CN116915506B - 一种异常流量检测方法、装置、电子设备及存储介质 - Google Patents

一种异常流量检测方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN116915506B
CN116915506B CN202311170127.3A CN202311170127A CN116915506B CN 116915506 B CN116915506 B CN 116915506B CN 202311170127 A CN202311170127 A CN 202311170127A CN 116915506 B CN116915506 B CN 116915506B
Authority
CN
China
Prior art keywords
flow
detected
accuracy
determining
attack type
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202311170127.3A
Other languages
English (en)
Other versions
CN116915506A (zh
Inventor
陆芹
关墨辰
肖新光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Antiy Network Technology Co Ltd
Original Assignee
Beijing Antiy Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Antiy Network Technology Co Ltd filed Critical Beijing Antiy Network Technology Co Ltd
Priority to CN202311170127.3A priority Critical patent/CN116915506B/zh
Publication of CN116915506A publication Critical patent/CN116915506A/zh
Application granted granted Critical
Publication of CN116915506B publication Critical patent/CN116915506B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Abstract

本发明提供了一种异常流量检测方法、装置、电子设备及存储介质，涉及网络安全领域。该方法包括：获取待检测流量；根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1；根据所述待检测流量的语义特征，得到第二检测结果S2；根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3；在S1、S2和S3不完全相同的情况下，根据S1、S2和S3进行综合分析以得到最终检测结果M。本发明提供的异常流量检测系统能够从不同的纬度对待检测流量进行检测，且根据不同检测结果进行综合分析，以提高异常流量的检测准确性，并降低误报率。

