JP7048555B2 - トラフィックを検出するための方法及び装置 - Google Patents

Description

本発明の実施例は、コンピュータ技術分野に関し、具体的にトラフィックを検出するための方法及び装置に関する。

社会の発展とネットワークアプリケーション分野の継続的な普及に伴い、ネットワークの開発は人々に大きな利便性をもたらしたとともに、セキュリティリスクも増大した。したがって、ネットワークの異常を正確かつ適時に検出し、攻撃を特定してクリーニングし、サービス使用の信頼性を確保することが特に重要である。

異常なトラフィックの特定は攻撃を検出する前提であり、トラフィックが異常であることが検出された場合にのみ、それが実際の攻撃であるかどうかをさらに分析する必要がある。

いくつかの関連技術では、通常に、トラフィック特徴値を抽出して事前構築された特徴データベースと照合することで現在のトラフィックが異常であるかどうかを検出する。

本発明の実施例は、トラフィックを検出するための方法及び装置を提出する。

第１態様では、本発明の実施例は、トラフィックを検出するための方法であって、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するステップと、少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断するステップと、少なくとも２つの次元のトラフィック情報のうち、対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在する場合、対象ＩＰのトラフィックが異常であると判定するステップと、を含むトラフィックを検出するための方法を提出する。

いくつかの実施例では、少なくとも２つの次元のトラフィック情報は、単位時間あたりに転送されるビット数、単位時間あたりに転送されるデータパケット数、単位時間あたりのリクエスト数、及び単位時間あたりの接続数のうちの少なくとも２種を含む。

いくつかの実施例では、少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断する前に、該方法は、対象ＩＰのトラフィック情報を周期的に収集するステップと、事前設定された範囲を超えた異常トラフィック情報を、収集されたトラフィック情報から削除するステップと、異常トラフィック情報が削除された後のトラフィック情報に基づいて対象ＩＰの異常トラフィック閾値を確定するステップと、を更に含む。

いくつかの実施例では、対象ＩＰのトラフィック情報を周期的に収集するステップは、事前設定された頻度で対象ＩＰに対してトラフィックを収集するステップと、毎回に収集されたサンプルデータについて、該サンプルデータの所在の区間範囲を確定し、その区間範囲内の事前設定された値を当回に収集されたトラフィック情報として確定するステップと、を含む。

いくつかの実施例では、事前設定された範囲を超えた異常トラフィック情報を収集されたトラフィック情報から削除するステップは、収集されたトラフィック情報から第１の範囲を超えた異常トラフィック情報を削除して、一次絞込後のトラフィック情報を得るステップと、一次絞込後のトラフィック情報に基づいて、第１の範囲よりも小さい第２の範囲を確定するステップと、一次絞込後のトラフィック情報から、第２の範囲を超えた異常トラフィック情報を削除するステップと、を含む。

いくつかの実施例では、異常トラフィック情報が削除された後のトラフィック情報に基づいて対象ＩＰの異常トラフィック閾値を確定するステップは、現在の周期内に取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するステップと、集合内で事前設定された割合のトラフィック情報の所在の区間範囲を確定し、区間範囲の上限を基準閾値とするステップと、基準閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得するステップと、を含む。

いくつかの実施例では、異常トラフィック情報が削除された後のトラフィック情報に基づいて対象ＩＰの異常トラフィック閾値を確定するステップは、現在の周期と複数の履歴周期が含まれる複数の周期内で取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するステップと、各周期で取得されたトラフィック情報の集合について、該集合内における事前設定された割合のトラフィック情報の所在の区間範囲を確定し、確定された区間範囲の上限を該周期に対応する基準閾値とするステップと、複数の周期に対応する基準閾値及び対応する重みに基づいて最終閾値を確定するステップと、最終閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得するステップと、を含む。

いくつかの実施例では、複数の周期の重みは、各周期の重みが同じであること、現在の周期から近い周期の重みが、現在の周期から遠い周期の重みよりも大きいこと、及び各周期の重みがトラフィック情報の安定度に基づいて確定されること、のいずれかに応じて確定される。

第２態様では、本発明の実施例は、トラフィックを検出するための装置であって、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するように構成される情報取得ユニットと、少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断するように構成される判断ユニットと、少なくとも２つの次元のトラフィック情報のうち、対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在する場合、対象ＩＰのトラフィックが異常であると判定するように構成される異常判定ユニットと、を含むトラフィックを検出するための装置を提供する。

いくつかの実施例では、少なくとも２つの次元のトラフィック情報は、単位時間あたりに転送されるビット数、単位時間あたりに転送されるデータパケット数、単位時間あたりのリクエスト数、及び単位時間あたりの接続数のうちの少なくとも２種を含む。

いくつかの実施例では、該装置は、対象ＩＰのトラフィック情報を周期的に収集するように構成される情報収集ユニットと、事前設定された範囲を超えた異常トラフィック情報を、収集されたトラフィック情報から削除するように構成される削除ユニットと、異常トラフィック情報が削除された後のトラフィック情報に基づいて対象ＩＰの異常トラフィック閾値を確定するように構成される閾値確定ユニットと、をさらに含む。

いくつかの実施例では、情報収集ユニットは、事前設定された頻度で対象ＩＰに対してトラフィックを収集するように構成される情報収集モジュールと、毎回に収集されたサンプルデータについて、該サンプルデータの所在の区間範囲を確定し、その区間範囲内の事前設定された値を当回に収集されたトラフィック情報として確定するように構成される情報確定モジュールとを含む。

いくつかの実施例では、削除ユニットは、収集されたトラフィック情報から第１の範囲を超えた異常トラフィック情報を削除して、一次絞込後のトラフィック情報を得るように構成される第１削除モジュールと、一次絞込後のトラフィック情報に基づいて、第１の範囲よりも小さい第２の範囲を確定するように構成される範囲確定モジュールと、一次絞込後のトラフィック情報から、第２の範囲を超えた異常トラフィック情報を削除するように構成される第２削除モジュールと、を含む。

いくつかの実施例では、閾値確定ユニットは、現在の周期内で取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するように構成される集合取得モジュールと、集合内における事前設定された割合のトラフィック情報の所在の区間範囲を確定し、区間範囲の上限を基準閾値とするように構成される範囲確定モジュールと、基準閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得するように構成される閾値確定モジュールと、を含む。

いくつかの実施例では、閾値確定ユニットは、現在の周期と複数の履歴周期が含まれる複数の周期内で取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するように構成される集合取得モジュールと、各周期で取得されたトラフィック情報の集合について、該集合内における事前設定された割合のトラフィック情報の所在の区間範囲を確定し、確定された区間範囲の上限を該周期に対応する基準閾値とするように構成される範囲確定モジュールと、複数の周期に対応する基準閾値及び対応する重みに基づいて最終閾値を確定するように構成される修正モジュールと、最終閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得するように構成される閾値確定モジュールと、を含む。

