流量异常检测方法、装置、电子设备和存储介质.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN113890840A(43)申请公布日2022.01.04(21)申请号202111155013.2(22)申请日2021.09.29(71)申请人深信服科技股份有限公司地址518055广东省深圳市南山区学苑大道1001号南山智园A1栋(72)发明人李德方陈晓帆(74)专利代理机构北京派特恩知识产权代理有限公司11270代理人贾伟张颖玲(51)Int.Cl.H04L43/0823(2022.01)H04L43/16(2022.01)H04L43/50(2022.01)G06F16/22(2019.01)权利要求书2页说明书16页附图6页(54)发明名称流量异常检测方法、装置、电子设备和存储介质(57)摘要本发明实施例提供了一种流量异常检测方法、装置、电子设备和计算机存储介质，该方法包括：根据至少一个数据流中每个数据流的标识信息，确定至少一个数据流的属性信息在散列的数据结构中存储的目标位置；确定至少一个数据流的属性信息，并在目标位置存储至少一个数据流的属性信息；根据至少一个数据流的属性信息，确定待检测数据流的大小的估计值，待检测数据流为所述至少一个数据流中的数据流；根据待检测数据流的大小的估计值，对待检测数据流进行异常检测。CN113890840ACN113890840A权利要求书1/2页1.一种流量异常检测方法，其特征在于，所述方法包括：根据至少一个数据流中每个数据流的标识信息，确定所述至少一个数据流的属性信息在散列的数据结构中存储的目标位置；确定所述至少一个数据流的属性信息，并在所述目标位置存储所述至少一个数据流的属性信息；根据所述至少一个数据流的属性信息，确定待检测数据流的大小的估计值，所述待检测数据流为所述至少一个数据流中的数据流；根据所述待检测数据流的大小的估计值，对所述待检测数据流进行异常检测。2.根据权利要求1所述的方法，其特征在于，所述根据至少一个数据流中每个数据流的标识信息，确定所述至少一个数据流的属性信息在散列的数据结构中存储的目标位置，包括：采用多个哈希函数对所述至少一个数据流中每个数据流的标识信息进行哈希映射，确定在散列的数据结构存储所述每个数据流的属性信息的多个桶的位置，将所述多个桶的位置作为所述目标位置；所述根据所述至少一个数据流的属性信息，确定待检测数据流的大小的估计值，包括：根据所述至少一个数据流的属性信息，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值；根据所述待检测数据流的大小的多个初步估计值，确定所述待检测数据流的大小的估计值。3.根据权利要求2所述的方法，其特征在于，所述根据所述至少一个数据流的属性信息，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值，包括：根据所述至少一个数据流的属性信息，确定所述多个桶中的候选异常数据流的大小的估计值；根据所述多个桶中的候选异常数据流的大小的估计值，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值。4.根据权利要求3所述的方法，其特征在于，所述根据所述至少一个数据流的属性信息，确定所述多个桶中的候选异常数据流的大小的估计值，包括：根据所述至少一个数据流的属性信息，得到所述多个桶中每个桶的数据流的大小的值的总和；针对所述多个桶中的每个桶，确定所述每个桶对应的候选异常数据流；所述每个桶对应的候选异常数据流的大小大于所述每个桶的数据流的大小的值的总和的一半；确定所述每个桶对应的候选异常数据流的大小的估计值。5.根据权利要求3所述的方法，其特征在于，所述根据所述多个桶中的候选异常数据流的大小的估计值，在所述待检测数据流对应的多个桶中，分别确定所述待检测数据流的大小的多个初步估计值，包括：针对所述多个桶中的每个桶，确定所述每个桶中候选异常数据流的大小的偏高估计值和所述每个桶中正常数据流的大小的估计值；所述偏高估计值大于所述候选异常数据流的大小的估计值，所述正常数据流表示所述至少一个数据流中除所述候选异常数据流外的其2CN113890840A权利要求书2/2页它数据流；根据所述每个桶中候选异常数据流的大小的偏高估计值和所述每个桶中正常数据流的大小的估计值，确定所述每个桶中所述待检测数据流的大小的初步估计值。6.根据权利要求5所述的方法，其特征在于，所述确定所述每个桶中候选异常数据流的大小的偏高估计值，包括：针对所述多个桶中的每个桶，所述每个桶中候选异常数据流的大小的偏高估计值等于每个桶的数据流的大小的值的总和与每个桶中的候选异常数据流的大小的估计值的和的一半。7.根据权利要求5所述的方法，其特征在于，所述确定所述每个桶中正常数据流的大小的估计值，包括：针对所述多个桶中的每个桶，所述每个桶中正