Description

一种异常流量检测方法、装置、电子设备及存储介质
技术领域
本发明涉及网络安全领域，特别是涉及一种异常流量检测方法、装置、电子设备及存储介质。
背景技术
Web攻击是指利用Web应用程序中的漏洞，对Web应用程序以及其中存储的数据进行攻击的行为。常见的Web攻击包括SQL注入攻击、跨站脚本攻击、跨站请求伪造攻击等。这些攻击行为都会在Web应用程序中留下痕迹，例如特定的HTTP请求、特定的URL参数等。Web传统的防护一般是基于特征规则进行攻击检测与识别，然而对于某些新的攻击方式，基于特征规则的方法可能会存在不能检测出来、无法提取特征的漏洞、以及即使提取了特征但是容易被绕过等问题，使得攻击检测的最终结果不可靠，产生误报的情况，准确性不符合要求。
发明内容
针对上述技术问题，本发明提供一种异常流量检测方法、装置、电子设备及存储介质，旨在解决通过单一的特征规则对流量进行检测时对于新出现的攻击方式检测准确度较低的问题。
在本发明的一方面，提供一种异常流量检测方法，所述方法包括：
获取待检测流量；
根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1=（X，TXL，TXG）；其中，X为用于表示待检测流量是否为异常流量的第一标识，TXL为根据特征规则确定出的待检测流量对应的攻击类型，TXG为待检测流量对应的攻击类型为TXL的准确度；若X表示待检测流量不为异常流量，则TXL=TXG=NULL；
根据所述待检测流量的语义特征，得到第二检测结果S2=（Y，TYL，TYG）；其中，Y为用于表示待检测流量是否为异常流量的第二标识，TYL为根据所述待检测流量的语义特征确定出的待检测流量最大概率对应的攻击类型，TYG为待检测流量对应的攻击类型为TYL的准确度；
根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3=（Z，TZL，TZG）；其中，Z为用于表示待检测流量是否为异常流量的第三标识，TZL为根据大语言模型确定出的待检测流量最大概率对应的攻击类型，TZG为待检测流量对应的攻击类型为TZL的准确度；
在X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M；
所述第一结果确定方法包括：
若TXG＞N1，则将X确定为M；N1为第一预设阈值；
若TXG≤N1，且TYG＞N1，则将Y确定为M；
若TXG≤N1，TYG≤N1，且TZG＞N1，则将Z确定为M；
若max(TXG、TYG、TZG)≤N1，则确定M=0；M=0表示待检测流量不为异常流量；max()为预设的最大值确定函数。
在本申请的一种示例性实施例中，每一特征规则均具有对应的攻击类型；
所述根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1，包括：
判断所述待检测流量是否符合预设的任一特征规则，若符合，则确定X=1，并执行预设数据确定处理；否则，确定X=0，以及确定TXL=TXG=NULL；其中，X=1表示所述待检测流量为异常流量，X=0表示所述待检测流量不为异常流量；
所述预设数据确定处理，包括以下步骤：
根据所述待检测流量符合的每一特征规则对应的攻击类型，得到所述待检测流量对应的特征规则列表集P=（P1，P2，…，Pi，…，Pm）；Pi=（Pi,1，Pi,2，…，Pi,j，…，Pi,f(i)）；其中，i=1，2，…，m；j=1，2，…，f(i)；m为所述待检测流量符合的特征规则所对应的攻击类型的数量；Pi为所述待检测流量符合的第i个攻击类型对应的特征规则列表；f(i)为所述待检测流量符合的特征规则中属于第i个攻击类型的数量，f(i)≥1；Pi,j为所述待检测流量符合的第i个攻击类型对应的第j个特征规则；
根据P，获取所述待检测流量符合的特征规则的准确度列表集Q=（Q1，Q2，…，Qi，…，Qm）；Qi=（Qi,1，Qi,2，…，Qi,j，…，Qi,f(i)）；其中，Qi为Pi对应的准确度列表；Qi,j为Pi,j对应的预设准确度；
根据预设的整体规则准确度确定方法，获取所述待检测流量对应的整体规则准确度集ZX=（ZX1，ZX2，…，ZXi，…，ZXm）；其中，ZXi为预设的Pi对应的攻击类型的整体规则准确度；
根据P、Q和ZX，确定TXL和TXG。
在本申请的一种示例性实施例中，所述根据P、Q和ZX，确定TXL和TXG，包括：
将Q中最大的预设准确度确定为候选准确度A；
根据A遍历Q，若Qi,j=A，则将Qi确定为目标准确度列表；
若A＞N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG；N2为第二预设阈值；
若A＞N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG；
若A≤N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，并依据预设公式确定TXG；其中，所述预设公式为；MZX为该目标准确度列表对应的整体规则准确度；
若A≤N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，并依据预设公式确定TXG。
在本申请的一种示例性实施例中，所述根据所述待检测流量的语义特征，得到第二检测结果S2，包括：
将所述待检测流量输入预设语义分析模型，并获取所述预设语义分析模型输出的语义分析结果G=(G1，G2，…，Gr，…，GR)；r=1，2，…，R；其中，R为预设的攻击类型的数量；R≥m；Gr为预设语义分析模型输出的第r个攻击类型对应的语义置信度；
若候选语义置信度max(G)＞N3，则确定Y=1；否则，确定Y=0；其中，N3为第三预设阈值；所述Y=1表示所述待检测流量为异常流量，所述Y=0表示所述待检测流量不为异常流量；
根据G，获取TYL和TYG，TYL为max(G)对应的攻击类型，TYG=max(G)。
在本申请的一种示例性实施例中，所述根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3，包括：
将所述待检测流量输入预设大语言模型，以得到大语言模型检测结果H=(H1，H2，…，Hr，…，HR)；Hr为预设大语言模型输出的第r个攻击类型对应的大语言置信度；
若候选语义置信度max(H)＞N4，则获取Z=1；否则，Z=0；其中，N4为第四预设阈值；所述Z=1表示所述待检测流量为异常流量，所述Z=0表示所述待检测流量不为异常流量；