いくつかの実施例では、複数の周期の重みは、各周期の重みが同じであること、現在の周期から近い周期の重みが、現在の周期から遠い周期の重みよりも大きいこと、及び各周期の重みがトラフィック情報の安定度に基づいて確定されること、のいずれかに応じて確定される。

第３態様では、本発明の実施例は、１つ又は複数のプロセッサと、１つ又は複数のプログラムが格納されている記憶デバイスと、を備える電子機器であって、１つ又は複数のプログラムが１つ又は複数のプロセッサによって実行されると、１つ又は複数のプロセッサに第１態様のいずれかの実施形態に記載の方法を実現させる電子機器を提供する。

第４態様では、本発明の実施例は、コンピュータプログラムが格納されているコンピュータ可読媒体であって、該コンピュータプログラムがプロセッサにより実行されると、第１態様のいずれかの実施形態に記載の方法を実現するコンピュータ可読媒体を提供する。

本発明の実施例により提供されたトラフィックを検出するための方法及び装置は、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得し、前記少なくとも２つの次元のトラフィック情報のうち、対応する次元の閾値を超えたトラフィック情報が存在するかどうかを判断し、対応する次元の閾値を超えたトラフィック情報が存在する場合にトラフィックが異常であると判定することにより、異常トラフィックの検出率が向上された。

本発明の他の特徴、目的及び利点は、以下の図面を参照してなされる非限定的な実施例に係る詳細な説明を読むことにより、より明らかになるであろう。
本発明の一実施例を適用可能な例示的なシステムアーキテクチャを示す図である。 本発明に係るトラフィックを検出するための方法の一実施例を示すフローチャートである。 本発明に係るトラフィックを検出するための方法のもう一つの実施例を示すフローチャートである。 本発明に係るトラフィックを検出するための装置の一実施例を示す構造概略図である。 本発明に係るトラフィックを検出するための装置のもう一つの実施例を示す構造概略図である。 本発明の実施例を達成するための電子機器に適用される構造概略図である。

以下、図面及び実施例を参照しながら本発明をより詳細に説明する。ここで説明する具体的な実施例は、関連する発明を説明するためのものに過ぎず、当該発明を限定するものではないことを理解されたい。また、説明の便宜上、図面には発明に関連する部分のみが示されていることに留意されたい。

なお、本発明の実施例及び実施例における特徴は、矛盾を生じない限り、相互に組み合わせることができる。以下、図面及び実施例を参照しながら本発明を詳細に説明する。

図１は、本発明に係るトラフィックを検出するための方法又はトラフィックを検出するための装置の実施例が適用可能な例示的なシステムアーキテクチャ１００を示している。

図１に示すように、システムアーキテクチャ１００は、電子機器１０１、１０２、１０３、ネットワーク１０４、及びサーバ１０５を含んでもよい。ネットワーク１０４は、電子機器１０１、１０２、１０３とサーバ１０５の間で通信リンクの媒体を提供するために使用される。ネットワーク１０４は、有線、無線通信リンク又は光ファイバケーブルなどの様々なタイプの接続を含んでもよい。

電子機器１０１、１０２、１０３は、サーバ（例えば、クラウドに配置され、特定のサービスを提供できるサーバ）、又は端末装置（例えば、ネットワークに接続されるスマートフォン、ラップトップコンピュータ、デスクトップコンピュータなど）であってもよい。その中で、各電子機器は１つのＩＰ（インターネットプロトコル）を表すことができる。

サーバ１０５は、電子機器１０１、１０２、１０３のネットワークトラフィックに対して異常を検出するバックエンドサーバなど、様々なサービスを提供するサーバであってもよい。バックエンドサーバは、受信したトラフィック情報などのデータに対して解析などの処理を行って、電子機器１０１、１０２、１０３に異常なトラフィックがあるかどうかを判定することができる。

なお、本発明の実施例に係るトラフィックを検出するための方法は、通常にサーバ１０５によって実行され、これに応じて、トラフィックを検出するための装置は、通常にサーバ１０５に設けられている。

図１における電子機器、ネットワーク及びサーバの数は例示的なものに過ぎないことを理解されたい。必要に応じて、電子機器、ネットワーク及びサーバの数を任意に加減してもよい。

次に、本発明に係るトラフィックを検出するための方法の一実施例のフロー２００を示す図２を参照する。このトラフィックを検出するための方法は、ステップ２０１、ステップ２０２及びステップ２０３を含む。

ステップ２０１：対象ＩＰの少なくとも２つの次元のトラフィック情報を取得する。

この実施例において、トラフィックを検出する方法が実行される実行主体（例えば、図１のサーバ１０５）は、対象ＩＰ（例えば、図１の電子機器１０１、１０２、１０３）の少なくとも２つの次元のトラフィック情報を取得し得る。ここで、対象ＩＰは、上記の実行主体によって管理されるＩＰの１つであり得る。トラフィック情報は、例えば、ビット／秒（ｂｉｔｓ ｐｅｒ ｓｅｃｏｎｄ）、パケット／秒（ｐａｃｋｅｔｓ ｐｅｒ ｓｅｃｏｎｄ）など、対象ＩＰのネットワーク状態を特徴づけることができる情報であり得る。

本実施例のいくつかの任意選択実施態様では、上記少なくとも２つの次元のトラフィック情報は、単位時間あたりに転送されるビット数（例えば、ビット／秒）、単位時間あたりに転送されるデータパケットの数（例えば、パケット数／秒）、単位時間あたりのリクエスト数（例えば、リクエスト数／秒）、単位時間あたりの接続数（例えば、接続数／秒）のうちの少なくとも２種を含んでもよい。

なお、上記実施形態では、一つの次元のトラフィック情報を単位時間当たりに転送されるビット数として説明したが、本実施例はこれに限定されない。当業者は、単位時間あたりに転送されるバイト数を該次元のトラフィック情報としても使用できることを理解されたい。

ここで、検出周期内で少なくとも２つの次元のトラフィック情報を同時に取得できる。例えば、対象ＩＰによって転送されたビット数、転送されたデータパケット数、リクエスト数、及び接続数が同時に収集され、これら４つの次元における対象ＩＰのトラフィック情報が取得される。

