CN109495521A - 一种异常流量检测方法及装置 - Google Patents

Abstract

本发明实施例提供了一种异常流量检测方法及装置，其中，异常流量检测方法包括：获取待检测流量的流量特征信息，将该流量特征信息与常用流量特征信息集合进行匹配，若未匹配上，则将流量特征信息与预设端口协议映射表进行匹配，基于流量特征信息与预设端口协议映射表的匹配结果，判断待检测流量是否为异常流量。通过本方案，利用常用流量特征信息集合和预设端口协议映射表，对将待检测流量的流量特征信息进行综合匹配，能够综合地、更为准确地检测出疑似异常的流量，避免了将正常流量误检为异常流量的情况发生，从而降低了异常流量的误检率。

Description

一种异常流量检测方法及装置

技术领域

本发明涉及网络信息安全技术领域，特别是涉及一种异常流量检测方法及装置。

背景技术

随着网络技术的大量应用和快速发展，网络信息安全威胁也在不断增加。异常流量(例如勒索病毒、蠕虫病毒等)对网络主机构成极大的安全威胁，异常流量可以通过对网络主机进行扫描，发现可以利用的漏洞，经过复制传播达到感染控制更多网络主机、对网络进行攻击的目的，因此，如何检测异常流量成为网络技术发展亟待解决的问题。

相应的异常流量检测方法中，通过统计历史时间段内的正常流量的流量特征信息(如端口信息、协议信息、IP(Internet Protocol，网络协议)地址等)，建立常用流量特征信息集合，当接收到新的流量时，提取该流量的流量特征信息，到常用流量特征信息集合中进行匹配，如果能够匹配上，则认为该流量为正常流量，如果不能匹配上，则认为该流量为异常流量。

然而，由于常用流量特征信息集合是基于历史时间段内的正常流量的流量特征信息建立的，如果历史时间段设置的较短，则常用流量特征信息集合中统计的流量特征信息较少，极有可能排除掉正常流量的流量特征信息，使得正常流量被检测为异常流量，误检率较高。

发明内容

本发明实施例的目的在于提供一种异常流量检测方法及装置，以降低异常流量的误检率。具体技术方案如下：

第一方面，本发明实施例提供了一种异常流量检测方法，所述方法包括：

获取待检测流量的流量特征信息；

将所述流量特征信息与常用流量特征信息集合进行匹配；

若未匹配上，则将所述流量特征信息与预设端口协议映射表进行匹配，所述预设端口协议映射表包括预设的端口信息和协议信息之间的映射关系；

基于所述流量特征信息与所述预设端口协议映射表的匹配结果，判断所述待检测流量是否为异常流量。

第二方面，本发明实施例提供了一种异常流量检测装置，所述装置包括：

获取模块，用于获取待检测流量的流量特征信息；

匹配模块，用于将所述流量特征信息与常用流量特征信息集合进行匹配；若未匹配上，则将所述流量特征信息与预设端口协议映射表进行匹配，所述预设端口协议映射表包括预设的端口信息和协议信息之间的映射关系；

判断模块，用于基于所述流量特征信息与所述预设端口协议映射表的匹配结果，判断所述待检测流量是否为异常流量。

第三方面，本发明实施例提供了一种检测设备，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使执行本发明实施例第一方面所提供的方法步骤。

第四方面，本发明实施例提供了一种机器可读存储介质，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器执行本发明实施例第一方面所提供的方法步骤。

本发明实施例提供的一种异常流量检测方法及装置，通过获取待检测流量的流量特征信息，将该流量特征信息与常用流量特征信息集合进行匹配，若未匹配上，则将流量特征信息与预设端口协议映射表进行匹配，基于流量特征信息与预设端口协议映射表的匹配结果，判断待检测流量是否为异常流量。如果待检测流量的流量特征信息与常用流量特征信息集合匹配不上，则说明当前时刻前的预设时间段内主机并没有接收过对应的流量，再将流量特征信息与预设端口协议映射表进行匹配，预设端口协议映射表是预先定义的端口信息和协议信息的映射关系表，利用预设端口协议映射表更进一步地综合检测出疑似异常的流量，能够更为准确的检测出异常流量，避免了将正常流量误检为异常流量的情况发生，降低了异常流量的误检率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例的异常流量检测方法的流程示意图；

图2为本发明另一实施例的异常流量检测方法的流程示意图；

图3为本发明实施例的异常流量检测装置的结构示意图；

图4为本发明实施例的检测设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了降低异常流量的误检率，本发明实施例提供了一种异常流量检测方法、装置、检测设备及机器可读存储介质。下面，首先对本发明实施例所提供的异常流量检测方法进行介绍。