根据H，获取TZL和TZG，TZL为max(H)对应的攻击类型，TZG=max(H)。
在本申请的一种示例性实施例中，所述异常流量检测方法还包括：
若X=Y=Z，则将X确定为M；
在X、Y、Z之间不全部相同，且X表示待检测流量不为异常流量的情况下，根据第二结果确定方法确定M；
所述第二结果确定方法包括：
若TYL=TZL，且max(TYG、TZG)＞N1，则确定M=1；
若TYL≠TZL，则将max(TYG、TZG)对应的第二标识或第三标识确定为M；
M=1，表示所述待检测流量为异常流量。
在本申请的一种示例性实施例中，所述整体规则准确度确定方法，包括：
获取v个已知恶意样本；v个已知恶意样本均为根据待检测流量符合的第i个攻击类型对应的流量获取的；
将待检测流量符合的第i个攻击类型对应的所有特征规则确定为目标特征规则，以得到目标特征规则集；
使用目标特征规则集依次对每一已知恶意样本进行异常判断，以得到每一已知恶意样本对应的判断结果；判断结果为第一判断结果或第二判断结果，第一判断结果表示已知恶意样本为异常，第二判断结果表示已知恶意样本为正常；
获取对应的判断结果为第一判断结果的已知恶意样本的数量NUMi；
获取ZXi=NUMi/v。
在本申请的另一方面，提供一种异常流量检测装置，所述装置包括：
获取模块，用于获取待检测流量；
特征检测模块，用于根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1；其中，S1=（X，TXL，TXG），X为用于表示待检测流量是否为异常流量的第一标识，TXL为根据特征规则确定出的待检测流量对应的攻击类型，TXG为待检测流量对应的攻击类型为TXL的准确度；若X表示待检测流量不为异常流量，则TXL=TXG=NULL；
语义检测模块，根据所述待检测流量的语义特征，得到第二检测结果S2；其中，S2=（Y，TYL，TYG），Y为用于表示待检测流量是否为异常流量的第二标识，TYL为根据所述待检测流量的语义特征确定出的待检测流量最大概率对应的攻击类型，TYG为待检测流量对应的攻击类型为TYL的准确度；
大语言检测模块，根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3；其中，S3=（Z，TZL，TZG），Z为用于表示待检测流量是否为异常流量的第三标识，TZL为根据大语言模型确定出的待检测流量最大概率对应的攻击类型，TZG为待检测流量对应的攻击类型为TZL的准确度；
判定模块，用于在X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M；
所述第一结果确定方法包括：
若TXG＞N1，则将X确定为M；N1为第一预设阈值；
若TXG≤N1，且TYG＞N1，则将Y确定为M；
若TXG≤N1，TYG≤N1，且TZG＞N1，则将Z确定为M；
若max(TXG、TYG、TZG)≤N1，则确定M=0；M=0表示待检测流量不为异常流量；max()为预设的最大值确定函数。
在本申请的另一方面，提供一种非瞬时性计算机可读存储介质，所述存储介质中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现上述任意一项所述的异常流量检测方法。
在本申请的另一方面，提供一种电子设备，包括处理器和上述的非瞬时性计算机可读存储介质。
本发明至少具有以下有益效果：
本发明提供的异常流量检测方法，在获取到待检测流量后，会分别根据若干预设的特征规则、所述待检测流量的语义特征以及预设的大预言模型从不同的维度对待检测流量进行检测，并分别得到每一种检测的检测结果（即S1、S2、S3）。每一检测结果都至少包含了用于表示待检测是否为异常流量的标识（即X、Y、Z）。然后根据每一检测结果确定出最终检测结果M、针对新产生的网络攻击方式，三种不同的检测方案能够从不同的维度进行检测，以降低整体的误报率。具体的，若三个检测结果中X、Y、Z之间不全部相同，则表示了三种检测方法对待检测流量是否异常的检测不一致。经过试验测试，在X表示待检测流量为异常流量的情况下，S1、S2、S3之间的准确度符合S1大于S2大于S3，故而，本申请中X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M。第一结果确定方法中，会在TXG＞N1时，直接将将X确定为M，即在X的准确度大于N1时，优先以S1的结果为准，后续其他情况同理。如此，可以保证在不同的情况下，确定出准确度更高的最终检测结果M，以提高整体的检测准确度。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种异常流量检测方法的流程图；
图2为本发明实施例提供的一种异常流量检测装置的结构框图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或服务器不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
需要说明的是，下文描述在所附权利要求书的范围内的实施例的各种方面。应显而易见，本文中所描述的方面可体现于广泛多种形式中，且本文中所描述的任何特定结构及/或功能仅为说明性的。基于本公开，所属领域的技术人员应了解，本文中所描述的一个方面可与任何其它方面独立地实施，且可以各种方式组合这些方面中的两者或两者以上。举例来说，可使用本文中所阐述的任何数目个方面来实施设备及/或实践方法。另外，可使用除了本文中所阐述的方面中的一或多者之外的其它结构及/或功能性实施此设备及/或实践此方法。
请参考图1所示，本发明的实施例提供了一种异常流量检测方法，所述方法包括：
S100，获取待检测流量。
具体的，所述待检测流量指连接网络的设备在网络上进行交互所产生的数据流量，例如：访问预设的Web的网络流量。
S200，根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1=（X，TXL，TXG）；其中，X为用于表示待检测流量是否为异常流量的第一标识，TXL为根据特征规则确定出的待检测流量对应的攻击类型，TXG为待检测流量对应的攻击类型为TXL的准确度；若X表示待检测流量不为异常流量，则TXL=TXG=NULL。
