CN104954192A - 一种网络流量监测方法和设备 - Google Patents

Abstract

本发明公开了一种网络流量监测方法和设备。该方法包括：检测当前网络流量；将所述当前网络流量与一基线值进行比较；在所述当前网络流量大于或等于该基线值的情况下，进行告警；其中，所述基线值是基于历史同时刻网络流量的加权平均值和方差确定的，并且，每个历史同时刻网络流量的权重系数不全相等，所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。这样，在历史同时刻网络流量变化明显的情况下，在确定基线值时能够及时地反映出这种流量的变化情况，避免由于赶不上流量变化的节奏而造成误报的情况，从而提高网络流量异常判断的准确率。

Description

一种网络流量监测方法和设备

技术领域

本发明涉及网络监测领域，具体地，涉及一种网络流量监测方法和设备。

背景技术

随着互联网技术的发展，网络安全以及网络信息统计、行为分析越来越受到人们的关注。通过对网络流量进行监测能够有效的获得用户的网络行为，从而便于监测人员实时掌握网络动态。

监测网络流量是否异常是网络流量监测的一个应用。判断网络流量是否异常，通常是将检测到的网络流量与一基线值进行比较。如果所检测到的网络流量大于或等于该基线值，则确定此时网络流量异常。可见，基线值的确定对于网络流量异常判断起至关重要的作用。

动态基线是指对于不同时刻使用不同的基线值来刻画该时刻的网络流量。例如，时刻t₁采用第一基线值作为流量上限，时刻t₂采用第二基线值作为流量上限。对于当前检测到的网络流量，可基于切比雪夫不等式、利用历史同时刻网络流量来确定当前网络流量的基线值。所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。例如，假设当前检测时间是今天的时刻t₁，那么所述历史同时刻网络流量可包括在前天的时刻t₁检测的网络流量、在昨天的时刻t₁检测的网络流量，等等。确定当前网络流量的基线值的方法如下所示：

${\mathrm{\ξ}}_0=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+E\left(\mathrm{\ξ}\right)$     等式（1）

其中，ξ₀表示所述基线值；D(ξ)表示历史同时刻网络流量的方差；E(ξ)表示历史同时刻网络流量的期望；以及α表示信任度。

使用切比雪夫不等式来预测下一个数据的基线值，是一个学习的过程。通过对历史数据的学习，来得到下一个数据的基线值。然而，如果距离当前检测时间较近的历史同时刻网络流量出现较大起伏时，而这种起伏又是正常的情况下，那么通过现有方法预测出的基线值，有时不能敏感地反映出这些历史同时刻网络流量的这一起伏变化，这就容易导致误报的情况。

发明内容

本发明的目的是提供一种网络流量监测方法和设备，以在网络流量复杂多变的情况下，提高网络流量异常判断的准确率，减少误报的情况。

为了实现上述目的，本发明提供一种网络流量监测方法，该方法包括：检测当前网络流量；将所述当前网络流量与一基线值进行比较；在所述当前网络流量大于或等于该基线值的情况下，进行告警；其中，所述基线值是基于历史同时刻网络流量的加权平均值和方差确定的，并且，每个历史同时刻网络流量的权重系数不全相等，所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。

优选地，时间上距离所述当前网络流量越近的历史同时刻网络流量，具有越高的权重。

优选地，该方法还包括：仅在所述当前网络流量小于所述基线值的情况下，将所述当前网络流量存储为历史同时刻网络流量。

优选地，通过以下方式来确定所述基线值：

${\mathrm{\ξ}}_0=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+E^{\′}\left(\mathrm{\ξ}\right)=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+\underset{1}{\overset{n}{\mathrm{\Σ}}}{k}_i{\mathrm{\ξ}}_i$

其中，ξ₀表示所述基线值；ξ_i表示第i个历史同时刻网络流量，其中i＝1,…,n；k_i表示第i个历史同时刻网络流量的权重系数；n表示历史同时刻网络流量的总个数；E'(ξ)表示历史同时刻网络流量的加权平均值；D(ξ)表示历史同时刻网络流量的方差；以及α表示信任度，其中该信任度是预定的，并且0＜α＜1。

