CN107070952A - 一种网络节点流量异常分析方法及系统 - Google Patents

Abstract

本申请公开了一种网络节点流量异常分析方法，包括：对网络流量数据进行预处理，得到所述网络流量数据流经的网络节点；获取网络流量数据流经的每一个网络节点的连接行为特征；利用所述连接行为特征计算出所述网络节点的网络流量连接图；利用所述网络流量连接图判断所述网络节点的流量是否异常。可见本申请通过获取网络流量数据流经的网络节点的连接行为特征，利用连接行为特征成图进行流量异常分析，从而简化网络的规模，降低检测的计算量。总的来说，利用本申请所提供的网络节点流量异常分析方法，能有效降低网络流量数据异常检测的难度。另外，本申请还相应公开了一种网络节点流量异常分析系统。

Description

一种网络节点流量异常分析方法及系统

技术领域

本发明涉及云计算技术，特别涉及一种网络节点流量异常分析方法及系统。

背景技术

网络技术在不断的进步，网络应用在为人们带来便利的同时，也可能会为人们带来信息安全隐患。例如，最近越来越多的网络应用会非法的利用未经授权的端口或者未经允许加密隐藏传输流量数据，在用户碰到恶意的网络应用程序时，将会面临巨大的信息安全隐患。

面对网络中流量数据传输时的信息安全问题，现有的解决方案有两种。第一种是使用统计数据的方法来进行流量数据进行异常检测，例如检测网络应用传输流量数据的包的大小、时隙、数量以及字节量等。另外一种方案是流量数据包进行深度包分析。

以上两种网络流量数据的异常检测方法在实现过程中难度非常大，首先，由于骨干网络的动态变化非常大，而且数据流量的规模也非常大，导致在利用传统的统计数据方法的计算量非常的大，检测起来非常困难。而且一些授权许可的网络应用也会通过加密隐藏流量数据，增加检测的难度

发明内容

有鉴于此，本发明的目的在于提供一种网络节点流量异常分析方法及系统，在进行网络流量数据异常检测时，可以有效简化网络规模以及规避流量数据加密问题，降低检测的难度。其具体方案如下：

一种网络节点流量异常分析方法，包括：

对网络流量数据进行预处理，得到所述网络流量数据流经的网络节点；

获取所述网络流量数据流经的每一个网络节点的连接行为特征；

利用所述连接行为特征计算出每一个网络节点的网络流量连接图；

利用所述网络流量连接图判断网络节点的流量是否异常。

优选地，还包括：

将所述网络流量连接图进行显示。

优选地，所述将所述网络流量连接图进行显示的过程，包括：

对网络节点进行筛选，筛选出流量异常的异常网络节点；

计算出每一个异常网络节点的权重等级；

按照权重等级显示异常网络节点的网络流量连接图。

优选地，所述利用所述网络流量连接图判断所述网络节点的流量是否异常的过程，包括：

计算出所述网络流量连接图中关于网络节点的特征参数；

判断所述特征参数是否超出预先设定的阈值，如果是，则判定网络节点流量异常。

本发明还公开了一种网络节点流量异常分析系统，包括：

网络节点获取模块，用于对网络流量数据进行预处理，得到所述网络流量数据流经的网络节点；

连接行为特征获取模块，用于获取所述网络流量数据流经的每一个网络节点的连接行为特征；

网络流量连接图计算模块，用于利用连接行为特征计算出每一个网络节点的网络流量连接图；

网络节点流量异常判断模块，用于利用所述网络流量连接图判断网络节点的流量是否异常。

优选地，还包括：

网络流量连接图显示模块，用于将所述网络流量连接图进行显示。

优选地，所述网络流量连接图显示模块，包括：

异常网络节点筛选单元，用于对网络节点进行筛选，筛选出流量异常的异常网络节点；

权重等级计算单元，用于计算出每一个异常网络节点的权重等级；

网络流量连接图显示单元，用于按照权重等级显示异常网络节点的网络流量连接图。

优选地，所述网络节点流量异常判断模块，包括：

特征参数计算单元，用于计算出所述网络流量连接图中关于网络节点的特征参数；

网络节点流量异常判断单元，用于判断所述特征参数是否超出预先设定的阈值，如果是，则判定网络节点流量异常。

本申请中，网络节点流量异常分析方法包括：对网络流量数据进行预处理，得到网络流量数据流经的网络节点；获取网络流量数据流经的每一个网络节点的连接行为特征；利用连接行为特征计算出所述网络节点的网络流量连接图；利用网络流量连接图判断网络节点的流量是否异常。可见本申请通过获取网络流量数据流经的网络节点的连接行为特征，利用连接行为特征成图进行分析，相比于现有技术对于整个网络的流量数据进行统计检测，获取网络中网络节点的连接行为特征能有效降低网络连接的复杂程度，从而简化网络的规模，降低检测的计算量。并且获取网络节点的行为特征能有效规避网络流量数据加密的问题，降低检测难度。总的来说，利用本申请所提供的网络节点流量异常分析方法，能有效降低网络流量数据异常检测的难度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例公开的一种网络节点流量异常分析方法流程图；