具体的，特征规则可以是根据已知的异常流量通过人工分析或软件分析等方式得到的用于检测流量是否存在攻击行为的规则，例如yara规则等。具体实施时，可以对待检测流量的特征（行为特征、参数特征等）与所有或部分特征规则进行匹配，确定待检测流量是否符合哪一或哪些特征规则。
可以理解的是，若待检测流量为异常流量，则表示所述待检测流量进行交互时具有一种或者多种攻击行为，攻击行为可以为SQL注入攻击、跨站脚本攻击、跨站请求伪造攻击等。
S300，根据所述待检测流量的语义特征，得到第二检测结果S2=（Y，TYL，TYG）；其中，Y为用于表示待检测流量是否为异常流量的第二标识，TYL为根据所述待检测流量的语义特征确定出的待检测流量最大概率对应的攻击类型，TYG为待检测流量对应的攻击类型为TYL的准确度。
具体的，可以通过n-gram等特征提取方式对待检测流量进行语义特征提取，并根据语义特征确定待检测流量具有某一攻击类型的特征。
值得说明书的是，在进行语义特征检测时，可以使用预设的每一攻击类型对应的标准语义特征与待检测流量的语义特征进行匹配，此时可以得到待检测流量的语义特征与每一标准语义特征的匹配度，此时可以将其中最大的匹配度即可理解为本实施例中的“最大概率”。相应的，本实施例中，匹配度的取值范围均为0到1。
在具体实施时，也可以通过预先训练好的语义分析模型（如分类模型）对待检测流量的语义特征进处理以得到S2，本领域技术人员理应能够通过上述的原理和需求的解释进行处理和实现，此处不加赘述。
S400，根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3=（Z，TZL，TZG）；其中，Z为用于表示待检测流量是否为异常流量的第三标识，TZL为根据大语言模型确定出的待检测流量最大概率对应的攻击类型，TZG为待检测流量对应的攻击类型为TZL的准确度。
具体的，大语言模型的检测原理和上述的步骤S300近似，此处不加赘述。值得说明的是，大预言模型为推理型模型，其相较于前述的特征规则检测和语义特征检测，能够在先验知识较少或缺失的情况下得到检测结果，以提高对新产生的攻击方式的检测准确度。
S500，在X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M；
所述第一结果确定方法包括：
若TXG＞N1，则将X确定为M；N1为第一预设阈值；
若TXG≤N1，且TYG＞N1，则将Y确定为M；
若TXG≤N1，TYG≤N1，且TZG＞N1，则将Z确定为M；
若max(TXG、TYG、TZG)≤N1，则确定M=0；M=0表示待检测流量不为异常流量；max()为预设的最大值确定函数。
本实施例提供的异常流量检测方法，在获取到待检测流量后，会分别根据若干预设的特征规则、所述待检测流量的语义特征以及预设的大预言模型从不同的维度对待检测流量进行检测，并分别得到每一种检测的检测结果（即S1、S2、S3）。每一检测结果都至少包含了用于表示待检测是否为异常流量的标识（即X、Y、Z）。然后根据每一检测结果确定出最终检测结果M、针对新产生的网络攻击方式，三种不同的检测方案能够从不同的维度进行检测，以降低整体的误报率。具体的，若三个检测结果中X、Y、Z之间不全部相同，则表示了三种检测方法对待检测流量是否异常的检测不一致。经过试验测试，在X表示待检测流量为异常流量的情况下，S1、S2、S3之间的准确度符合S1大于S2大于S3，故而，本申请中X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M。第一结果确定方法中，会在TXG＞N1时，直接将将X确定为M，即在X的准确度大于N1时，优先以S1的结果为准，后续其他情况同理。如此，可以保证在不同的情况下，确定出准确度更高的最终检测结果M，以提高整体的检测准确度。
在本申请的一种示例性实施例中，每一特征规则均具有对应的攻击类型。同一攻击类型可以对应有多个特征规则。可以理解的是，本实施例中，待检测流量被某一特征规则命中，则表示待检测流量符合该特征规则。
本实施例中，所述步骤S200，包括以下步骤：
S210，判断所述待检测流量是否符合预设的任一特征规则，若符合，则确定X=1，并执行预设数据确定处理；否则，确定X=0，以及确定TXL=TXG=NULL；其中，X=1表示所述待检测流量为异常流量，X=0表示所述待检测流量不为异常流量。
具体的，待检测流量若不符合每一预设的任一特征规则，则无法确定出TXL和TXG，故而，此时TXL=TXG=NULL。以避免若TXL和TXG不为NULL会影响后续处理的准确性的问题。
所述预设数据确定处理，包括以下步骤：
S220，根据所述待检测流量符合的每一特征规则对应的攻击类型，得到所述待检测流量对应的特征规则列表集P=（P1，P2，…，Pi，…，Pm）；Pi=（Pi,1，Pi,2，…，Pi,j，…，Pi,f(i)）；其中，i=1，2，…，m；j=1，2，…，f(i)；m为所述待检测流量符合的特征规则所对应的攻击类型的数量；Pi为所述待检测流量符合的第i个攻击类型对应的特征规则列表；f(i)为所述待检测流量符合的特征规则中属于第i个攻击类型的数量，f(i)≥1；Pi,j为所述待检测流量符合的第i个攻击类型对应的第j个特征规则，
本实施例中，待检测流量其可以同时符合多个特征规则，且这些特征规则可能同属同一攻击类型，也可能属于不同的攻击类型。故而，能够确定出m个特征规则列表。可以理解的是，待检测流量符合某一攻击类型的某一或某些特征规则，则表明待检测流量符合该攻击类型。
进一步的，本实施例预设了R个攻击类型，且每一攻击类型具有对应的至少一个特征规则，而每一待检测流量通常无法符合每一攻击类型的特征规则，故而，本实施例中m≤R。
S230，根据P，获取所述待检测流量符合的特征规则的准确度列表集Q=（Q1，Q2，…，Qi，…，Qm）；Qi=（Qi,1，Qi,2，…，Qi,j，…，Qi,f(i)）；其中，Qi为Pi对应的准确度列表；Qi,j为Pi,j对应的预设准确度。
可以理解的是，由于恶意文件的多样性，以及恶意文件和正常文件往往会存在相同的特征，故而，待检测流量某些特征规则被命中时，不一定可以完全确定该待检测流量为异常流量。故而本实施例中，为每一特征规则设置了对应的准确度，以表达对应的特征规则被命中时待检测流量为异常流量的可能性的大小。具体在本实施例中，特征规则的准确度可以通过实验进行确定（如总结误报率）或由具体实施人员根据实际情况进行限定。
S240，根据预设的整体规则准确度确定方法，获取所述待检测流量对应的整体规则准确度集ZX=（ZX1，ZX2，…，ZXi，…，ZXm）；其中，ZXi为预设的Pi对应的攻击类型的整体规则准确度。具体的，整体规则准确度可以通过每一攻击类型的特征规则对历史流量的检测准确度确定，或通过工作人员根据经验直接设置。