ステップ２０２：少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断する。

この実施例では、トラフィックを検出する方法が実行される実行主体（例えば、図１のサーバ１０５）は、前記少なくとも２つの次元のトラフィック情報をそれぞれ対応する次元の異常トラフィック閾値と比較して、前記少なくとも２つの次元のトラフィック情報に、対応する次元の異常トラフィック閾値を超えるトラフィック情報が存在するかどうかを確定することができる。ここで、特定の次元に対応する異常トラフィック閾値は、該次元のトラフィック情報が該次元の正常範囲内にあるかどうかを確定するために使用され、例えば１００Ｍｂｉｔ／ｓなどの事前設定された値であり得る。

ステップ２０３：少なくとも２つの次元のトラフィック情報の中に対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在する場合、対象ＩＰのトラフィックが異常であると判定する。

この実施例において、ステップ２０２では、少なくとも２つの次元のトラフィック情報のうちに、対応する次元の異常トラフィック閾値を超えるトラフィック情報があると判定された場合、トラフィックを検出する方法が実行される実行主体（例えば、図１のサーバ１０５）は、対象ＩＰのトラフィックが異常である（すなわち、対象ＩＰが攻撃されているか、又は攻撃される可能性がある）と判定できる。

例として、まず、ビット数とパケット数の２つの次元における対象ＩＰのトラフィック情報が２００メガビット／秒と７００パケット／秒であると取得され、次に、これらの２つの次元のトラフィック情報をそれぞれの次元に対応する異常トラフィック閾値と比較する（例えば、ビット数の次元に対応する異常トラフィック閾値が３００メガビット／秒であり、パケット数の次元に対応する異常トラフィック閾値が５００パケット／秒である）。パケット数の次元におけるトラフィック情報（すなわち、７００パケット／秒）が、パケット数の次元に対応する異常トラフィック閾値（すなわち、５００パケット／秒）を超えたので、対象ＩＰのトラフィックが異常であると判断できる。

上記の例から分かるように、ビット数の次元からのみ対象ＩＰに対してトラフィックを検出する場合、対象ＩＰのトラフィックが正常であると見なされることがある。本発明は、少なくとも２つの次元から対象ＩＰのトラフィックを検出し、１つの次元のトラフィック情報が異常トラフィック閾値を超えれば、対象ＩＰのトラフィックが異常であると見なされ、それによって異常トラフィックの検出率が大幅に向上された。

本発明の上記実施例により提供されたトラフィックを検出するための方法は、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得し、前記少なくとも２つの次元のトラフィック情報の中に、対応する次元の閾値を超えたトラフィック情報が存在するかどうかを判断し、対応する次元の閾値を超えたトラフィック情報が存在する場合にトラフィックが異常であると判定することにより、異常トラフィックの検出率が向上された。

次に、本発明に係るトラフィックを検出するための方法の他の一実施例のフロー３００を示す図３を参照する。このトラフィックを検出するための方法は、ステップ３０１～３０６を含む。

ステップ３０１：対象ＩＰのトラフィック情報を周期的に収集する。

本実施例において、トラフィックを検出する方法が実行される実行主体（例えば、図１のサーバ１０５）は、対象ＩＰのトラフィック情報を周期的に取得し得る。ここで、対象ＩＰは、上記の実行主体によって管理されるＩＰの１つであり得る。トラフィック情報は、例えば、ビット／秒（ｂｉｔｓ ｐｅｒ ｓｅｃｏｎｄ）、パケット／秒（ｐａｃｋｅｔｓ ｐｅｒ ｓｅｃｏｎｄ）など、対象ＩＰのネットワーク状態を特徴づけることができる情報であり得る。

例として、前記実行主体は、固定頻度で対象ＩＰに対してトラフィックを収集し、収集されたサンプルデータを対象ＩＰのトラフィック情報とすることができる。

本実施例のいくつかの任意選択実施態様では、ステップ３０１は具体的に、事前設定された頻度（例えば、１秒に１回）で対象ＩＰに対してトラフィックを収集するステップと、毎回に収集されたサンプルデータについて、該サンプルデータの所在の区間範囲を確定し、その区間範囲内の事前設定された値を今回収集されたトラフィック情報として確定するステップと、を含むことができる。例えば、収集されたサンプルデータが１５８パケット／秒である場合、該サンプルデータを区間［１００、２００］（この区間は、検出結果に影響を与えずに経験的に設定できる）に近似でき、切り上げて２００パケット／秒を今回収集されたトラフィック情報とする。収集されたサンプルデータを概算して整数にすることにより、判定結果に影響を与えない前提でストレージのオーバーヘッドを効果的に節約できる。

上記の例では、切り上げにより各回に取得されたトラフィック情報を確定することについて説明したが、本発明はそれに限定されない。当業者は、他の方法（例えば切り捨て、区間範囲の中間値（例えば１５０）をとることなど）で各回に取得されたトラフィック情報を確定することもできることを理解することができる。

なお、対象ＩＰのトラフィック情報には少なくとも２つの次元のトラフィック情報が含まれる場合、少なくとも２つの次元のトラフィック情報を同時に収集することも、少なくとも２つの次元のトラフィック情報を順番に収集することもでき、本発明はそれに限定されない。

ステップ３０２：事前設定された範囲を超えた異常トラフィック情報を収集されたトラフィック情報から削除する。

本実施例では、トラフィックを検出するための方法が実行される実行主体（例えば、図１のサーバ１０５）は、ステップ３０１で収集されたトラフィック情報から、事前設定された範囲を超えた異常トラフィック情報を削除できる。ステップ３０１で収集されたトラフィック情報には、異常なトラフィック情報（すなわち、事前設定された範囲を超えるトラフィック情報）が含まれる可能性があるため、それを削除する必要がある。ここで、事前設定された範囲は、経験値に応じて予め設定された値であってもよいし、実行中に収集されたデータに応じて確定された値であってもよい。

本実施例のいくつかの任意選択実施態様では、事前設定された範囲は、第１の範囲と第２の範囲を含むことができる。第１の範囲は経験に応じて設定された固定の閾値であってもよく、第２の範囲は方法の実行中に確定された値であってもよく、第１の範囲は第２の範囲よりも大きい。

該実施態様に対応して、ステップ３０２は具体的にステップ１、ステップ２及びステップ３を含むことができる。

ステップ１：ステップ３０１で収集されたトラフィック情報から第１の範囲を超えた（例えば、固定閾値よりも大きい）異常トラフィック情報を削除して、一次絞込後のトラフィック情報を得る。一次絞込により、明らかな異常トラフィック情報を排除できる。