本发明实施例所提供的异常流量检测方法的执行主体可以为网络后台服务器、检测控制器等检测设备，用于对网络中各网络主机进行异常流量的检测，当然，执行主体还可以为网络主机自身。本发明实施例所提供的异常流量检测方法可以被设置于执行主体中的软件、硬件电路、逻辑电路中的至少一种执行实现。

如图1所示，本发明实施例所提供的一种异常流量检测方法，可以包括如下步骤。

S101，获取待检测流量的流量特征信息。

当网络主机(例如网页服务器、数据库服务器等)接收到新的流量时，可以获取到该流量的流量日志，从流量日志中可以提取出端口信息、协议信息、IP地址信息、应用类型等流量特征信息，可以基于这些流量特征信息，检测待检测流量是否为异常流量。

实际应用中，待检测流量的流量日志中包括了流量传输过程中所产生的所有信息，例如，该流量的源IP地址、目的IP地址、源端口号、目的端口号、协议信息等等。主机与另一个主机建立会话连接后，该会话下的所有流量(对主机而言，是其接收到的流量)对应一个流量日志，具体的，流量日志可以表示为表1所示的格式。

表1

S102，将流量特征信息与常用流量特征信息集合进行匹配。

具体的，针对一个网络主机而言，可以根据该一个网络主机接收到的各历史正常流量的流量特征信息(例如，目的IP地址、主机接收该流量的端口号及该端口所采用的协议信息等)，建立常用流量特征信息集合，也就是说，针对一个网络主机可以统计到多条常用流量特征信息，组成常用流量特征信息集合。这样，在接收到待检测流量时，获取该待检测流量的流量特征信息，并将获取到的流量特征信息与常用流量特征信息集合进行匹配，以判断常用流量特征信息集合中是否存在与流量特征信息相匹配的常用流量特征信息，如果存在，则说明待检测流量为正常流量，该一个网络主机在过去的一定时间段内接收到过同类型的流量，如果不存在，则说明在过去的一定时间段内网络主机未接收到过待检测流量或与待检测流量同类型的流量。

可选的，建立常用流量特征信息集合的方式可以为：基于目标主机在预设时长内接收到的各正常流量的流量日志，分别提取出各正常流量的流量特征信息，建立常用流量特征信息集合。

常用流量特征信息集合的建立与预设时长内接收到的正常流量有关，例如过去一天内总共收到了500条正常流量，可以从这500条正常流量的流量日志中提取流量特征信息，来建立常用流量特征信息集合，再例如，过去一周内总共收到了1万条正常流量，可以从这1万条正常流量的流量日志中提取流量特征信息，来建立常用流量特征信息集合。预设时长可以由用户对常用流量特征信息集合的存储空间占用量及所覆盖的流量特征信息的数目等综合考虑而设置，可以设置为一天、一周、一个月、半年等等，预设时长设置的越长，则所建立的常用流量特征信息集合中的流量特征信息可能就越多。

当然，本发明实施例中，还可以通过累计更新的方式，根据一个网络主机接收到的所有历史正常流量来建立该一个网络主机对应的常用流量特征信息集合。例如，预设时长为一周，在第一次建立一个网络主机对应的常用流量特征信息集合时，根据该一个网络主机在最近一周接收到的历史正常流量的流量特征信息建立常用流量特征信息集合1，在后续的更新周期内，即可根据该一个网络主机在最近一周接收到的历史流量的流量特征信息更新上述流量特征集合1，得到流量特征集合2，……。

常用流量特征信息集合可以通过列表的格式进行存储，具体的常用流量特征信息集合可以如表2所示。

表2

目的IP地址	端口号	协议信息
			10.165.8.21	80	TCP
10.165.8.22	3306	TCP
			……	……	……

待检测流量的流量特征信息与常用流量特征信息集合进行匹配的过程，就是提取待检测流量的流量特征信息中的IP地址、端口号和协议信息，与表2所示的常用流量特征信息集合中的每一个表项分别进行匹配，判断是否存在与待检测流量的流量特征信息相同的表项，如果存在，则说明待检测流量的流量特征信息与该表项匹配。