图2为本发明实施例公开的另一种网络节点流量异常分析方法流程图；

图3为本发明实施例公开的进行网络流量连接图显示的过程流程图；

图4为本发明实施例公开的一种具体的网络节点流量异常分析方法流程图；

图5为本发明实施例公开的一种网络节点流量异常分析系统结构图；

图6为本发明实施例公开的另一种网络节点流量异常分析系统结构图；

图7为本发明实施例公开的网络流量连接图显示模块的具体结构图；

图8为本发明实施例公开的一种具体的网络节点流量异常分析系统结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种网络节点流量异常分析方法，参见图1所示，该方法包括：

步骤11：对网络流量数据进行预处理，得到所述网络流量数据流经的网络节点。

本实施例中，上述网络流量数据是主机端通过发送端口，向网络中进行传输的数据，这些网络流量数据可以是由主机端的各种应用产生并进行发送，例如主机端的HTTP(HTTP，Hyper Text Transfer Protocol，超文本传输协议)、SMTP(SMTP，Simple MailTransfer Protocol，简单邮件传输协议)、DNS(DNS，Domain Name System，域名系统)、WinMX(WinMX，点对点档案分享软件)、NetBIOS(NetBIOS，Network Basic Input/OutputSystem，网络基本输入/输出协议)以及eDonkey(eDonkey，电驴文件分享网络)等网络连接应用。而进行预处理获得网络节点的过程，可以通过一些计算方法来实现，例如利用统计的方法，记录流量数据流经的网络节点，最终获得上述网络流量数据流经的网络节点的信息。因此预处理过程可以根据算法在主机端上利用编程语言设计算法程序来实现，例如应用Java语言以及C语言等。

通过上述的方法获得的网络节点信息，可以建立一个网络节点链表来保存，在网络节点链表中可以记录网络节点的名称、IP地址(IP，Internet Protocol，网络之间互联协议)以及MAC地址(MAC，Media Access Control，物理地址)等，方便进行下面各步骤对于网络节点的参数获取。

网络节点则是指流量数据经过的一些具有数据收发功能的站点，例如，可以是路由器、服务器以及个人电脑等，因此在网络节点上是有许多的收发端口，用来按照协议要求接收以及发送各种应用产生的流量数据。

步骤12：获取网络流量数据流经的每一个网络节点的连接行为特征。

由于在骨干网络中，每一个网络节点所对应的网络连接设备，例如路由器以及服务器等性能存在差异，因此在骨干网络中的每一个网络节点的连接行为特征是不一样的，所谓的连接行为特征，包括网络设备的进行连接的端口的数量，连接下一个节点的端口、端口的数量以及连接的方式，流量数据在网络节点之间转发的方向、速度以及流量数据包的大小、分组数量以及转发时延等。

步骤13：利用连接行为特征计算出每一个网络节点的网络流量连接图。

本实施例中，利用网络节点的连接行为特征计算出网络流量连接图的过程，是可以通过对网络节点的整体统计以及分析的计算方法得出，利用算法找出网络节点连接结构中的局部细节，然后进行整体统计。对整体统计的细节进行算法分析，分析局部细节中网络节点以及网络边的变化，从而得到网络节点的特征，最终根据这些特征得到网络流量连接图。在得到网络流量连接图后，可以将它们的实时传输地址信息归纳进上述步骤中建立的网络节点链表中，以方便调用。另外，上述算法具体可以利用编程语言设计算法程序来实现，例如应用Java语言以及C语言等。

步骤14：利用网络流量连接图判断网络节点的流量是否异常。

由于网络流量连接图是基于分析网络节点连接的局部细节而得出的，因此网络流量连接图相对于网络节点的变化是较为敏感的，在网络节点中流经的流量数据包的大小、分组数量、方向以及转发时延等变化都会直接影响网络流量连接图，因此通过网络流量连接图可以判断网络节点的流量是否异常。