本发明还提供一种网络流量监测设备，该设备包括：用于检测当前网络流量的装置；用于将所述当前网络流量与一基线值进行比较的装置；用于在所述当前网络流量大于或等于该基线值的情况下，进行告警的装置；其中，所述基线值是基于历史同时刻网络流量的加权平均值和方差确定的，并且，每个历史同时刻网络流量的权重系数不全相等，所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。

优选地，时间上距离所述当前网络流量越近的历史同时刻网络流量，具有越高的权重。

优选地，该设备还包括：用于仅在所述当前网络流量小于所述基线值的情况下，将所述当前网络流量存储为历史同时刻网络流量。

在上述技术方案中，针对某个时刻检测到的当前网络流量，可根据各个历史同时刻网络流量对预测当前网络流量的基线值的不同影响程度，来为其设定各自的权重系数。例如，对时间上距离当前网络流量较早的历史同时刻网络流量设定较小的权重，而对距离当前网络流量较近的历史同时刻网络流量设定较大的权重。这样，在历史同时刻网络流量变化明显的情况下，在确定基线值时能够及时地反映出这种流量的变化情况，避免由于赶不上流量变化的节奏而造成误报的情况，从而提高网络流量异常判断的准确率。本发明提供的网络流量监测方法和设备适用于流量复杂多变的网络。

本发明的其他特征和优点将在随后的具体实施方式部分予以详细说明。

附图说明

附图是用来提供对本发明的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明，但并不构成对本发明的限制。在附图中：

图1是根据本发明的实施方式的网络流量监测方法的流程图；

图2是根据本发明的另一实施方式的网络流量监测方法的流程图。

具体实施方式

以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

图1示出了根据本发明的实施方式的网络流量监测方法的流程图。如图1所示，该方法包括：步骤S101，检测当前网络流量；步骤S102，将所述当前网络流量与一基线值进行比较（即，判断当前网络流量是否大于或等于该基线值）；步骤S103，在所述当前网络流量大于或等于该基线值的情况下，进行告警。其中，所述基线值是基于历史同时刻网络流量的加权平均值和方差确定的，并且，每个历史同时刻网络流量的权重系数不全相等，所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。

每个历史同时刻网络流量的权重系数可以被预先设定。优选地，时间上距离所述当前网络流量越近的历史同时刻网络流量，具有越高的权重。例如，在确定今天的网络流量的基线值时，昨天的同时刻网络流量的权重应大于一周前的同时刻网络流量的权重。

下面将详细描述基线值的确定方法。

假设所要确定的是用于在时刻t₁检测的当前网络流量的基线值。首先，可以根据与该时刻t₁对应的各个历史同时刻网络流量（例如，距离当前检测时间最近的7个历史同时刻网络流量）和每个历史同时刻网络流量的权重系数，确定出这些历史同时刻网络流量的加权平均值E'(ξ)，如下所示：

$E^{\′}\left(\mathrm{\ξ}\right)=\underset{1}{\overset{n}{\mathrm{\Σ}}}{k}_i{\mathrm{\ξ}}_i$     等式（2）

其中，ξ_i表示第i个历史同时刻网络流量，其中i＝1,…,n；k_i表示第i个历史同时刻网络流量的权重系数；n表示历史同时刻网络流量的总个数。

之后，确定所述历史同时刻网络流量的方差D(ξ)。应该理解的是，计算方差D(ξ)的方法是本领域技术人员公知的，此处便不再赘述。

如上所述，现有技术是通过等式（1）来确定基线值的。现有的基线值确定方法中采用的是历史同时刻网络流量的期望E(ξ)，即，各个历史同时刻网络流量的算术平均值。也就是说，在现有方法中，其没有考虑各个历史同时刻网络流量对当前网络流量的基线值的不同的影响程度。因此，在网络中的流量正常出现起伏的时候，由于反应流量新情况的当前数据的权重可能太低，从而不能在基线值预测时，敏感地反映出这种流量的变化情况，表现为学习效率低下。容易因为赶不上流量变化的节奏而造成误报。