在本申请的一种示例性实施例中，所述整体规则准确度确定方法，包括：
S241，获取v个已知恶意样本；v个已知恶意样本均为根据待检测流量符合的第i个攻击类型对应的流量获取的；
S242，将待检测流量符合的第i个攻击类型对应的所有特征规则确定为目标特征规则，以得到目标特征规则集；
S243，使用目标特征规则集依次对每一已知恶意样本进行异常判断，以得到每一已知恶意样本对应的判断结果；判断结果为第一判断结果或第二判断结果，第一判断结果表示已知恶意样本为异常，第二判断结果表示已知恶意样本为正常；
S244，获取对应的判断结果为第一判断结果的已知恶意样本的数量NUMi；
S245，获取ZXi=NUMi/v。
通过上述的方法，能够通过预设数量的已知恶意样本对待检测流量符合的第i个攻击类型对应的所有特征规则的整体检测能力进行确定以得到对应的整体规则准确度。
S250，根据P、Q和ZX，确定TXL和TXG。
在本实施例中，通过判断所述待检测流量是否符合预设的任一特征规则，从而判断所述待检测流量是否为异常流量。根据所述待检测流量符合的特征规则列表集、准确度列表集、整体规则准确度集综合判断，能够确定特征检测模块的输出结果。
在本申请的一种示例性实施例中，所述步骤S250，包括以下步骤：
S251，将Q中最大的预设准确度确定为候选准确度A。
S252，根据A遍历Q，若Qi,j=A，则将Qi确定为目标准确度列表；可以理解的是，若两个分属于不同攻击类型的特征规则对应的预设准确度相同，待检测流量同时符合这两个特征规则，且这两个特征规则对应的准确度均为Q中最大的预设准确度，此时，目标准确度列表为两个。
S253，若A＞N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG。N2为第二预设阈值。
S254，若A＞N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG。
S255，若A≤N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，并依据预设公式确定TXG。其中，所述预设公式为。MZX为该目标准确度列表对应的整体规则准确度。
S256，若A≤N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，并依据预设公式确定TXG。
在本实施例中，部分攻击类型中的某些特征规则的预设准确度比较高（即大于N2），误报率低，如果待检测流量符合这些特征规则时，检测结果只考虑特征规则会比较可靠。
而如果待检测流量符合这些特征规则所对应的预设准确度均较低（即小于N2），只考虑这些特征规则是相对不可靠的。因此，此时需要同时考虑每一目标准确度列表对应的整体规则准确度，以使的最终确定出的S1更为准确。
本实施例中，通过上述的方法，在不同的情况下根据不同的方法确定TXL和TXG，以使的后续处理时能够使用更加准确的数据，以提高最终检测结果M的准确性。
具体的，所述第二预设阈值N2的可选范围为90%-99%，优选的，N2=95%。
在本申请的一种示例性实施例中，所述步骤S300，包括以下步骤：
S310，将所述待检测流量输入预设语义分析模型，并获取所述预设语义分析模型输出的语义分析结果G=(G1，G2，…，Gr，…，GR)；r=1，2，…，R；其中，R为预设的攻击类型的数量。R≥m。Gr为预设语义分析模型输出的第r个攻击类型对应的语义置信度。
本实施例中，预设的攻击类型与前述的实施例中的预设的攻击类型相同。可以理解的是，本实施例中，预设语义分析模型可以为分类模型，故而每次的输出结果中均包含R个语义置信度。
在本实施例中，预设语义分析模型由实际实施人员根据实际情况进行确定，主要是对某些攻击中的特定命令和语法结构进行检测，例如：SQL、XSS语法等。
S320，若候选语义置信度max(G)＞N3，则确定Y=1；否则，确定Y=0；其中，N3为第三预设阈值；所述Y=1表示所述待检测流量为异常流量，所述Y=0表示所述待检测流量不为异常流量。
在实际实施时，由于预设语义分析模型的特点，会导致G1，G2，…，Gr，…，GR有可能均不为0，故而，会设置N3，以使得仅会在max(G)＞N3时，才确定Y=1。而不是只要有不为0的语义置信度就会确定Y=1，以避免结果准确度下降。具体的，所述第三预设阈值N3的可选范围为90%-97%，优选的，N3=93%。
S330，根据G，获取TYL和TYG，TYL为max(G)对应的攻击类型，TYG=max(G)。
值得说明的是，本实施例中，在Y=1和Y=0时，TYL和TYG均会有具体的参数。相较于S1的确定方法，由于语义特征往往不是完全相似的，但是能够体现出流量中字段或字符串之间的特征，故而，即便Y=0时，TYL和TYG也是有参考意义的。故而，本实施例中，TYL为max(G)对应的攻击类型，TYG=max(G)，可以使得后续在确定最终检测结果M时，可以考虑到语义特征，以提高整体的准确度。
在本申请的一种示例性实施例中，所述步骤S400，包括以下步骤：
S410，将所述待检测流量输入预设大语言模型，以得到大语言模型检测结果H=(H1，H2，…，Hr，…，HR)；Hr为预设大语言模型输出的第r个攻击类型对应的大语言置信度；
S420，若候选语义置信度max(H)＞N4，则获取Z=1；否则，Z=0；其中，N4为第四预设阈值；所述Z=1表示所述待检测流量为异常流量，所述Z=0表示所述待检测流量不为异常流量；
S430，根据H，获取TZL和TZG，TZL为max(H)对应的攻击类型，TZG=max(H)。
具体的，所述第四预设阈值N4的可选范围为90%-97%，优选的，N4=93%。
在本实施例中，现有技术中任一能够训练大语言模型的方法，均落入本发明的保护范围，在此不再赘述。
具体的，预设大语言模型可以通过大量的安全知识和威胁情报进行自主训练得到推理型人工智能模型。推理型模型可以在先验知识较少的情况下，根据现有特征进行推理后得到结果，故而针对新产生的攻击方式也能作出检测结果，可以有效的对仅使用特征规则进行检测的方式形成有效补充。
在本申请的一种示例性实施例中，所述异常流量检测方法还包括：
S600，若X=Y=Z，则将X确定为M。
S700，在X、Y、Z之间不全部相同，且X表示待检测流量不为异常流量的情况下，根据第二结果确定方法确定M。