在网络流量连接图的成图过程中，还可以选取网络节点的连接行为特征的一部分进行成图，因此，可以生成多种网络流量连接图，例如分布曲线图、RCC曲线图(RCC，即RichClub Connectivity，)以及等值分布线图等等。生成的这些网络流量连接图都基于网络节点的连接行为特征，当有异常状态的流量流经网络节点时，所生成的网络流量连接图就能够非常直观的反应网络节点的异常流量。

具体的，可以利用算法进行网络流量连接图特征参数的提取，然后利用正常情况下网络节点网络流量连接图的特征参数进行比较，从而判断网络节点的流量是否异常。其中算法可以利用一些编程语言来实现，例如Java语言，或者一些算法软件如Matlab等。

可见本实施例通过获取网络流量数据流经的网络节点的连接行为特征，利用连接行为特征成图进行分析，相比于现有技术对于整个网络的流量数据进行统计检测，获取网络中网络节点的连接行为特征能有效降低网络连接的复杂程度，从而简化网络的规模，降低检测的计算量。并且获取网络节点的行为特征能有效规避网络流量数据加密的问题，降低检测难度。总的来说，利用本申请所提供的网络节点流量异常分析方法，能有效降低网络流量数据异常检测的难度。

本发明实施例公开了另一种网络节点流量异常分析方法，参见图2所示，相对于上一实施例，本实施例对技术方案作了进一步增加。具体的：

在上述实施例步骤14后，进一步包括：

步骤15：将网络流量连接图进行显示。

在进行网络节点流量是否异常判断后，可以得出两种网络流量连接图，一种是流量数据异常的异常网络节点网络流量连接图，另外一种则是正常网络节点网络流量连接图。一般情况下，由于骨干网络的网络节点比较多，因此生成的网络流量连接图比较多，在出于仅对异常的网络节点进行监控的考虑下，可以仅对异常网络节点网络连接图进行显示，在显示的时候可以利用上述实施例中建立网络节点链表的方法，将相应的网络节点信息附在图中，以达到直观的效果。

当然，正常网络节点的网络流量连接图也可以进行显示，通过建立的网络节点链表中找到网络流量连接图实时传输地址，然后进行调用和显示。

进行网络流量连接图显示的过程，参见图3所示，包括：

步骤31：对网络节点进行筛选，筛选出流量异常的异常网络节点。

在上述实施例进行网络节点的流量异常判断后，可以将上述实施例中建立的网络节点链表分为两个部分，一部分用来记录异常网络节点的信息以及它的网络流量连接图实时传输地址，从而筛选出流量异常的网络节点。

步骤32：计算出每一个异常网络节点的权重等级。

本实施例中网络节点的权重等级是根据网络节点对应的网络设备决定的，权重等级能直接体现网络节点在整个通信网络中的地位，例如服务器的权重等级是高于个人电脑的。而网络节点的权重等级可以根据网络节点收发流量数据的规模大小计算得出，利用统计的方法决定网络节点收发流量数据的规模，从而对网络节点进行分级。

当然，也可以发送请求直接获取网络节点的设备信息，获取每一个网络节点权重等级，然后进行比较运算来进行分级。

步骤33：按照权重等级显示异常网络节点的网络流量连接图。

由于在骨干网络中产生异常流量的异常网络节点可能会比较多，按照权重等级进行网络连接图的显示可以使异常流量的监控工作更加有效率。网络流量连接图的显示可以利用计算机软件结合语言来进行显示，例如使用Graphviz软件结合DOT语言来进行异常网络节点的网络流量连接图的显示。在显示时，可以根据颜色的不同来进行不同权重等级网络节点网络流量连接图的显示，例如权重等级较高的服务器节点的网络流量连接图利用红色显示。

本发明实施例公开了一种具体的网络节点流量异常分析方法，参见图4所示，相对于上述两个实施例，本实施例对技术方案作了进一步的说明和优化。具体的：

上述实施例步骤14中，利用网络流量连接图判断网络节点的流量是否异常的过程，包括：

步骤41：计算出网络流量连接图中关于网络节点的特征参数。

其中，上述计算过程所使用的算法可以利用一些编程语言来实现，例如Java语言，或者一些算法软件如Matlab等，获得的特征参数是一些可以从网络流量连接图中能够反映网络节点收发流量数据的方向、数据包大小、分组数量以及转发时延等的特征参数，例如网络流量连接图的平均度、最大度数比、方向性、最大连通片大小、深度、节点度分布、富连接性以及联合度分布。

步骤42：判断特征参数是否超出预先设定的阈值，如果是，则判定网络节点流量异常。

预先设定的阈值可以是正常情况下网络节点网络流量连接图的一些特征参数，例如在网络节点无异常流量时的网络流量连接图上并提取正常的特征参数，对这些特征参数进行分析形成阈值的库，以便使用这个阈值库进行网络节点流量异常分析检测，以及区分不同的应用流量。而判断的过程，可以利用一些编程语言来实现，例如Java语言，或者一些算法软件如Matlab等。