S103，若未匹配上，则将流量特征信息与预设端口协议映射表进行匹配，其中，预设端口协议映射表包括预设的端口信息和协议信息之间的映射关系。

如果常用流量特征信息集合中不存在与待检测流量的流量特征信息匹配的常用流量特征信息，则说明在预设时间段内主机没有接收过与该待检测流量的流量特征信息对应的流量。通常情况下，会认为该待检测流量为异常流量，然而，该待检测流量也可能是正常流量，只是目标主机在预设时间段内没有接收到该流量特征信息对应的正常流量，因此常用流量特征信息集合中未统计到此类正常流量的流量特征信息。由于主机端口往往设置有固定的传输某种类型的流量的特性，实际应用中，流量异常与否，不仅仅只与预设时间段内的统计到的常用流量特征信息集合相关。

因此，本发明实施例中，如果常用流量特征信息集合中不存在与待检测流量的流量特征信息相匹配的常用流量特征信息，则可以进一步的，将流量特征信息与预设端口协议映射表进行匹配，预设端口协议映射表中记载的是端口信息和协议信息之间的映射关系，以便根据匹配结果进行进一步的分析待检测流量是否为异常流量。

可选的，若预设端口协议映射表包括预设的端口协议应用映射表，且端口协议应用映射表包括目标主机开放的端口信息、协议信息和应用类型信息之间的映射关系，则S103具体可以为：

判断端口协议应用映射表中是否存在与待检测流量的流量特征信息相匹配的表项，其中，流量特征信息包括端口信息、协议信息和应用类型信息。

若预设端口协议映射表包括预设的高危端口表，且高危端口表包括目标主机易受攻击的端口信息和协议信息之间的映射关系，则S103具体可以为：

判断高危端口表中是否存在与待检测流量的流量特征信息相匹配的表项，其中，流量特征信息包括端口信息和协议信息。

可选的，预设端口协议映射表还可以既包括预设的端口协议应用映射表，又包括预设的高危端口表，则S103具体还可以为：

判断端口协议应用映射表中是否存在与待检测流量的流量特征信息相匹配的表项，其中，流量特征信息包括端口信息、协议信息和应用类型信息；

判断高危端口表中是否存在与待检测流量的流量特征信息相匹配的表项，其中，流量特征信息包括端口信息和协议信息。

端口协议应用映射表中任一表项包括一个端口的端口号，该一个端口开放的协议和默认的应用之间的映射关系，那么，可以将待检测流量的流量特征信息中的端口信息、协议信息和应用类型信息，与用户配置的端口协议应用映射表中的各表项进行匹配，如果端口协议应用映射表中存在与待检测流量的流量特征信息相匹配的表项(即端口号相同，协议相同，且应用类型相同)，则确认匹配成功，否则，确认匹配不成功。高危端口表可以记录端口信息、协议信息和攻击类型之间的映射关系，而在实际应用中，高危端口表中记载的都是易受攻击的端口的信息(即一个端口所开放的协议，攻击类型等)，因此，只要将待检测流量的流量特征信息中的端口信息和协议信息与高危端口表中的各表项进行匹配，如果高危端口表中存在与待检测流量的流量特征相匹配的表项，则确定匹配成功，否则，确定匹配失败。

具体的，可以对待检测流量的流量特征信息与端口协议应用映射表和高危端口表中的至少一个表进行匹配，可以只要有一个检测出流量异常则认为待检测流量为异常流量，也可以两个都检测出流量异常则认为待检测流量为异常流量，还可以通过分配权重、综合考虑的方式来判断待检测流量是否为异常流量。

具体的，端口协议应用映射表中包括流量的端口号、协议信息和应用类型之间的映射关系，如表3所示。

表3

端口号	协议信息	应用类型
			80	TCP	HTTP
3306	TCP	MySQL
			21	TCP	FTP
514	UDP	syslog
			23	TCP	telnet
……	……	……

高危端口表中包括流量的端口号、协议信息和危胁描述之间的映射关系，如表4所示。

表4

端口号	协议信息	威胁描述
			135	TCP	病毒传播
139	TCP	病毒传播
			445	TCP	病毒传播
69	UDP	病毒传播
			1434	UDP	SQL蠕虫病毒传播
……	……	……

S104，基于流量特征信息与预设端口协议映射表的匹配结果，判断待检测流量是否为异常流量。

在将流量特征信息与预设端口协议映射表进行匹配之后，可以基于是否匹配上的匹配结果来综合判断待检测流量是否为异常流量，由于预设端口协议映射表包括预设的端口信息和协议信息之间的映射关系。通常情况下，如果预设端口协议映射表包括端口协议应用映射表，待检测流量的流量特征与该端口协议应用映射表进行匹配时，若匹配上，则说明该待检测流量为正常流量，否则，说明该待检测流量为疑似异常流量；如果预设端口协议映射表包括高危端口表，待检测流量的流量特征与该高危端口表进行匹配，若匹配上，则说明待检测流量为疑似异常流量。

