买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

摘要：本发明涉及数字信息传输技术领域，具体地说是一种基于进程流量综合分析的网络异常检测方法，包括基于终端单机流量的网络异常实时检测和基于网络辖域范围内所有终端流量的网络异常实时检测，本发明通过基于五元组和流量字节数的匹配及过滤脚本，实现了对于网络攻击的初步异常检测；通过网络辖域范围内所有终端流量的网络异常实时检测，通过时间序列、空间序列检测和图时空关联检测，遍历网络瞎域范围内的所有终端的网络行为链做关联归类分析，以及网络交互行为的相似性检测，通过设置对APT攻击的异常行为阈值，实现了更为精准、高效、具备预测性的异常情况检测。

主权项：1.一种基于进程流量综合分析的网络异常检测方法，其特征在于，包括以下步骤：S1，基于终端单机流量的网络异常实时检测，包括：S1-1，基于网络流量五元组的检测：基于对网络攻击行为足够清晰，APT攻击检测专家依据以往经验或标准，直接给出异常检测规则；S1-2，基于网络流量字节数据匹配的检测：以数据采集系统模块采集到的函数调用或返回时提取的信息为输入，进行正则表达式匹配；S1-3，基于模式匹配的过滤：指定规则过滤脚本，支持Python脚本、LUA脚本、FDS脚本、NASL脚本和PIT脚本；S2，基于网络辖域范围内所有终端流量的网络异常实时检测，包括：S2-1，基于时间序列的检测：S2-1-1，设定网络异常检测时间窗口α，在α时间段内基于采集的终端单机流量梳理网络辖域范围内每台终端的网络访问行为链；S2-1-2，遍历分析网络辖域范围内所有终端，是否有相同的网络访问行为链，将相同行为进行关联归类分析；S2-2，基于空间序列的检测：在某瞬时时刻，依据采集的网络五元组数据构建网络行为交互图，将每一个IP地址作为实体节点处理，将源IP地址和目的IP地址的关联作为边，将源IP地址和目的IP地址的数据包发送方向作为边的方向，以此构建一个基于网络行为交互的有向无权图；S2-3，基于图的时空关联检测：S2-3-1，将α时间内的基于网络行为交互的有向无权图进行相似性检测：将α时间段平均切分成t个更小的时间段，则B=β0,β1,β2,…,βt，将β0时刻的有向无权图依次与β1，β2，…，βt时刻的有向无权图进行图相似度计算；S2-3-2，依次将β1时刻的有向无权图依次与β2,β3,…,βt时刻的有向无权图进行图相似度计算，直至完成βt-1时刻与βt时刻的有向无权图的相似度计算，将计算结果进行排序；S2-3-3，将计算结果进行排序，APT攻击检测专家设置异常行为阈值，实现对异常情况的检测。

全文数据：

权利要求：

百度查询： 中国人民解放军61035部队 一种基于进程流量综合分析的网络异常检测方法