本发明实施例还公开了一种网络节点流量异常分析系统，参见图5所示，该系统包括：

网络节点获取模块51，用于对网络流量数据进行预处理，得到所述网络流量数据流经的网络节点；

连接行为特征获取模块52，用于获取网络流量数据流经的每一个网络节点的连接行为特征；

网络流量连接图计算模块53，用于利用连接行为特征计算出每一个网络节点的网络流量连接图；

网络节点流量异常判断模块54，用于利用网络流量连接图判断网络节点的流量是否异常。

关于上述各个模块更加详细的工作过程可以参考前述实施例中公开的相应内容，在此不再赘述。

本发明实施例还公开了另一种网络节点流量异常分析系统，参见图6所示，相对于上述实施例进行了模块的增加。具体的：

进一步包括：

网络流量连接图显示模块55，用于将网络流量连接图进行显示。

参见图7所示，上述网络流量连接图显示模块的具体结构，包括：

异常网络节点筛选单元61，用于对网络节点进行筛选，筛选出流量异常的异常网络节点；

权重等级计算单元62，用于计算出每一个异常网络节点的权重等级；

网络流量连接图显示单元63，用于按照权重等级显示异常网络节点的网络流量连接图。

关于上述各个模块以及各个单元更加详细的工作过程可以参考前述实施例中公开的相应内容，在此不再赘述。

本发明实施例还公开了一种具体的网络节点流量异常分析系统，参见图8所示，相对于上述两个实施例，本实施例对技术方案作进一步说明和优化。具体的：

上述网络节点流量异常判断模块54，包括：

特征参数计算单元71，用于计算出网络流量连接图中关于网络节点的特征参数；

网络节点流量异常判断单元72，用于判断所述特征参数是否超出预先设定的阈值，如果是，则判定网络节点流量异常。

关于上述各个模块以及各个单元更加详细的工作过程可以参考前述实施例中公开的相应内容，在此不再赘述。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明所提供的一种网络节点流量异常分析方法及系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (8)

1.一种网络节点流量异常分析方法，其特征在于，包括：

对网络流量数据进行预处理，得到所述网络流量数据流经的网络节点；

获取所述网络流量数据流经的每一个网络节点的连接行为特征；

利用连接行为特征计算出每一个网络节点的网络流量连接图；

利用所述网络流量连接图判断网络节点的流量是否异常。

2.根据权利要求1所述的方法，其特征在于，还包括：

将所述网络流量连接图进行显示。

3.根据权利要求2所述的方法，其特征在于，所述将所述网络流量连接图进行显示的过程，包括：

对网络节点进行筛选，筛选出流量异常的异常网络节点；

计算出每一个异常网络节点的权重等级；

按照权重等级显示异常网络节点的网络流量连接图。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述利用所述网络流量连接图判断所述网络节点的流量是否异常的过程，包括：

计算出所述网络流量连接图中关于网络节点的特征参数；

判断所述特征参数是否超出预先设定的阈值，如果是，则判定网络节点流量异常。

5.一种网络节点流量异常分析系统，其特征在于，包括：

网络节点获取模块，用于对网络流量数据进行预处理，得到所述网络流量数据流经的网络节点；

连接行为特征获取模块，用于获取所述网络流量数据流经的每一个网络节点的连接行为特征；

网络流量连接图计算模块，用于利用连接行为特征计算出每一个网络节点的网络流量连接图；

网络节点流量异常判断模块，用于利用所述网络流量连接图判断网络节点的流量是否异常。

6.根据权利要求5所述的系统，其特征在于，还包括：

网络流量连接图显示模块，用于将所述网络流量连接图进行显示。

7.根据权利要求6所述的系统，其特征在于，所述网络流量连接图显示模块，包括：

异常网络节点筛选单元，用于对网络节点进行筛选，筛选出流量异常的异常网络节点；

权重等级计算单元，用于计算出每一个异常网络节点的权重等级；

网络流量连接图显示单元，用于按照权重等级显示异常网络节点的网络流量连接图。

8.根据权利要求5-7任一项所述的系统，其特征在于，所述网络节点流量异常判断模块，包括：

特征参数计算单元，用于计算出所述网络流量连接图中关于网络节点的特征参数；

网络节点流量异常判断单元，用于判断所述特征参数是否超出预先设定的阈值，如果是，则判定网络节点流量异常。