具体的，在预设端口协议映射表仅包括端口协议应用映射表的情况下，如果表3所示的端口协议应用映射表中存在与待检测流量的流量特征信息相匹配的表项，则可以认为待检测流量为正常流量，否则，认为待检测流量为异常流量；或者，在预设端口协议映射表仅包括高危端口表的情况下，如果表4所示的高危端口表中存在与待检测流量的流量特征信息相匹配的表项，则可以认为待检测流量为为异常流量，否则，认为待检测流量为正常流量。

当然，在预设端口协议映射表既包括端口协议应用映射表，还包括高危端口表的情况下，对于待检测流量是否为异常流量的判断，也可以根据待检测流量的流量特征信息与表3所示的端口协议应用映射表以及与表4所示的高危端口表的匹配结果，综合分析得到。

可选的，S104具体可以为：

若端口协议应用映射表中不存在与流量特征信息包括的端口信息、协议信息和应用类型信息相匹配的表项，则确定待检测流量为异常流量；或者，

若高危端口表中存在与流量特征信息包括的端口信息和协议信息相匹配的表项，则确定待检测流量为异常流量。

也就是说，对于端口协议应用映射表和高危端口表，只要一个确定异常流量的方式成立，则可以确定待检测流量为异常流量。

可选的，S104具体还可以为：

若端口协议应用映射表中不存在与流量特征信息包括的端口信息和协议信息相匹配的表项，则分配第一权值；

若端口协议应用映射表中存在与流量特征信息包括的端口信息和协议信息相匹配的表项，则判断端口协议应用映射表中与所匹配的端口信息和协议信息对应的应用类型信息是否与流量特征信息包括的应用类型信息相匹配；

若不匹配，则分配第二权值；

若高危端口表中存在与待检测流量的端口信息和协议信息相匹配的表项，则分配第三权值；

将第一权值、第二权值及第三权值进行累加，判断累加结果是否大于预设阈值；

若大于，则确定待检测流量为异常流量。

对于待检测流量是主机端口允许接入的正常流量还是高危流量，基于不同的结果可以分配相应的权值，通常情况下，如果高危端口表匹配上，则该待检测流量为异常流量的可能性就非常大，因此，高危端口表中存在与待检测流量的流量特征信息相匹配的表项时，分配的第三权值较大，而其他匹配情况下，分配的第一权值和第二权值可以相对较小。对第一权值、第二权值和第三权值累加后，可以得到待检测流量为异常流量的概率，累加结果越大，则待检测流量为异常流量的概率就越大，可以设置一个阈值，如果累加结果超过了该阈值，则说明该待检测流量为异常流量。

应用本实施例，通过获取待检测流量的流量特征信息，将该流量特征信息与常用流量特征信息集合进行匹配，若未匹配上，则将流量特征信息与预设端口协议映射表进行匹配，基于流量特征信息与预设端口协议映射表的匹配结果，判断待检测流量是否为异常流量。如果待检测流量的流量特征信息与常用流量特征信息集合匹配不上，则说明当前时刻前的预设时间段内主机并没有接收过对应的流量，再将流量特征信息与预设端口协议映射表进行匹配，预设端口协议映射表是预先定义的端口信息和协议信息的映射关系表，利用预设端口协议映射表更进一步地综合检测出疑似异常的流量，能够更为准确的检测出异常流量，避免了将正常流量误检为异常流量的情况发生，降低了异常流量的误检率。

基于图1所示实施例，本发明实施例还提供了一种异常流量检测方法，如图2所示，结合具体实例，该异常流量检测方法可以包括如下步骤。

S201，获取待检测流量的流量特征信息。

S202，判断预设主机运维信息库中是否存在接收待检测流量的目标主机的运维配置信息，若是则执行S203，否则执行S207。

预设主机运维信息库为预先配置的，在主机投入运行时，可以配置该主机开放了哪些端口，以及这些端口所使用的协议，具体的，预设主机运维信息库可以以列表的格式表示，如表5所示。

表5

主机名称	IP地址	主机系统类型	开放的端口号	协议信息
					Web服务器	10.165.8.21	Linux	80	TCP
MySQL	10.165.8.22	Linux	3306	TCP
					……	……	……	……	……