ステップ２：一次絞込後のトラフィック情報に基づいて、第２の範囲を確定する。例として、一次絞込されたトラフィック情報をサンプルポイントとし、標準偏差σ及び平均値μが確定されると、第２の範囲が（μ－３σ、μ＋３σ）として確定され得る。３σ原理によれば、（μ－３σ、μ＋３σ）に分布する数値の確率が０．９９７４であるので、この範囲外にあるサンプルポイントは異常ポイントであると考えることができる。

ステップ３：一次絞込後のトラフィック情報から、第２の範囲を超えた異常トラフィック情報を削除する。例えば、（μ－３σ、μ＋３σ）内にないトラフィック情報は削除される。

上記の例では、３σ原理を使用して第２の範囲を確定することを説明したが、本発明はそれに限定されない。当業者は、第２の範囲は他の適切な方法で確定できることを理解するであろう。

ステップ３０３：異常トラフィック情報が削除された後のトラフィック情報に基づいて対象ＩＰの異常トラフィック閾値を確定する。

本実施例では、トラフィックを検出するための方法が実行される実行主体（例えば、図１のサーバ１０５）は、ステップ３０２で取得されたトラフィック情報を使用して、対象ＩＰの異常トラフィック閾値を確定することができる。ここで、対象ＩＰの異常トラフィック閾値は、少なくとも２つの次元の異常トラフィック閾値を含み得る。特定の次元に対応する異常トラフィック閾値は、該次元のトラフィック情報が該次元の正常範囲内にあるかどうかを判断するために使用できる。

本実施例のいくつかの任意選択実施態様では、ステップ３０３は、具体的にステップ１、ステップ２及びステップ３を含むことができる。

ステップ１：現在の周期内に取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得する。

ステップ２：前記集合内において事前設定された割合のトラフィック情報の所在の区間範囲を確定し、区間範囲の上限を基準閾値とする。事前設定された割合は、経験に応じて事前設定された値、例えば、９０％、９５％などであってもよい。

ステップ３：基準閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得する。ここで、所定倍率は、経験に応じて事前設定された値、例えば、２、３などであってもよい。

例として、まず、当日に収集された、第１の範囲と第２の範囲を超えた異常ビット数を除去した１００個のビット数サンプルを取得し、その後、これらのビット数のサンプルを数値に従って小きい順に並べ替え、サンプル分布のヒストグラムをプロットし、９５％のビット数サンプル（即ち、９５個のビット数サンプル）に対応する横座標（すなわち、９５％のビット数サンプルの所在の区間範囲の上限）を見つけて、該横座標の値を基準閾値とし、最後に、基準閾値を２倍に増幅して、対象ＩＰに対する後続のトラフィック検出のための異常トラフィック閾値とする。

さらに、単一の周期が業務のピーク期間や長期の攻撃などの要因の影響を受ける可能性があることを考慮すると、単一の周期における推定値はある程度の不確実性があるため、複数の周期に亘るデータにより修正することで、より正確な異常トラフィック閾値が推定され得る。

本実施例のいくつかの任意選択実施態様では、ステップ３０３は、具体的にステップ１、ステップ２、ステップ３及びステップ４を含むことができる。

ステップ１：複数の周期内に取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得する、ここで、前記複数の周期は、現在の周期と複数の履歴周期を含む。

ステップ２：各周期について、該周期に対応する集合内において事前設定された割合のトラフィック情報の所在の区間範囲を確定し、確定された区間範囲の上限を該周期に対応する基準閾値とする。

ステップ３：複数の周期に対応する基準閾値及び対応する重みに基づいて最終閾値を確定する。

ステップ４：最終閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得する。

以下に例を挙げて説明する。

まず、当日を含む複数の日（例えば３０日）に収集された、第１の範囲と第２の範囲を超えた異常ビット数が削除された後の３０００個のビット数サンプル（ここで、１日あたり１００個のビット数サンプルと仮定）を取得できる。

その後、毎日のビット数サンプルを処理して、毎日の対応する基準閾値を取得する。具体的には、毎日のビット数サンプルを数値に従って小きい順に並べ替え、サンプル分布のヒストグラムをプロットし、９５％のビット数サンプル（即ち、９５個のビット数サンプル）に対応する横座標（すなわち、９５％のビット数サンプルの所在の区間範囲の上限）を見つけて、該横座標の値を毎日の対応する基準閾値とする。

次に、複数の日に対応する基準閾値の加重平均値を求め、最終的な閾値を得る。ここで、毎日の重みは、例えば１／ｎ（ｎは日数）のように事前に設定できる。

最後に、最終的な閾値を２倍に増幅して、対象ＩＰに対する後続のトラフィック検出のための異常トラフィック閾値とする。

本実施例のいくつかの任意選択実施態様では、前記複数の周期の重みは、次の方式１～３のいずれかに応じて確定されてもよい。

方式１：各周期の重みは同じで、例えば、いずれも１／ｎ（ｎは各周期の日数）である。

方式２：現在の周期に近い周期の重みは大きく、例えば、第ｉの周期の比率が１／ｉ（ｉは自然数）である。

方式３：トラフィック情報が安定している周期の重みは大きく、例えば、第ｉの周期のトラフィック情報が安定している（第ｉの周期のトラフィック情報の平方偏差σが０である）場合、第ｉの周期の重みはｎ_ｉ（ｎ_ｉが第ｉの周期の日数）であり、第ｉの周期のトラフィック情報が安定していない（第ｉの周期のトラフィック情報の平方偏差σが０より大きい）場合、第ｉの周期の重みはｎ_ｉ／σ^２である。

なお、上記の複数の周期は、例えば５日間、１０日間、２ヶ月など、必要に応じて予め設定された値であってもよい。

また、履歴データがカバーする周期数が事前設定された周期数よりも少ない場合、事前設定された数の周期で収集したトラフィック情報の集合を取得することは、対象ＩＰの履歴データのうちのトラフィック情報の集合を取得することと見なすことができる。例えば、事前設定された周期の数が１０日間で、対象ＩＰによって生成された履歴データにここ最近２日間に収集されたトラフィック情報のみが含まれる場合、１０日間に収集されたトラフィック情報の集合を取得することは、対象ＩＰの履歴データ（即ち、ここ最近２日間に収集された履歴データ）内のトラフィック情報の集合を取得することと見なすことができ、履歴データがカバーする周期数が所定の周期数以上になるまで待つ必要はない。

ステップ３０４：対象ＩＰの少なくとも２つの次元のトラフィック情報を取得する。

この実施例において、トラフィックを検出するための方法が実行される実行主体（例えば、図１のサーバ１０５）は、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得し得る。