所述第二结果确定方法包括：
S710，若TYL=TZL，且max(TYG、TZG)＞N1，则确定M=1；
S720，若TYL≠TZL，则将max(TYG、TZG)对应的第二标识或第三标识确定为M；M=1，表示所述待检测流量为异常流量。
在本实施例中，如果X、Y、Z之间不全部相同，并且，特征检测模块判定待检测流量不为异常流量，则表示待检测流量不符合任意特征规则，此时，若待检测流量是使用的新的网络攻击方式，则S1的检测结果时不可靠的。故而，在这种情况下，本实施例中的第二规则尽量考虑S2和S3来确定M。具体的，在TYL=TZL，且max(TYG、TZG)＞N1时，则直接确定待检测流量为异常流量；若TYL≠TZL，则将max(TYG、TZG)对应的目标标识（第二标识或第三标识）确定为M。以此提高了攻击检测的整体准确性。
请参考图2所示，在本申请的另一方面，提供一种异常流量检测装置，所述装置包括：
获取模块，用于获取待检测流量；
特征检测模块，用于根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1；其中，S1=（X，TXL，TXG），X为用于表示待检测流量是否为异常流量的第一标识，TXL为根据特征规则确定出的待检测流量对应的攻击类型，TXG为待检测流量对应的攻击类型为TXL的准确度；若X表示待检测流量不为异常流量，则TXL=TXG=NULL；
语义检测模块，根据所述待检测流量的语义特征，得到第二检测结果S2；其中，S2=（Y，TYL，TYG），Y为用于表示待检测流量是否为异常流量的第二标识，TYL为根据所述待检测流量的语义特征确定出的待检测流量最大概率对应的攻击类型，TYG为待检测流量对应的攻击类型为TYL的准确度；
大语言检测模块，根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3；其中，S3=（Z，TZL，TZG），Z为用于表示待检测流量是否为异常流量的第三标识，TZL为根据大语言模型确定出的待检测流量最大概率对应的攻击类型，TZG为待检测流量对应的攻击类型为TZL的准确度；
判定模块，用于在X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M；
所述第一结果确定方法包括：
若TXG＞N1，则将X确定为M；N1为第一预设阈值；
若TXG≤N1，且TYG＞N1，则将Y确定为M；
若TXG≤N1，TYG≤N1，且TZG＞N1，则将Z确定为M；
若max(TXG、TYG、TZG)≤N1，则确定M=0；M=0表示待检测流量不为异常流量；max()为预设的最大值确定函数。
此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质（可以是CD-ROM，U盘，移动硬盘等）中或网络上，包括若干指令以使得一台计算设备（可以是个人计算机、服务器、移动终端、或者网络设备等）执行根据本公开实施方式的方法。
在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。
所属技术领域的技术人员能够理解，本申请的各个方面可以实现为系统、方法或程序产品。因此，本申请的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式（包括固件、微代码等），或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。
根据本申请的这种实施方式的电子设备。电子设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。
电子设备以通用计算设备的形式表现。电子设备的组件可以包括但不限于：上述至少一个处理器、上述至少一个储存器、连接不同系统组件（包括储存器和处理器）的总线。
其中，所述储存器存储有程序代码，所述程序代码可以被所述处理器执行，使得所述处理器执行本说明书上述“示例性方法”部分中描述的根据本申请各种示例性实施方式的步骤。
储存器可以包括易失性储存器形式的可读介质，例如随机存取储存器（RAM）和/或高速缓存储存器，还可以进一步包括只读储存器（ROM）。
储存器还可以包括具有一组（至少一个）程序模块的程序/实用工具，这样的程序模块包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线可以为表示几类总线结构中的一种或多种，包括储存器总线或者储存器控制器、外围总线、图形加速端口、处理器或者使用多种总线结构中的任意总线结构的局域总线。
电子设备也可以与一个或多个外部设备（例如键盘、指向设备、蓝牙设备等）通信，还可与一个或者多个使得用户能与该电子设备交互的设备通信，和/或与使得该电子设备能与一个或多个其它计算设备进行通信的任何设备（例如路由器、调制解调器等等）通信。这种通信可以通过输入/输出（I/O）接口进行。并且，电子设备还可以通过网络适配器与一个或者多个网络（例如局域网（LAN），广域网（WAN）和/或公共网络，例如因特网）通信。网络适配器通过总线与电子设备的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质（可以是CD-ROM，U盘，移动硬盘等）中或网络上，包括若干指令以使得一台计算设备（可以是个人计算机、服务器、终端装置、或者网络设备等）执行根据本公开实施方式的方法。
在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本申请的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本申请各种示例性实施方式的步骤。
所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子（非穷举的列表）包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网（LAN）或广域网（WAN），连接到用户计算设备，或者，可以连接到外部计算设备（例如利用因特网服务提供商来通过因特网连接）。
此外，上述附图仅是根据本申请示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。
应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (8)