如果预设主机运维信息库中已经配置了接收待检测流量的目标主机的运维配置信息，则可以基于运维配置信息，对待检测流量的流量特征信息进行匹配；如果预设主机运维信息库中没有配置接收待检测流量的主机的运维配置信息，则可以基于该主机接收到的历史流量，对待检测流量的流量特征信息进行匹配。

S203，判断目标主机的运维配置信息中是否存在与待检测流量的流量特征信息相匹配的运维配置信息，若是则执行S204，否则执行S205。

针对预设主机运维信息库中已经配置了接收待检测流量的目标主机的运维配置信息的情况，可以将待检测流量的流量特征信息与目标主机的运维配置信息相匹配，判断目标主机的运维配置信息中是否存在与待检测流量的流量特征信息相匹配的运维配置信息，如果能够匹配上，则说明主机运维配置时，已经配置了相应的流量特征信息，则可以确定待检测流量为正常流量；如果不能够匹配上，则说明待检测流量不能够满足主机的运维配置，故待检测流量为异常流量。

S204，确定待检测流量为正常流量。

S205，确定待检测流量为异常流量。

S206，基于目标主机在预设时长内接收到的各正常流量的流量日志，分别提取出各正常流量的流量特征信息，建立常用流量特征信息集合。

常用流量特征信息的统计方式与图1所示实施例相同，这里不再赘述。

可选的，本发明实施例所提供的异常流量检测方法，还可以执行如下步骤：

基于常用流量特征信息集合，更新目标主机的运维配置信息。

具体的，更新目标主机的运维配置信息的方式可以为：将常用流量特征信息集合与目标主机运维配置信息进行对比，若常用流量特征信息集合中存在目标主机运维配置信息中没有的第一常用流量特征信息，则在目标主机运维配置信息中添加主机的第一常用流量特征信息。

如果常用流量特征信息集合中存在目标主机运维配置信息中没有的第一常用流量特征信息，说明第一常用流量特征信息也是可以作为目标主机运维配置信息的，则可以利用第一常用流量特征信息对目标主机运维配置信息进行更新，以保证目标主机运维配置信息中能够实时更新最新的数据，更新的方式可以是在目标主机运维配置信息中添加主机的第一常用流量特征信息。

S207，判断常用流量特征信息集合中是否存在与待检测流量的流量特征信息相匹配的常用流量特征信息，若是则执行S204，否则执行S208及S212。

S208，判断端口协议应用映射表中是否存在与待检测流量的流量特征信息中的端口信息和协议信息相匹配的表项，若是则执行S209，否则执行S210。

S209，判断端口协议应用映射表中与所匹配的端口信息和协议信息对应的应用类型信息是否与流量特征信息包括的应用类型信息相匹配，若否则执行S211。

S210，分配第一权值。

S211，分配第二权值。

S212，判断高危端口表中是否存在与流量特征信息相匹配的表项，若是则执行S213。

S213，分配第三权值。

S214，将第一权值、第二权值及第三权值进行累加。

S215，判断累加结果是否大于预设阈值，若是则执行S205，否则执行S204。

针对端口协议应用映射表和高危端口表的匹配方式，与图1所示实施例相同。如果端口协议应用映射表中不存在与流量特征信息中的端口信息和协议信息相匹配的表项，则分配第一权值，例如分配第一权值D1＝0.3；如果端口协议应用映射表中存在与流量特征信息包括的端口信息和协议信息相匹配的表项，而端口协议应用映射表中与所匹配的端口信息和协议信息对应的应用类型信息与流量特征信息包括的应用类型信息不匹配，则分配第二权值，例如分配第二权值D2＝0.3；如果高危端口表中存在与流量特征信息相匹配的表项，则分配第三权值，例如分配第三权值D3＝0.4。则对第一权值、第二权值及第三权值进行累加，可以得到D＝D1+D2+D3＝1，如果预设阈值为0.5，由于1>0.5，则可以确定待检测流量为异常流量。在检测出异常流量后，可以进行报警。

通过本实施例，通过结合预设主机运维信息库，利用大数据技术分析，统计得到常用流量特征信息集合，并根据设定的端口协议应用映射表、高危端口表进行综合判断，从而进一步检测出疑似异常的流量，筛选出异常流量，能够及时发现异常流量的出现，提高了异常流量的检出率，降低了误检率。

相应于上述方法实施例，本发明实施例还提供了一种异常流量检测装置，如图3所示，该异常流量检测装置可以包括：

获取模块310，用于获取待检测流量的流量特征信息；

匹配模块320，用于将所述流量特征信息与常用流量特征信息集合进行匹配；若未匹配上，则将所述流量特征信息与预设端口协议映射表进行匹配，所述预设端口协议映射表包括预设的端口信息和协议信息之间的映射关系；