ステップ３０５：少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断する。

この実施例では、トラフィックを検出するための方法が実行される実行主体（例えば、図１のサーバ１０５）は、ステップ３０４で取得された前記少なくとも２つの次元のトラフィック情報をそれぞれ対応する次元の異常トラフィック閾値（ステップ３０３で確定された異常トラフィック閾値）と比較して、前記少なくとも２つの次元のトラフィック情報のうち、対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判定することができる。

ステップ３０６：少なくとも２つの次元のトラフィック情報のうち、対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在する場合、対象ＩＰのトラフィックが異常であると判定する。

本実施例において、ステップ３０５では、少なくとも２つの次元のトラフィック情報のうち、対応する次元の異常トラフィック閾値を超えたトラフィック情報があると判定された場合、トラフィックを検出するための方法が実行される実行主体（例えば、図１のサーバ１０５）は、対象ＩＰのトラフィックが異常である（すなわち、対象ＩＰが攻撃されているか、又は攻撃される可能性がある）と判定できる。

図３から分かるように、本実施例におけるトラフィックを検出するための方法３００は、図２に対応する実施例と比較して、異常トラフィック閾値を確定するステップが強調された。したがって、本実施例で説明される解決策は、対象ＩＰの異常トラフィック閾値を動的に調整することができ、それによって異常トラフィックをより正確に検出できる。さらに、異なるＩＰの履歴トラフィック情報を用いて異なるＩＰの異常トラフィック閾値を確定し、異なるＩＰのトラフィック異常を場合によって処理することで、異常トラフィックの偽陰性率と偽陽性率は低減された。

更に図４を参照すると、図２に示された方法の実施態様として、本発明は、トラフィックを検出するための装置の一実施例を提供し、該装置の実施例は、図２に示された方法の実施例に対応しており、該装置は、具体的にサーバに適用することができる。

図４に示すように、本実施例のトラフィックを検出するための装置４００は、情報取得ユニット４０１と、判断ユニット４０２と、異常判定ユニット４０３とを備えてもよい。ここで、情報取得ユニットは、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するように構成されてもよい。判断ユニット４０２は、少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断するように構成されてもよい。異常判定ユニット４０３は、少なくとも２つの次元のトラフィック情報のうち対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在する場合、対象ＩＰのトラフィックが異常であると判定するように構成されてもよい。

本実施例において、トラフィックを検出するための装置４００の取得ユニット４０１は、対象ＩＰ（例えば、図１の電子機器１０１、１０２、１０３）の少なくとも２つの次元のトラフィック情報を取得し得る。ここで、対象ＩＰは、上記の実行主体によって管理されるＩＰの１つであり得る。トラフィック情報は、例えば、ビット／秒（ｂｉｔｓ ｐｅｒ ｓｅｃｏｎｄ）、パケット／秒（ｐａｃｋｅｔｓ ｐｅｒ ｓｅｃｏｎｄ）など、対象ＩＰのネットワーク状態を特徴づけることができる情報であり得る。

本実施例のいくつかの任意選択実施態様では、上記少なくとも２つの次元のトラフィック情報は、単位時間あたりに転送されるビット数（例えば、ビット／秒）、単位時間あたりに転送されるデータパケットの数（例えば、パケット数／秒）、単位時間あたりのリクエスト数（例えば、リクエスト数／秒）、単位時間あたりの接続数（例えば、接続数／秒）のうちの少なくとも２種を含んでもよい。

本実施例では、上記判断ユニット４０２は、前記少なくとも２つの次元のトラフィック情報をそれぞれ対応する次元の異常トラフィック閾値と比較して、前記少なくとも２つの次元のトラフィック情報のうち、対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判定することができる。ここで、特定の次元に対応する異常トラフィック閾値は、該次元のトラフィック情報が該次元の正常範囲内にあるかどうかを判定するために使用され、例えば１００Ｍｂｉｔ／ｓなどの事前設定された値であり得る。

本実施例において、前記少なくとも２つの次元のトラフィック情報のうちに、対応する次元の異常トラフィック閾値を超えたトラフィック情報があると判定された場合、前記異常判定ユニット４０３は、対象ＩＰのトラフィックが異常である（すなわち、対象ＩＰが攻撃されているか、又は攻撃される可能性がある）と判定できる。

本発明の前記実施例により提供されたトラフィックを検出するための装置は、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得し、前記少なくとも２つの次元のトラフィック情報のうち、対応する次元の閾値を超えたトラフィック情報が存在するかどうかを判断し、対応する次元の閾値を超えたトラフィック情報が存在する場合にトラフィックが異常であると判定することにより、異常トラフィックの検出率が向上された。

更に図５を参照すると、図３に示された方法の実施態様として、本発明は、トラフィックを検出するための装置の一実施例を提供し、該装置の実施例は、図３に示された方法の実施例に対応しており、該装置は、具体的にサーバに適用することができる。

図５に示すように、本実施例のトラフィックを検出するための装置５００には、情報収集ユニット５０１、削除ユニット５０２、閾値判定ユニット５０３、情報取得ユニット５０４、判断ユニット５０５及び異常判定ユニット５０６が含まれていてもよい。ここで、情報収集ユニット５０１は、対象ＩＰのトラフィック情報を周期的に収集するように構成されてもよい。削除ユニット５０２は、事前設定された範囲を超えた異常トラフィック情報を収集されたトラフィック情報から削除するように構成されてもよい。閾値確定ユニット５０３は、異常トラフィック情報が削除された後のトラフィック情報に基づいて対象ＩＰの異常トラフィック閾値を確定するように構成されてもよい。情報取得ユニット５０４は、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するように構成されてもよい。判断ユニット５０５は、少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断するように構成されてもよい。異常判定ユニット５０６は、少なくとも２つの次元のトラフィック情報のうち対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在する場合、対象ＩＰのトラフィックが異常であると判定するように構成されてもよい。

本実施例において、トラフィックを検出するための装置５００の情報収集ユニット５０１は、対象ＩＰのトラフィック情報を周期的に収集するように構成されてもよい。ここで、対象ＩＰは、上記の実行主体によって管理されるＩＰの１つであり得る。トラフィック情報は、例えば、ビット／秒（ｂｉｔｓ ｐｅｒ ｓｅｃｏｎｄ）、パケット／秒（ｐａｃｋｅｔｓ ｐｅｒ ｓｅｃｏｎｄ）など、対象ＩＰのネットワーク状態を特徴づけることができる情報であり得る。

本実施例のいくつかの任意選択実施態様では、前記情報収集ユニットは情報収集モジュール及び情報確定モジュールを含んでもよい。ここで、情報収集モジュールは、事前設定された頻度で対象ＩＰに対してトラフィックを収集するように構成されてもよい。情報確定モジュールは、毎回に収集されたサンプルデータについて、該サンプルデータの所在の区間範囲を確定し、その区間範囲内の事前設定された値を当回に収集されたトラフィック情報として確定するように構成されてもよい。

