大小的估计值，所述待检测数据流为所述至少一个数据流中的数据流；检测模块，用于根据所述待检测数据流的大小的估计值，对所述待检测数据流进行异常检测。11.一种电子设备，其特征在于，所述电子设备包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现权利要求1
‑
9中任一项所述的流量异常检测方法。12.一种计算机存储介质，所述存储介质存储有计算机程序；其特征在于，所述计算机程序被执行后能够实现权利要求1
‑
9中任一项所述的流量异常检测方法。

技术总结
本发明实施例提供了一种流量异常检测方法、装置、电子设备和计算机存储介质，该方法包括：根据至少一个数据流中每个数据流的标识信息，确定至少一个数据流的属性信息在散列的数据结构中存储的目标位置；确定至少一个数据流的属性信息，并在目标位置存储至少一个数据流的属性信息；根据至少一个数据流的属性信息，确定待检测数据流的大小的估计值，待检测数据流为所述至少一个数据流中的数据流；根据待检测数据流的大小的估计值，对待检测数据流进行异常检测。异常检测。异常检测。


技术研发人员：李德方 陈晓帆
受保护的技术使用者：深信服科技股份有限公司
技术研发日：2021.09.29
技术公布日：2022/1/4