判断模块330，用于基于所述流量特征信息与所述预设端口协议映射表的匹配结果，判断所述待检测流量是否为异常流量。

可选的，所述匹配模块320，还可以用于：

判断预设主机运维信息库中是否存在接收所述待检测流量的目标主机的运维配置信息；

若所述预设主机运维信息库中存在所述目标主机的运维配置信息，则判断所述目标主机的运维配置信息中是否存在与所述流量特征信息相匹配的运维配置信息；若不存在，则确定所述待检测流量为异常流量；

若所述预设主机运维信息库中不存在所述目标主机的运维配置信息，则执行所述将所述流量特征信息与常用流量特征信息集合进行匹配的步骤。

可选的，所述装置还可以包括：

建立模块，用于基于所述目标主机在预设时长内接收到的各正常流量的流量日志，分别提取出所述各正常流量的流量特征信息，建立常用流量特征信息集合；

更新模块，用于基于所述常用流量特征信息集合，更新所述目标主机的运维配置信息。

可选的，所述预设端口协议映射表包括预设的端口协议应用映射表，或者，预设的高危端口表；所述端口协议应用映射表包括目标主机开放的端口信息、协议信息和应用类型信息之间的映射关系；所述高危端口表包括所述目标主机易受攻击的端口信息和协议信息之间的映射关系；

所述匹配模块320，具体可以用于：

判断所述端口协议应用映射表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息、协议信息和应用类型信息；或者，

判断所述高危端口表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息和协议信息；

所述判断模块330，具体可以用于：

若所述端口协议应用映射表中不存在与所述流量特征信息包括的端口信息、协议信息和应用类型信息相匹配的表项，则确定所述待检测流量为异常流量；或者，

若所述高危端口表中存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则确定所述待检测流量为异常流量。

可选的，所述预设端口协议映射表包括预设的端口协议应用映射表及预设的高危端口表；所述端口协议应用映射表包括目标主机开放的端口信息、协议信息和应用类型信息之间的映射关系，所述高危端口表包括所述目标主机易受攻击的端口信息和协议信息之间的映射关系；

所述匹配模块320，具体可以用于：

判断所述端口协议应用映射表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息、协议信息和应用类型信息；

判断所述高危端口表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息和协议信息；

所述判断模块330，具体可以用于：

若所述端口协议应用映射表中不存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则分配第一权值；

若所述端口协议应用映射表中存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则判断所述端口协议应用映射表中与所匹配的端口信息和协议信息对应的应用类型信息是否与所述流量特征信息包括的应用类型信息相匹配；

若不匹配，则分配第二权值；

若所述高危端口表中存在与所述待检测流量的端口信息和协议信息相匹配的表项，则分配第三权值；

将所述第一权值、所述第二权值及所述第三权值进行累加，判断累加结果是否大于预设阈值；

若大于，则确定所述待检测流量为异常流量。

应用本实施例，通过获取待检测流量的流量特征信息，将该流量特征信息与常用流量特征信息集合进行匹配，若未匹配上，则将流量特征信息与预设端口协议映射表进行匹配，基于流量特征信息与预设端口协议映射表的匹配结果，判断待检测流量是否为异常流量。如果待检测流量的流量特征信息与常用流量特征信息集合匹配不上，则说明当前时刻前的预设时间段内主机并没有接收过对应的流量，再将流量特征信息与预设端口协议映射表进行匹配，预设端口协议映射表是预先定义的端口信息和协议信息的映射关系表，利用预设端口协议映射表更进一步地综合检测出疑似异常的流量，能够更为准确的检测出异常流量，避免了将正常流量误检为异常流量的情况发生，降低了异常流量的误检率。

本发明实施例还提供了一种检测设备，如图4所示，包括处理器401和机器可读存储介质402，所述机器可读存储介质402存储有能够被所述处理器401执行的机器可执行指令，所述处理器401被所述机器可执行指令促使执行本发明实施例提供的异常流量检测方法的所有步骤。

上述计算机可读存储介质可以包括RAM(Random Access Memory，随机存取存储器)，也可以包括NVM(Non-volatile Memory，非易失性存储器)，例如至少一个磁盘存储器。可选的，计算机可读存储介质还可以是至少一个位于远离前述处理器的存储装置。

上述处理器可以是通用处理器，包括CPU(Central Processing Unit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field-Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

本实施例中，处理器401通过读取机器可读存储介质402中存储的机器可执行指令，被机器可执行指令促使能够实现：通过获取待检测流量的流量特征信息，将该流量特征信息与常用流量特征信息集合进行匹配，若未匹配上，则将流量特征信息与预设端口协议映射表进行匹配，基于流量特征信息与预设端口协议映射表的匹配结果，判断待检测流量是否为异常流量。如果待检测流量的流量特征信息与常用流量特征信息集合匹配不上，则说明当前时刻前的预设时间段内主机并没有接收过对应的流量，再将流量特征信息与预设端口协议映射表进行匹配，预设端口协议映射表是预先定义的端口信息和协议信息的映射关系表，利用预设端口协议映射表更进一步地综合检测出疑似异常的流量，能够更为准确的检测出异常流量，避免了将正常流量误检为异常流量的情况发生，降低了异常流量的误检率。

另外，本发明实施例提供了一种机器可读存储介质，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器执行本发明实施例所提供的异常流量检测方法的所有步骤。

本实施例中，机器可读存储介质在运行时执行本发明实施例所提供的异常流量检测方法的机器可执行指令，因此能够实现：通过获取待检测流量的流量特征信息，将该流量特征信息与常用流量特征信息集合进行匹配，若未匹配上，则将流量特征信息与预设端口协议映射表进行匹配，基于流量特征信息与预设端口协议映射表的匹配结果，判断待检测流量是否为异常流量。如果待检测流量的流量特征信息与常用流量特征信息集合匹配不上，则说明当前时刻前的预设时间段内主机并没有接收过对应的流量，再将流量特征信息与预设端口协议映射表进行匹配，预设端口协议映射表是预先定义的端口信息和协议信息的映射关系表，利用预设端口协议映射表更进一步地综合检测出疑似异常的流量，能够更为准确的检测出异常流量，避免了将正常流量误检为异常流量的情况发生，降低了异常流量的误检率。

对于检测设备以及机器可读存储介质实施例而言，由于其涉及的方法内容基本相似于前述的方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、检测设备及机器可读存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种异常流量检测方法，其特征在于，所述方法包括：

获取待检测流量的流量特征信息；

将所述流量特征信息与常用流量特征信息集合进行匹配；

若未匹配上，则将所述流量特征信息与预设端口协议映射表进行匹配，所述预设端口协议映射表包括预设的端口信息和协议信息之间的映射关系；

基于所述流量特征信息与所述预设端口协议映射表的匹配结果，判断所述待检测流量是否为异常流量。

2.根据权利要求1所述的方法，其特征在于，在所述将所述流量特征信息与常用流量特征信息集合进行匹配之前，所述方法还包括：

判断预设主机运维信息库中是否存在接收所述待检测流量的目标主机的运维配置信息；

若所述预设主机运维信息库中存在所述目标主机的运维配置信息，则判断所述目标主机的运维配置信息中是否存在与所述流量特征信息相匹配的运维配置信息；若不存在，则确定所述待检测流量为异常流量；

若所述预设主机运维信息库中不存在所述目标主机的运维配置信息，则执行所述将所述流量特征信息与常用流量特征信息集合进行匹配的步骤。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

基于所述目标主机在预设时长内接收到的各正常流量的流量日志，分别提取出所述各正常流量的流量特征信息，建立常用流量特征信息集合；

基于所述常用流量特征信息集合，更新所述目标主机的运维配置信息。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述预设端口协议映射表包括预设的端口协议应用映射表，或者，预设的高危端口表；所述端口协议应用映射表包括目标主机开放的端口信息、协议信息和应用类型信息之间的映射关系；所述高危端口表包括所述目标主机易受攻击的端口信息和协议信息之间的映射关系；

所述将所述流量特征信息与预设端口协议映射表进行匹配，包括：

判断所述端口协议应用映射表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息、协议信息和应用类型信息；或者，

判断所述高危端口表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息和协议信息；

所述基于所述流量特征信息与所述预设端口协议映射表的匹配结果，判断所述待检测流量是否为异常流量，包括：

若所述端口协议应用映射表中不存在与所述流量特征信息包括的端口信息、协议信息和应用类型信息相匹配的表项，则确定所述待检测流量为异常流量；或者，

若所述高危端口表中存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则确定所述待检测流量为异常流量。

5.根据权利要求1-3任一项所述的方法，其特征在于，所述预设端口协议映射表包括预设的端口协议应用映射表及预设的高危端口表；所述端口协议应用映射表包括目标主机开放的端口信息、协议信息和应用类型信息之间的映射关系，所述高危端口表包括所述目标主机易受攻击的端口信息和协议信息之间的映射关系；