本実施例において、前記削除ユニット５０２は、前記情報収集ユニット５０１によって収集されたトラフィック情報から、事前設定された範囲を超えた異常トラフィック情報を削除する。前記情報収集ユニット５０１によって収集されたトラフィック情報のうち、異常なトラフィック情報（即ち、事前設定された範囲を超えたトラフィック情報）が含まれる可能性があるため、それを削除する必要がある。ここで、事前設定された範囲は、経験値に応じて予め設定された値であってもよいし、実行中に収集されたデータに応じて確定された値であってもよい。

本実施例のいくつかの任意選択実施態様では、事前設定された範囲は、第１の範囲と第２の範囲を含むことができる。第１の範囲は経験に応じて設定された固定の閾値であってもよく、第２の範囲は方法の実行中に確定された値であってもよく、第１の範囲は第２の範囲よりも大きい。

該実施態様に対応して、前記削除ユニット５０２は、第１の削除モジュール、範囲確定モジュール、及び第２の削除モジュールを含むことができる。ここで、第１の削除モジュールは、収集されたトラフィック情報から第１の範囲を超えた異常トラフィック情報を削除して、一次絞込後のトラフィック情報を得るように構成されてもよい。範囲確定モジュールは、一次絞込後のトラフィック情報に基づいて、第１の範囲よりも小さい第２の範囲を確定するように構成されてもよい。第２の削除モジュールは、一次絞込後のトラフィック情報から、第２の範囲を超えた異常トラフィック情報を削除するように構成されてもよい。

本実施例において、前記閾値確定ユニット５０３は、前記削除ユニット５０２によって得られたトラフィック情報を利用して対象ＩＰの異常トラフィック閾値を確定することができる。ここで、対象ＩＰの異常トラフィック閾値は、少なくとも２つの次元の異常トラフィック閾値を含み得る。特定の次元に対応する異常トラフィック閾値は、該次元のトラフィック情報が該次元の正常範囲内にあるかどうかを判断するために使用できる。

本実施例のいくつかの任意選択実施態様では、前記閾値確定ユニット５０３は、集合取得モジュール、範囲確定モジュール及び閾値確定モジュールを含んでもよい。ここで、集合取得モジュールは、現在の周期内に取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するように構成されてもよい。範囲確定モジュールは、集合内で事前設定された割合のトラフィック情報の所在の区間範囲を確定し、区間範囲の上限を基準閾値とするように構成されてもよい。閾値確定モジュールは、基準閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得するように構成されてもよい。

本実施例のいくつかの任意選択実施態様では、前記閾値確定ユニット５０３は、集合取得モジュール、範囲確定モジュール、修正モジュール及び閾値確定モジュールを含んでもよい。ここで、集合取得モジュールは、現在の周期と複数の履歴周期が含まれる複数の周期内で取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するように構成されてもよい。範囲確定モジュールは、各周期で取得されたトラフィック情報の集合について、該集合内で事前設定された割合のトラフィック情報の所在の区間範囲を確定し、確定された区間範囲の上限を該周期に対応する基準閾値とするように構成されてもよい。修正モジュールは、複数の周期に対応する基準閾値及び対応する重みに基づいて最終閾値を確定するように構成されてもよい。閾値確定モジュールは、最終閾値を所定倍率で増幅して、対象ＩＰの異常トラフィック閾値を取得するように構成されてもよい。

本実施例のいくつかの任意選択実施態様では、複数の周期の重みは、各周期の重みが同じであること、現在の周期から近い周期の重みが、現在の周期から遠い周期の重みよりも大きいこと、及び各周期の重みがトラフィック情報の安定度に基づいて確定されること、のいずれかによって確定され得る。

本実施例において、前記取得ユニット５０４は、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するように構成されてもよい。

本実施例では、前記判断ユニット５０５は、前記取得ユニット５０４によって取得された少なくとも２つの次元のトラフィック情報をそれぞれ対応する次元の異常トラフィック閾値と比較して、前記少なくとも２つの次元のトラフィック情報のうち、対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判定することができる。

本実施例において、前記少なくとも２つの次元のトラフィック情報のうちに、対応する次元の異常トラフィック閾値を超えたトラフィック情報があると判定された場合、前記異常判定ユニット５０６は、対象ＩＰのトラフィックが異常である（すなわち、対象ＩＰが攻撃されているか、又は攻撃される可能性がある）と判定できる。

図５から分かるように、本実施例におけるトラフィックを検出するための装置４００は、図４に対応する実施例と比較して、異常トラフィック閾値を確定するユニットが強調された。したがって、本実施例で説明される解決策は、対象ＩＰの異常トラフィック閾値を動的に調整することができ、それによって異常トラフィックをより正確に検出できる。さらに、異なるＩＰの履歴トラフィック情報を用いて異なるＩＰの異常トラフィック閾値を確定し、異なるＩＰのトラフィック異常を場合によって処理することで、異常トラフィックの偽陰性率と偽陽性率は低減された。

以下、本発明の実施例を実現するために適用される電子機器（例えば、図１に示す電子機器１０１、１０２、１０３）６００を示す構造概略図である図６を参照する。図６に示す電子機器は、あくまでも一例に過ぎず、本発明の実施例の機能及び使用範囲には如何なる制限をも与えない。

図６に示すように、電子機器６００は、読み出し専用メモリ（ＲＯＭ）６０２に格納されているプログラム又は記憶デバイス６０８からランダムアクセスメモリ（ＲＡＭ）６０３にロードされたプログラムによって様々な適当な動作及び処理を実行可能な処理デバイス（例えば、中央処理装置、グラフィックスプロセッサなど）６０１を含むことができる。ＲＡＭ６０３には、コンピュータシステム６００の動作に必要な各種のプログラム及びデータがさらに格納されている。処理デバイス６０１、ＲＯＭ６０２及びＲＡＭ６０３は、バス６０４を介して互いに接続されている。入力／出力（Ｉ／Ｏ）インターフェース６０５もバス６０４に接続されている。