1.一种异常流量检测方法，其特征在于，所述方法包括：
获取待检测流量；
根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1=（X，TXL，TXG）；其中，X为用于表示待检测流量是否为异常流量的第一标识，TXL为根据特征规则确定出的待检测流量对应的攻击类型，TXG为待检测流量对应的攻击类型为TXL的准确度；若X表示待检测流量不为异常流量，则TXL=TXG=NULL；
根据所述待检测流量的语义特征，得到第二检测结果S2=（Y，TYL，TYG）；其中，Y为用于表示待检测流量是否为异常流量的第二标识，TYL为根据所述待检测流量的语义特征确定出的待检测流量最大概率对应的攻击类型，TYG为待检测流量对应的攻击类型为TYL的准确度；
根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3=（Z，TZL，TZG）；其中，Z为用于表示待检测流量是否为异常流量的第三标识，TZL为根据大语言模型确定出的待检测流量最大概率对应的攻击类型，TZG为待检测流量对应的攻击类型为TZL的准确度；
在X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M；
所述第一结果确定方法包括：
若TXG＞N1，则将X确定为M；N1为第一预设阈值；
若TXG≤N1，且TYG＞N1，则将Y确定为M；
若TXG≤N1，TYG≤N1，且TZG＞N1，则将Z确定为M；
若max(TXG、TYG、TZG)≤N1，则确定M=0；M=0表示待检测流量不为异常流量；max()为预设的最大值确定函数；
每一特征规则均具有对应的攻击类型；
所述根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1，包括：
判断所述待检测流量是否符合预设的任一特征规则，若符合，则确定X=1，并执行预设数据确定处理；否则，确定X=0，以及确定TXL=TXG=NULL；其中，X=1表示所述待检测流量为异常流量，X=0表示所述待检测流量不为异常流量；
所述预设数据确定处理，包括以下步骤：
根据所述待检测流量符合的每一特征规则对应的攻击类型，得到所述待检测流量对应的特征规则列表集P=（P1，P2，…，Pi，…，Pm）；Pi=（Pi,1，Pi,2，…，Pi,j，…，Pi,f(i)）；其中，i=1，2，…，m；j=1，2，…，f(i)；m为所述待检测流量符合的特征规则所对应的攻击类型的数量；Pi为所述待检测流量符合的第i个攻击类型对应的特征规则列表；f(i)为所述待检测流量符合的特征规则中属于第i个攻击类型的数量，f(i)≥1；Pi,j为所述待检测流量符合的第i个攻击类型对应的第j个特征规则；
根据P，获取所述待检测流量符合的特征规则的准确度列表集Q=（Q1，Q2，…，Qi，…，Qm）；Qi=（Qi,1，Qi,2，…，Qi,j，…，Qi,f(i)）；其中，Qi为Pi对应的准确度列表；Qi,j为Pi,j对应的预设准确度；
根据预设的整体规则准确度确定方法，获取所述待检测流量对应的整体规则准确度集ZX=（ZX1，ZX2，…，ZXi，…，ZXm）；其中，ZXi为预设的Pi对应的攻击类型的整体规则准确度；
根据P、Q和ZX，确定TXL和TXG；
所述根据P、Q和ZX，确定TXL和TXG，包括：
将Q中最大的预设准确度确定为候选准确度A；
根据A遍历Q，若Qi,j=A，则将Qi确定为目标准确度列表；
若A＞N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG；N2为第二预设阈值；
若A＞N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG；
若A≤N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，并依据预设公式确定TXG；其中，所述预设公式为TXG=MZX*A；MZX为该目标准确度列表对应的整体规则准确度；
若A≤N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，并依据所述预设公式确定TXG。
2.根据权利要求1所述的异常流量检测方法，其特征在于，所述根据所述待检测流量的语义特征，得到第二检测结果S2，包括：
将所述待检测流量输入预设语义分析模型，并获取所述预设语义分析模型输出的语义分析结果G=(G1，G2，…，Gr，…，GR)；r=1，2，…，R；其中，R为预设的攻击类型的数量；R≥m；Gr为预设语义分析模型输出的第r个攻击类型对应的语义置信度；
若候选语义置信度max(G)＞N3，则确定Y=1；否则，确定Y=0；其中，N3为第三预设阈值；所述Y=1表示所述待检测流量为异常流量，所述Y=0表示所述待检测流量不为异常流量；
根据G，获取TYL和TYG，TYL为max(G)对应的攻击类型，TYG=max(G)。
3.根据权利要求2所述的异常流量检测方法，其特征在于，所述根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3，包括：
将所述待检测流量输入预设大语言模型，以得到大语言模型检测结果H=(H1，H2，…，Hr，…，HR)；Hr为预设大语言模型输出的第r个攻击类型对应的大语言置信度；
若候选语义置信度max(H)＞N4，则获取Z=1；否则，Z=0；其中，N4为第四预设阈值；所述Z=1表示所述待检测流量为异常流量，所述Z=0表示所述待检测流量不为异常流量；
根据H，获取TZL和TZG，TZL为max(H)对应的攻击类型，TZG=max(H)。
4.根据权利要求1至3任一项所述的异常流量检测方法，其特征在于，所述异常流量检测方法还包括：
若X=Y=Z，则将X确定为M；
在X、Y、Z之间不全部相同，且X表示待检测流量不为异常流量的情况下，根据第二结果确定方法确定M；
所述第二结果确定方法包括：
若TYL=TZL，且max(TYG、TZG)＞N1，则确定M=1；
若TYL≠TZL，则将max(TYG、TZG)对应的第二标识或第三标识确定为M；
M=1，表示所述待检测流量为异常流量。
5.根据权利要求1所述的异常流量检测方法，其特征在于，所述整体规则准确度确定方法，包括：
获取v个已知恶意样本；v个已知恶意样本均为根据待检测流量符合的第i个攻击类型对应的流量获取的；
将待检测流量符合的第i个攻击类型对应的所有特征规则确定为目标特征规则，以得到目标特征规则集；
使用目标特征规则集依次对每一已知恶意样本进行异常判断，以得到每一已知恶意样本对应的判断结果；判断结果为第一判断结果或第二判断结果，第一判断结果表示已知恶意样本为异常，第二判断结果表示已知恶意样本为正常；
获取对应的判断结果为第一判断结果的已知恶意样本的数量NUMi；
获取ZXi=NUMi/v。
6.一种异常流量检测装置，其特征在于，所述装置包括：
获取模块，用于获取待检测流量；
特征检测模块，用于根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1；其中，S1=（X，TXL，TXG），X为用于表示待检测流量是否为异常流量的第一标识，TXL为根据特征规则确定出的待检测流量对应的攻击类型，TXG为待检测流量对应的攻击类型为TXL的准确度；若X表示待检测流量不为异常流量，则TXL=TXG=NULL；
每一特征规则均具有对应的攻击类型；
所述根据若干预设的特征规则对所述待检测流量进行检测，得到第一检测结果S1，包括：
判断所述待检测流量是否符合预设的任一特征规则，若符合，则确定X=1，并执行预设数据确定处理；否则，确定X=0，以及确定TXL=TXG=NULL；其中，X=1表示所述待检测流量为异常流量，X=0表示所述待检测流量不为异常流量；
所述预设数据确定处理，包括以下步骤：
根据所述待检测流量符合的每一特征规则对应的攻击类型，得到所述待检测流量对应的特征规则列表集P=（P1，P2，…，Pi，…，Pm）；Pi=（Pi,1，Pi,2，…，Pi,j，…，Pi,f(i)）；其中，i=1，2，…，m；j=1，2，…，f(i)；m为所述待检测流量符合的特征规则所对应的攻击类型的数量；Pi为所述待检测流量符合的第i个攻击类型对应的特征规则列表；f(i)为所述待检测流量符合的特征规则中属于第i个攻击类型的数量，f(i)≥1；Pi,j为所述待检测流量符合的第i个攻击类型对应的第j个特征规则；
根据P，获取所述待检测流量符合的特征规则的准确度列表集Q=（Q1，Q2，…，Qi，…，Qm）；Qi=（Qi,1，Qi,2，…，Qi,j，…，Qi,f(i)）；其中，Qi为Pi对应的准确度列表；Qi,j为Pi,j对应的预设准确度；
根据预设的整体规则准确度确定方法，获取所述待检测流量对应的整体规则准确度集ZX=（ZX1，ZX2，…，ZXi，…，ZXm）；其中，ZXi为预设的Pi对应的攻击类型的整体规则准确度；
根据P、Q和ZX，确定TXL和TXG；
所述根据P、Q和ZX，确定TXL和TXG，包括：
将Q中最大的预设准确度确定为候选准确度A；
根据A遍历Q，若Qi,j=A，则将Qi确定为目标准确度列表；
若A＞N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG；N2为第二预设阈值；
若A＞N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，将该攻击类型对应的整体规则准确度确定为TXG；
若A≤N2，并且，目标准确度列表的数量为一个，则将该目标准确度列表对应的攻击类型确定为TXL，并依据预设公式确定TXG；其中，所述预设公式为TXG=MZX*A；MZX为该目标准确度列表对应的整体规则准确度；
若A≤N2，并且，目标准确度列表的数量超过一个，则将对应的整体规则准确度最大的目标准确度列表的攻击类型确定为TXL，并依据所述预设公式确定TXG；
语义检测模块，根据所述待检测流量的语义特征，得到第二检测结果S2；其中，S2=（Y，TYL，TYG），Y为用于表示待检测流量是否为异常流量的第二标识，TYL为根据所述待检测流量的语义特征确定出的待检测流量最大概率对应的攻击类型，TYG为待检测流量对应的攻击类型为TYL的准确度；
大语言检测模块，根据大语言模型对所述待检测流量进行检测，得到第三检测结果S3；其中，S3=（Z，TZL，TZG），Z为用于表示待检测流量是否为异常流量的第三标识，TZL为根据大语言模型确定出的待检测流量最大概率对应的攻击类型，TZG为待检测流量对应的攻击类型为TZL的准确度；
判定模块，用于在X、Y、Z之间不全部相同，且X表示待检测流量为异常流量的情况下，根据第一结果确定方法确定最终检测结果M；
所述第一结果确定方法包括：
若TXG＞N1，则将X确定为M；N1为第一预设阈值；
若TXG≤N1，且TYG＞N1，则将Y确定为M；
若TXG≤N1，TYG≤N1，且TZG＞N1，则将Z确定为M；
若max(TXG、TYG、TZG)≤N1，则确定M=0；M=0表示待检测流量不为异常流量；max()为预设的最大值确定函数。
7.一种非瞬时性计算机可读存储介质，其特征在于，所述存储介质中存储有至少一条指令或至少一段程序，所述至少一条指令或所述至少一段程序由处理器加载并执行以实现如权利要求1-5中任意一项所述的异常流量检测方法。
8.一种电子设备，其特征在于，包括处理器和权利要求7所述的非瞬时性计算机可读存储介质。
CN202311170127.3A 2023-09-12 2023-09-12 一种异常流量检测方法、装置、电子设备及存储介质 Active CN116915506B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311170127.3A CN116915506B (zh) 2023-09-12 2023-09-12 一种异常流量检测方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311170127.3A CN116915506B (zh) 2023-09-12 2023-09-12 一种异常流量检测方法、装置、电子设备及存储介质