所述将所述流量特征信息与预设端口协议映射表进行匹配，包括：

判断所述端口协议应用映射表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息、协议信息和应用类型信息；

判断所述高危端口表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息和协议信息；

所述基于所述流量特征信息与所述预设端口协议映射表的匹配结果，判断所述待检测流量是否为异常流量，包括：

若所述端口协议应用映射表中不存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则分配第一权值；

若所述端口协议应用映射表中存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则判断所述端口协议应用映射表中与所匹配的端口信息和协议信息对应的应用类型信息是否与所述流量特征信息包括的应用类型信息相匹配；

若不匹配，则分配第二权值；

若所述高危端口表中存在与所述待检测流量的端口信息和协议信息相匹配的表项，则分配第三权值；

将所述第一权值、所述第二权值及所述第三权值进行累加，判断累加结果是否大于预设阈值；

若大于，则确定所述待检测流量为异常流量。

6.一种异常流量检测装置，其特征在于，所述装置包括：

获取模块，用于获取待检测流量的流量特征信息；

匹配模块，用于将所述流量特征信息与常用流量特征信息集合进行匹配；若未匹配上，则将所述流量特征信息与预设端口协议映射表进行匹配，所述预设端口协议映射表包括预设的端口信息和协议信息之间的映射关系；

判断模块，用于基于所述流量特征信息与所述预设端口协议映射表的匹配结果，判断所述待检测流量是否为异常流量。

7.根据权利要求6所述的装置，其特征在于，所述匹配模块，还用于：

判断预设主机运维信息库中是否存在接收所述待检测流量的目标主机的运维配置信息；

若所述预设主机运维信息库中存在所述目标主机的运维配置信息，则判断所述目标主机的运维配置信息中是否存在与所述流量特征信息相匹配的运维配置信息；若不存在，则确定所述待检测流量为异常流量；

若所述预设主机运维信息库中不存在所述目标主机的运维配置信息，则执行所述将所述流量特征信息与常用流量特征信息集合进行匹配的步骤。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

建立模块，用于基于所述目标主机在预设时长内接收到的各正常流量的流量日志，分别提取出所述各正常流量的流量特征信息，建立常用流量特征信息集合；

更新模块，用于基于所述常用流量特征信息集合，更新所述目标主机的运维配置信息。

9.根据权利要求6-8任一项所述的装置，其特征在于，所述预设端口协议映射表包括预设的端口协议应用映射表，或者，预设的高危端口表；所述端口协议应用映射表包括目标主机开放的端口信息、协议信息和应用类型信息之间的映射关系；所述高危端口表包括所述目标主机易受攻击的端口信息和协议信息之间的映射关系；

所述匹配模块，具体用于：

判断所述端口协议应用映射表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息、协议信息和应用类型信息；或者，

判断所述高危端口表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息和协议信息；

所述判断模块，具体用于：

若所述端口协议应用映射表中不存在与所述流量特征信息包括的端口信息、协议信息和应用类型信息相匹配的表项，则确定所述待检测流量为异常流量；或者，

若所述高危端口表中存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则确定所述待检测流量为异常流量。

10.根据权利要求6-8任一项所述的装置，其特征在于，所述预设端口协议映射表包括预设的端口协议应用映射表及预设的高危端口表；所述端口协议应用映射表包括目标主机开放的端口信息、协议信息和应用类型信息之间的映射关系，所述高危端口表包括所述目标主机易受攻击的端口信息和协议信息之间的映射关系；

所述匹配模块，具体用于：

判断所述端口协议应用映射表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息、协议信息和应用类型信息；

判断所述高危端口表中是否存在与所述流量特征信息相匹配的表项，所述流量特征信息包括端口信息和协议信息；

所述判断模块，具体用于：

若所述端口协议应用映射表中不存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则分配第一权值；

若所述端口协议应用映射表中存在与所述流量特征信息包括的端口信息和协议信息相匹配的表项，则判断所述端口协议应用映射表中与所匹配的端口信息和协议信息对应的应用类型信息是否与所述流量特征信息包括的应用类型信息相匹配；

若不匹配，则分配第二权值；

若所述高危端口表中存在与所述待检测流量的端口信息和协议信息相匹配的表项，则分配第三权值；

将所述第一权值、所述第二权值及所述第三权值进行累加，判断累加结果是否大于预设阈值；

若大于，则确定所述待检测流量为异常流量。