例えば、キーボード、マウスなどを含む入力デバイス６０６、液晶ディスプレイ（ＬＣＤ）、スピーカなどを含む出力デバイス６０７、例えば、磁気テープ、ハードディスクなどを含む記憶デバイス６０８、及び通信デバイス６０９がＩ／Ｏインターフェース６０５に接続されてもよい。通信デバイス６０９により、コンピュータシステム６００は、データを交換するために他のデバイスと無線又は有線で通信することができる。図６は、様々なデバイスを有するコンピュータシステム６００を示しているが、図示されたデバイスのすべてを実装又は具備することが要求されないことを理解されたい。代替的に又はより多い又はより少ないデバイスが実装されてもよい。図６に示す各ブロックは、１つのデバイスを表すことも、必要に応じて複数のデバイスを表すこともできる。

特に、本発明の実施例によれば、上記のフローチャートを参照しながら記載されたプロセスは、コンピュータのソフトウェアプログラムとして実現されてもよい。例えば、本発明の実施例は、コンピュータ可読媒体に具現化されるコンピュータプログラムを含むコンピュータプログラム製品を備え、該コンピュータプログラムは、フローチャートで示される方法を実行するためのプログラムコードを含む。このような実施例では、該コンピュータプログラムは、通信デバイス６０９を介してネットワークからダウンロードされてインストールされることが可能であり、又は記憶デバイス６０８又はＲＯＭ６０２からインストールされ得る。該コンピュータプログラムが処理デバイス６０１によって実行されると、本発明の実施例の方法で限定された上記の機能を実行する。注意すべきなのは、本発明に記載されたコンピュータ可読媒体は、コンピュータ可読信号媒体又はコンピュータ可読記憶媒体、又はこれらの任意の組み合わせであってもよい。コンピュータ可読記憶媒体は、例えば、電気、磁気、光、電磁気、赤外線、又は半導体システム、装置もしくはデバイス、又はこれらの任意の組み合わせであってもよいが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例としては、１本又は複数の導線による電気的接続、ポータブルコンピュータディスク、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読取り専用メモリ（ＥＰＲＯＭもしくはフラッシュメモリ）、光ファイバ、ポータブルコンパクトディスク読取り専用メモリ（ＣＤ－ＲＯＭ）、光メモリ、磁気メモリ、又はこれらの任意の適切な組み合わせを含むことができるが、これらに限定されない。本発明の実施例において、コンピュータ可読記憶媒体は、命令実行システム、装置もしくはデバイスによって使用可能な、又はそれらに組み込まれて使用可能なプログラムを包含又は格納する任意の有形の媒体であってもよい。本発明の実施例において、コンピュータ可読信号媒体は、ベースバンド内の、又は搬送波の一部として伝搬されるデータ信号を含むことができ、その中にコンピュータ可読プログラムコードが担持されている。かかる伝搬されたデータ信号は、様々な形態をとることができ、電磁信号、光信号、又はこれらの任意の適切な組み合わせを含むが、これらに限定されない。コンピュータ可読信号媒体は、更にコンピュータ可読記憶媒体以外の任意のコンピュータ可読媒体であってもよい。当該コンピュータ可読媒体は、命令実行システム、装置もしくはデバイスによって使用されるか、又はそれらに組み込まれて使用されるプログラムを、送信、伝搬又は伝送することができる。コンピュータ可読媒体に含まれるプログラムコードは任意の適切な媒体で伝送することができ、当該任意の適切な媒体とは、電線、光ケーブル、ＲＦ（無線周波数）など、又はこれらの任意の適切な組み合わせを含むが、これらに限定されない。

該コンピュータ可読媒体は、前記デバイスに含まれるものであってもよく、該デバイスに実装されずに別体として存在するものであってもよい。前記コンピュータ可読媒体に１つ又は複数のプログラムが担持され、前記１つ又は複数のプログラムが該デバイスによって実行されるとき、対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するステップと、少なくとも２つの次元のトラフィック情報のうち、対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断するステップと、少なくとも２つの次元のトラフィック情報のうち対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在する場合、対象ＩＰのトラフィックが異常であると判定するステップと、を該デバイスに実行させる。

本発明の実施例の動作を実行するためのコンピュータプログラムコードは、１種以上のプログラミング言語、又はそれらの組み合わせで作成されることができ、前記プログラミング言語は、Ｊａｖａ、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語と、「Ｃ」言語又は同様のプログラミング言語などの従来の手続き型プログラミング言語とを含む。プログラムコードは、完全にユーザのコンピュータで実行されることも、部分的にユーザのコンピュータで実行されることも、単独のソフトウェアパッケージとして実行されることも、部分的にユーザのコンピュータで実行されながら部分的にリモートコンピュータで実行されることも、又は完全にリモートコンピュータもしくはサーバで実行されることも可能である。リモートコンピュータの場合、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）又はワイドエリアネットワーク（ＷＡＮ）を含む任意の種類のネットワークを介してユーザのコンピュータに接続することができ、又は（例えば、インターネットサービスプロバイダによるインターネットサービスを介して）外部のコンピュータに接続することができる。

図面のうちのフローチャート及びブロック図は、本発明の様々な実施例に係るシステム、方法及びコンピュータプログラム製品によって実現できるアーキテクチャ、機能及び動作の表示例である。これについては、フローチャート又はブロック図における各ブロックは、モジュール、プログラムセグメント、又はコードの一部を表すことができる。当該モジュール、プログラムセグメント、又はコードの一部には、所定のロジック機能を実現するための１つ又は複数の実行可能命令が含まれている。さらに注意すべきなのは、一部の代替となる実施態様においては、ブロックに示されている機能は図面に示されているものとは異なる順序で実行することも可能である。例えば、連続して示された２つのブロックは、実際には係る機能に応じて、ほぼ並行して実行されてもよく、時には逆の順序で実行されてもよい。さらに注意すべきなのは、ブロック図及び／又はフローチャートにおけるすべてのブロック、ならびにブロック図及び／又はフローチャートにおけるブロックの組み合わせは、所定の機能又は操作を実行する専用のハードウェアベースのシステムで実現することもできれば、専用のハードウェアとコンピュータ命令との組み合わせで実現することもできる。

本発明の実施例に記載された手段は、ソフトウェアで実現されてもよく、ハードウェアで実現されてもよい。記載されたユニットは、プロセッサに設定されてもよく、例えば、「情報取得ユニットと、判断ユニットと、異常確定ユニットとを備えるプロセッサ」というように記載されてもよい。ここで、これらのユニットの名称は、ある場合において当該ユニットその自体を限定するものではなく、例えば、情報取得ユニットは、「対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するユニット」として記載されてもよい。

以上の記載は、本発明の好ましい実施例、及び使用された技術的原理に関する説明に過ぎない。当業者であれば、本発明に係る発明の範囲が、上記の技術的特徴の特定の組み合わせからなる解決策に限定されるものではなく、上記の本発明の趣旨を逸脱しない範囲で、上記の技術的特徴又はそれらの同等の特徴の任意の組み合わせからなる他の解決策も含むべきであることを理解すべきである。例えば、上記の特徴と、本発明に開示された類似の機能を持っている技術的特徴（これらに限定されていない）とを互いに置き換えてなる技術案が挙げられる。