Publications (2)

Publication Number Publication Date
CN116915506A CN116915506A (zh) 2023-10-20
CN116915506B true CN116915506B (zh) 2023-12-01

Family

ID=88363338

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311170127.3A Active CN116915506B (zh) 2023-09-12 2023-09-12 一种异常流量检测方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN116915506B (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110572362A (zh) * 2019-08-05 2019-12-13 北京邮电大学 针对多类不均衡异常流量的网络攻击检测方法及装置
KR20230000128A (ko) * 2021-06-24 2023-01-02 주식회사 엘지유플러스 이동통신 장비 이상 검출 시스템 및 방법
CN115622787A (zh) * 2022-10-24 2023-01-17 中国电信股份有限公司 异常流量检测方法、装置、电子设备及存储介质
CN115941337A (zh) * 2022-12-13 2023-04-07 奇安信网神信息技术(北京)股份有限公司 数据分析方法、装置、电子设备及存储介质
CN116707965A (zh) * 2023-06-30 2023-09-05 中汽创智科技有限公司 一种威胁检测方法、装置、存储介质以及电子设备

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230156019A1 (en) * 2021-11-15 2023-05-18 Arbor Networks, Inc. Method and system for scoring severity of cyber attacks

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110572362A (zh) * 2019-08-05 2019-12-13 北京邮电大学 针对多类不均衡异常流量的网络攻击检测方法及装置
KR20230000128A (ko) * 2021-06-24 2023-01-02 주식회사 엘지유플러스 이동통신 장비 이상 검출 시스템 및 방법
CN115622787A (zh) * 2022-10-24 2023-01-17 中国电信股份有限公司 异常流量检测方法、装置、电子设备及存储介质
CN115941337A (zh) * 2022-12-13 2023-04-07 奇安信网神信息技术(北京)股份有限公司 数据分析方法、装置、电子设备及存储介质
CN116707965A (zh) * 2023-06-30 2023-09-05 中汽创智科技有限公司 一种威胁检测方法、装置、存储介质以及电子设备

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
基于深度学习的网络流量异常预测方法;黎佳玥 等;计算机工程与应用(第06期);全文 *
黎佳玥 等.基于深度学习的网络流量异常预测方法.计算机工程与应用.2020,(第06期),全文. *

Also Published As

Publication number Publication date
CN116915506A (zh) 2023-10-20

Similar Documents

Publication Publication Date Title
CN109271782B (zh) 检测攻击行为的方法、介质、系统和计算设备
CN113965404A (zh) 一种网络安全态势自适应主动防御系统及方法
Kholidy et al. A finite state hidden markov model for predicting multistage attacks in cloud systems
CN116032602A (zh) 一种自动识别威胁数据的方法、装置、设备及存储介质
CN115396204A (zh) 一种基于序列预测的工控网络流量异常检测方法及装置
CN116389235A (zh) 一种应用于工业物联网的故障监测方法及系统
CN115766068A (zh) 一种网络安全事件等级分类方法、装置、设备、介质
US11431748B2 (en) Predictive crowdsourcing-based endpoint protection system
CN117240632B (zh) 一种基于知识图谱的攻击检测方法和系统
CN114338195A (zh) 基于改进孤立森林算法的web流量异常检测方法及装置
CN113378161A (zh) 一种安全检测方法、装置、设备及存储介质
CN116915506B (zh) 一种异常流量检测方法、装置、电子设备及存储介质
CN116015861A (zh) 一种数据检测方法、装置、电子设备及存储介质
CN115964701A (zh) 应用安全检测方法、装置、存储介质及电子设备
KR102247179B1 (ko) 이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치
CN112839029B (zh) 一种僵尸网络活跃度的分析方法与系统
CN113849813A (zh) 数据检测方法、装置、电子设备及存储介质
CN111343032B (zh) 一种工控网络异常会话检测方法，装置，电子设备以及存储介质
CN111565377B (zh) 应用于物联网的安全监测方法和装置
CN112511568A (zh) 一种网络安全事件的关联分析方法、装置及存储介质
CN116760644B (zh) 一种终端异常判定方法、系统、存储介质及电子设备
CN117034261B (zh) 一种基于标识符的异常检测方法、装置、介质及电子设备
CN113987482B (zh) 一种基于fm的ip首次访问检测方法、系统及设备
CN115051833B (zh) 一种基于终端进程的互通网络异常检测方法
CN113572768B (zh) 一种僵尸网络家族传播源数量变化异常的分析方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant