(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111679385.5 (22)申请日 2021.12.31 (71)申请人 深信服科技股份有限公司 地址 518055 广东省深圳市南 山区学苑大 道1001号南山智园A1栋一层 (72)发明人 胡晓晟　刘东　兰家旺　刘宇豪　 (74)专利代理 机构 深圳市深佳知识产权代理事 务所(普通 合伙) 44285 代理人 林志鹏 (51)Int.Cl. H04L 9/40(2022.01) H04L 41/142(2022.01) (54)发明名称 一种异常流量检测方法、 系统、 存储介质和 终端 (57)摘要 本申请提供一种异常流量检测方法， 包括： 获取流量日志； 解析流量日志， 得到包含value值 的键值对序列； 对键值对序列进行枚举检测， 得 到枚举检测结果； 对键值对序列进行value值长 度检测， 得到长度检测结果； 对键值对序列进行 乱码分布检测， 得到乱码检测结果； 利用预设概 率统计模型预测键值对序列中value值的概率， 得到所述键值对序列的参数预测概率； 若枚举检 测结果、 长度检测结果、 乱码检测结果和参数预 测概率中存在异常值， 确定流量日志存在异常。 本申请能够有效的检测出异常攻击流量， 降低误 报率， 显著提高对异常攻击流量的检测能力。 本 申请还提供一种异常流量检测系统、 计算机可读 存储介质和终端， 具有上述有益效果。 权利要求书2页 说明书8页 附图2页 CN 114363061 A 2022.04.15 CN 114363061 A 1.一种异常流 量检测方法， 其特 征在于， 包括： 获取流量日志； 解析所述流量日志， 得到包 含value值的键值对序列； 对所述键值对序列进行枚举 检测， 得到枚举 检测结果； 对所述键值对序列进行value值长度检测， 得到 长度检测结果； 对所述键值对序列进行乱码分布检测， 得到乱码检测结果； 利用预设概率统计模型预测所述键值对序列中所述value值的概率， 得到所述键值对 序列的参数 预测概率； 若所述枚举检测结果、 所述长度检测结果、 所述乱码检测结果和所述参数预测概率中 存在异常值， 确定所述 流量日志存在异常。 2.根据权利要求1所述的异常流量检测方法， 其特征在于， 对所述键值对序列进行枚举 检测， 得到枚举 检测结果包括： 判断所述键值对序列中的所有value值是否均落在预设枚举样本集 合； 若是， 确认枚举 检测结果 正常； 若否， 确认枚举 检测结果异常。 3.根据权利要求1所述的异常流量检测方法， 其特征在于， 对所述键值对序列进行 value值长度检测， 得到 长度检测结果包括： 利用长度检测模型对所述键值对的value值长度进行分布检测， 得到 键值长度分布； 若所述键值长度分布偏离正常业务流量对应的标准键值长度分布， 确定所述流量日志 存在长度异常。 4.根据权利要求3所述的异常流量检测方法， 其特征在于， 确定所述流量日志存在长度 异常之前， 还 包括： 利用切比雪夫不 等式确定正常键值对的长度阈值区间； 根据所述长度阈值区间确定正常业 务流量对应的所述标准键值长度分布。 5.根据权利要求3所述的异常流量检测方法， 其特征在于， 利用长度检测模型对所述键 值对的value值长度进行分布检测， 得到 键值长度分布包括： 利用长度检测模型计算所述键值对的平均长度和标准差； 根据所述键值对中value值的实际长度、 所述平均长度和所述标准差， 得到键值长度分 布。 6.根据权利要求1所述的异常流量检测方法， 其特征在于， 对所述键值对序列进行乱码 分布检测， 得到乱码检测结果包括： 构建乱码先验分布； 确定所述键值对序列的真实分布； 计算所述乱码先验分布和所述真实分布之间的距离； 若所述距离超过阈值， 确定所述键值对序列存在乱码。 7.根据权利要求1所述的异常流量检测方法， 其特征在于， 利用预设概率统计模型预测 所述键值对序列中所述value值的概率， 得到所述键值对序列的参数预测概率之前， 还包 括： 基于所述隐马尔可夫模型对所述键值对序列建模， 并配置N ‑Gram算法， 得到预设概率权　利　要　求　书 1/2 页 2 CN 114363061 A 2统计模型； 则相应的， 所述利用预设概率统计模型预测所述键值对序列中所述value值的概率， 得 到所述键值对序列的参数 预测概率包括： 利用所述预设概 率统计模型 预测所述键值对序列中目标键值对的预测value值； 若所述预测value值与键值对实际value值的差值小于预设阈值区间， 确认所述目标键 值对预测成功； 统计所述键值对序列中value值预测 成功的概率， 得到所述键值对序列的参数预测概 率。 8.一种异常流 量检测系统， 其特 征在于， 包括： 日志获取模块， 用于获取流 量日志； 日志解析模块， 用于解析 所述流量日志， 得到包 含value值的键值对序列； 枚举检测模块， 用于对所述键值对序列进行枚举 检测， 得到枚举 检测结果； 长度检测模块， 用于对所述键值对序列进行value值长度检测， 得到 长度检测结果； 乱码检测模块， 用于对所述键值对序列进行乱码分布检测， 得到乱码检测结果； 概率预测模块， 用于利用预设概率统计模型预测所述键值对序列中所述value值的概 率， 得到所述键值对序列的参数 预测概率； 异常定位模块， 用于若所述枚举检测结果、 所述长度检测结果、 所述乱码检测结果和所 述参数预测概率中存在异常值， 确定所述 流量日志存在异常。 9.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序被 处理器执行时实现如权利要求1 ‑7任一项所述的异常流 量检测方法的步骤。 10.一种终端， 其特征在于， 包括存储器和处理器， 所述存储器中存有计算机程序， 所述 处理器调用所述存储器中的计算机程序时实现如权利要求 1‑7任一项所述的异常流量检测 方法的步骤。权　利　要　求　书 2/2 页 3 CN 114363061 A 3