Claims (11)

1. トラフィックを検出するための方法であって、
   対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するステップと、
   取得された前記対象ＩＰの前記少なくとも２つの次元のトラフィック情報から、事前設定された範囲を超えた異常トラフィック情報を削除するステップと、
   異常トラフィック情報が削除された後の前記トラフィック情報に基づいて前記対象ＩＰの対応する次元の異常トラフィック閾値を確定するステップと、
   異常トラフィック情報が削除された後の前記トラフィック情報のうち、前記異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断するステップと、
   異常トラフィック情報が削除された後の前記トラフィック情報のうち、前記異常トラフィック閾値を超えたトラフィック情報が存在する場合、前記対象ＩＰのトラフィックが異常であると判定するステップと、
   を含み、
   前記異常トラフィック情報が削除された後の前記トラフィック情報に基づいて前記対象ＩＰの対応する次元の異常トラフィック閾値を確定するステップは、
   現在の周期内に取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するステップと、
   前記集合内における事前設定された割合のトラフィック情報の所在の区間範囲を確定し、前記区間範囲の上限を基準閾値とするステップと、
   前記基準閾値を所定倍率で増幅して、前記対象ＩＰの前記異常トラフィック閾値を取得するステップであって、前記所定倍率は１を超える整数であるステップと、を含むトラフィックを検出するための方法。
2. 前記少なくとも２つの次元のトラフィック情報は、
   単位時間あたりに転送されるビット数、単位時間あたりに転送されるデータパケット数、単位時間あたりのリクエスト数、及び単位時間あたりの接続数のうちの少なくとも２種を含む請求項１に記載の方法。
3. 前記少なくとも２つの次元のトラフィック情報のうち、前記対象ＩＰの対応する次元の異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断する前に、前記方法は、
   前記対象ＩＰのトラフィック情報を周期的に収集するステップを更に含む請求項１に記載の方法。
4. 前記対象ＩＰのトラフィック情報を周期的に収集するステップは、
   事前設定された頻度で前記対象ＩＰに対してトラフィックを収集するステップと、
   毎回に収集されたサンプルデータについて、該サンプルデータの所在の区間範囲を確定し、その区間範囲内の事前設定された値を当回に収集されたトラフィック情報として確定するステップと、
   を含む請求項３に記載の方法。
5. 前記の、取得された前記対象ＩＰの前記少なくとも２つの次元のトラフィック情報から、事前設定された範囲を超えた異常トラフィック情報を削除するステップは、
   前記少なくとも２つの次元のトラフィック情報から第１の範囲を超えた異常トラフィック情報を削除して、一次絞込後のトラフィック情報を得るステップと、
   一次絞込後のトラフィック情報に基づいて、前記第１の範囲よりも小さい第２の範囲を確定するステップと、
   一次絞込後のトラフィック情報から、前記第２の範囲を超えた異常トラフィック情報を削除するステップと、
   を含む請求項１に記載の方法。
6. 前記異常トラフィック情報が削除された後の前記トラフィック情報に基づいて前記対象ＩＰの対応する次元の異常トラフィック閾値を確定するステップは、
   現在の周期と複数の履歴周期が含まれる複数の周期内で取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するステップと、
   各周期で取得されたトラフィック情報の集合について、該集合内で事前設定された割合のトラフィック情報の所在の区間範囲を確定し、確定された区間範囲の上限を該周期に対応する基準閾値とするステップと、
   前記複数の周期に対応する基準閾値及び対応する重みに基づいて最終閾値を確定するステップと、
   前記最終閾値を所定倍率で増幅して、前記対象ＩＰの前記異常トラフィック閾値を取得するステップと、
   を含む請求項１に記載の方法。
7. 前記複数の周期の重みは、
   各周期の重みが同じであること、
   現在の周期から近い周期の重みが、現在の周期から遠い周期の重みよりも大きいこと、及び
   各周期の重みがトラフィック情報の安定度に基づいて確定されること、
   のいずれかに応じて確定される請求項６に記載の方法。
8. ネットワークトラフィックを検出するための装置であって、
   対象ＩＰの少なくとも２つの次元のトラフィック情報を取得するように構成される情報取得ユニットと、
   取得された前記対象ＩＰの前記少なくとも２つの次元のトラフィック情報から、事前設定された範囲を超えた異常トラフィック情報を削除するように構成される異常トラフィック情報削除ユニットと、
   異常トラフィック情報が削除された後の前記トラフィック情報に基づいて前記対象ＩＰの対応する次元の異常トラフィック閾値を確定するように構成される異常トラフィック閾値確定ユニットと、
   異常トラフィック情報が削除された後の前記トラフィック情報のうち、前記異常トラフィック閾値を超えたトラフィック情報が存在するかどうかを判断するように構成される判断ユニットと、
   異常トラフィック情報が削除された後の前記トラフィック情報のうち、前記異常トラフィック閾値を超えたトラフィック情報が存在する場合、前記対象ＩＰのトラフィックが異常であると判定するように構成される異常判定ユニットと、
   を含み、
   前記異常トラフィック閾値確定ユニットはさらに、
   現在の周期内に取得された、異常トラフィック情報が削除された後のトラフィック情報の集合を取得するステップと、
   前記集合内における事前設定された割合のトラフィック情報の所在の区間範囲を確定し、前記区間範囲の上限を基準閾値とするステップと、
   前記基準閾値を所定倍率で増幅して、前記対象ＩＰの前記異常トラフィック閾値を取得するステップであって、前記所定倍率は１を超える整数であるステップと、
   を行うように構成されるネットワークトラフィックを検出するための装置。
9. １つ又は複数のプロセッサと、１つ又は複数のプログラムが格納されている記憶デバイスと、を備える電子機器であって、
   前記１つ又は複数のプログラムが前記１つ又は複数のプロセッサによって実行されると、前記１つ又は複数のプロセッサに請求項１～７のいずれか一項に記載の方法を実現させる、電子機器。
10. コンピュータプログラムが格納されているコンピュータ可読媒体であって、
    該プログラムがプロセッサによって実行されると、請求項１～７のいずれか一項に記載の方法を実現することを特徴とするコンピュータ可読媒体。
11. コンピュータプログラムであって、
    前記コンピュータプログラムがプロセッサにより実行されると、請求項１～７のいずれか一項に記載の方法を実現する、コンピュータプログラム。

Images