为此，在本发明中，为了体现不同的历史同时刻网络流量对当前网络流量的基线值确定的不同影响程度，为各个历史同时刻网络流量设定了各自的权重系数k_i，并利用各个历史同时刻网络流量的加权平均值E'(ξ)来替换等式（1）中的期望E(ξ)，以得出基线值ξ₀。如下所示：

${\mathrm{\ξ}}_0=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+E^{\′}\left(\mathrm{\ξ}\right)$     等式（3）

其中，信任度α可以被预先设定，并且0＜α＜1。

在利用本发明提供的等式（3）确定出基线值ξ₀之后，就可以将检测到的当前网络流量与所述基线值ξ₀进行比较，并在所述当前网络流量大于或等于该基线值ξ₀的情况下，认为当前网络流量异常，并进行告警。由此，可以实现对网络流量的异常监测。

由于在确定基线值时考虑了各个历史同时刻网络流量数据的不同影响程度，因此，在历史同时刻网络流量变化明显的情况下，能够及时地反映出这种流量的变化情况，避免由于赶不上流量变化的节奏而造成误报的情况，从而提高网络流量异常判断的准确率。

在本发明的另一优选的实施方式中，如图2所示，所述方法还包括：步骤S104，仅在所述当前网络流量小于所述基线值的情况下，将所述当前网络流量存储为历史同时刻网络流量。也就是说，在本发明提供的网络流量监测方法中，只有小于基线值的网络流量（被认为是正常的网络流量）才可以被用作确定下一同时刻网络流量的基线值的历史数据。而大于或等于基线值的网络流量不被用作确定下一同时刻网络流量的基线值的历史数据，因为这样的网络流量数据是异常的。如果在确定下一同时刻网络流量的基线值时考虑这种异常数据，则会对基线值确定产生干扰，影响确定出的基线值的准确性。

由此，在本发明提供的网络流量监测方法中，正常的网络流量被用于确定下一同时刻网络流量的基线值，而异常的网络流量被用于告警。

本发明还提供一种网络流量监测设备，该设备可以包括：用于检测当前网络流量的装置；用于将所述当前网络流量与一基线值进行比较的装置；用于在所述当前网络流量大于或等于该基线值的情况下，进行告警的装置；其中，所述基线值是基于历史同时刻网络流量的加权平均值和方差确定的，并且，每个历史同时刻网络流量的权重系数不全相等，所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。

其中，每个历史同时刻网络流量的权重系数可以被预先设定。优选地，时间上距离所述当前网络流量越近的历史同时刻网络流量，具有越高的权重。

在一个优选的实施方式中，该设备还可以包括：用于仅在所述当前网络流量小于所述基线值的情况下，将所述当前网络流量存储为历史同时刻网络流量的装置。

所述基线值可以通过以下方式来被确定：

${\mathrm{\ξ}}_0=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+E^{\′}\left(\mathrm{\ξ}\right)=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+\underset{1}{\overset{n}{\mathrm{\Σ}}}{k}_i{\mathrm{\ξ}}_i$ 等式（4）

其中，ξ₀表示所述基线值；ξ_i表示第i个历史同时刻网络流量，其中i＝1,…,n；k_i表示第i个历史同时刻网络流量的权重系数；n表示历史同时刻网络流量的总个数；E'(ξ)表示历史同时刻网络流量的加权平均值；D(ξ)表示历史同时刻网络流量的方差；以及α表示信任度，其中该信任度可被预定，并且0＜α＜1。

在上述技术方案中，针对某个时刻检测到的当前网络流量，可根据各个历史同时刻网络流量对预测当前网络流量的基线值的不同影响程度，来为其设定各自的权重系数。例如，对时间上距离当前网络流量较早的历史同时刻网络流量设定较小的权重，而对距离当前网络流量较近的历史同时刻网络流量设定较大的权重。这样，在历史同时刻网络流量变化明显的情况下，在确定基线值时能够及时地反映出这种流量的变化情况，避免由于赶不上流量变化的节奏而造成误报的情况，从而提高网络流量异常判断的准确率。本发明提供的网络流量监测方法和设备适用于流量复杂多变的网络。

以上结合附图详细描述了本发明的优选实施方式，但是，本发明并不限于上述实施方式中的具体细节，在本发明的技术构思范围内，可以对本发明的技术方案进行多种简单变型，这些简单变型均属于本发明的保护范围。

另外需要说明的是，在上述具体实施方式中所描述的各个具体技术特征，在不矛盾的情况下，可以通过任何合适的方式进行组合。为了避免不必要的重复，本发明对各种可能的组合方式不再另行说明。

此外，本发明的各种不同的实施方式之间也可以进行任意组合，只要其不违背本发明的思想，其同样应当视为本发明所公开的内容。

Claims (8)

1.一种网络流量监测方法，其特征在于，该方法包括：

检测当前网络流量；

将所述当前网络流量与一基线值进行比较；

在所述当前网络流量大于或等于该基线值的情况下，进行告警；

其中，所述基线值是基于历史同时刻网络流量的加权平均值和方差确定的，并且，每个历史同时刻网络流量的权重系数不全相等，所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。

2.根据权利要求1所述的方法，其特征在于，时间上距离所述当前网络流量越近的历史同时刻网络流量，具有越高的权重。

3.根据权利要求1所述的方法，其特征在于，该方法还包括：

仅在所述当前网络流量小于所述基线值的情况下，将所述当前网络流量存储为历史同时刻网络流量。

4.根据权利要求1-3中任一权利要求所述的方法，其特征在于，通过以下方式来确定所述基线值：

${\mathrm{\ξ}}_0=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+E^{\′}\left(\mathrm{\ξ}\right)=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+\underset{1}{\overset{n}{\mathrm{\Σ}}}{k}_i{\mathrm{\ξ}}_i$

其中，ξ₀表示所述基线值；

ξ_i表示第i个历史同时刻网络流量，其中i＝1,…,n；

k_i表示第i个历史同时刻网络流量的权重系数；

n表示历史同时刻网络流量的总个数；

E'(ξ)表示历史同时刻网络流量的加权平均值；

D(ξ)表示历史同时刻网络流量的方差；以及

α表示信任度，其中该信任度是预定的，并且0＜α＜1。

5.一种网络流量监测设备，其特征在于，该设备包括：

用于检测当前网络流量的装置；

用于将所述当前网络流量与一基线值进行比较的装置；

用于在所述当前网络流量大于或等于该基线值的情况下，进行告警的装置；

其中，所述基线值是基于历史同时刻网络流量的加权平均值和方差确定的，并且，每个历史同时刻网络流量的权重系数不全相等，所述历史同时刻网络流量是指在当前检测时间之前的历史日期中的同一时刻检测到的网络流量。

6.根据权利要求5所述的设备，其特征在于，时间上距离所述当前网络流量越近的历史同时刻网络流量，具有越高的权重。

7.根据权利要求5所述的设备，其特征在于，该设备还包括：

用于仅在所述当前网络流量小于所述基线值的情况下，将所述当前网络流量存储为历史同时刻网络流量的装置。

8.根据权利要求5-7中任一权利要求所述的设备，其特征在于，所述基线值是通过以下方式来被确定的：

${\mathrm{\ξ}}_0=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+E^{\′}\left(\mathrm{\ξ}\right)=\sqrt{\frac{D\left(\mathrm{\ξ}\right)}{1-\mathrm{\α}}}+\underset{1}{\overset{n}{\mathrm{\Σ}}}{k}_i{\mathrm{\ξ}}_i$

其中，ξ₀表示所述基线值；

ξ_i表示第i个历史同时刻网络流量，其中i＝1,…,n；

k_i表示第i个历史同时刻网络流量的权重系数；

n表示历史同时刻网络流量的总个数；

E'(ξ)表示历史同时刻网络流量的加权平均值；

D(ξ)表示历史同时刻网络流量的方差；以及

α表示信任度，其中该信任度是预定的，并且0＜α＜1。