(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211276711.2 (22)申请日 2022.10.19 (71)申请人 中孚安全技 术有限公司 地址 250101 山东省济南市高新区经十路 7000号汉峪金谷A1- 5号楼24层 (72)发明人 王琦博　熊英超　马衍硕　刘长秋　 (74)专利代理 机构 济南圣达知识产权代理有限 公司 372 21 专利代理师 张庆骞 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 基于访问基线的主机异常流量检测方法、 系 统及设备 (57)摘要 本发明属于流量检测技术领域， 为了解决基 于深度学习方法提取出的特征有效性差， 影响流 量异常检测的效率的问题， 提供了一种基于访问 基线的主机异常流量检测方法、 系统及设备。 其 中， 该方法包括获取预设时间段内主机访问数 据， 并基于定量分析基线和定性 分析基线分别对 应进行定量分析和定性分析； 其中， 定量分析基 线和定性分析基线是基于设定历史时间段内的 主机访问数据而构建的； 基于定量分析和定性分 析两者的结果来判定主机流量的异常性： 若定量 分析和定性分析两者中存在任一者判定主机访 问数据为异常流量， 则认定存在主机异常流量。 其可在多维度、 多场景， 并根据不同筛选条件确 定基线， 具有检测准确度更高、 覆 盖场景多、 基线 确定精确的优点。 权利要求书2页 说明书7页 附图3页 CN 115361231 A 2022.11.18 CN 115361231 A 1.一种基于访问基线的主机异常流 量检测方法， 其特 征在于， 包括： 获取预设时间段内主机访问数据， 并基于定量分析基线和定性分析基线分别对应进行 定量分析和定性分析； 其中， 定量分析基线和定性分析基线是基于设定历史时间段内的主 机访问数据而构建的； 基于定量分析和定性分析两者的结果来判定主机流量的异常性： 若定量分析和定性分 析两者中存在任一 者判定主机访问数据为异常流 量， 则认定存在主机异常流 量。 2.如权利要求1所述的基于访问基线的主机异常流量检测方法， 其特征在于， 在基于定 量分析基线进行定量分析 的过程中， 对主机访问数据进行聚合和分组之后， 判断是否落在 定量分析基线的误差区间内， 若落在误差区间外， 则被判定为异常流 量。 3.如权利要求2所述的基于访问基线的主机异常流量检测方法， 其特征在于， 定量分析 基线的误差区间为[平均值 ‑标准差,平均值+标准差]。 4.如权利要求2或3所述的基于访 问基线的主机异常流量检测方法， 其特征在于， 在确 定定量分析基线的误差区间之前进行噪音数据排除处 理。 5.如权利要求1所述的基于访问基线的主机异常流量检测方法， 其特征在于， 所述定性 分析基线为基于主机访问数据预先训练的定性分析模型， 若定性分析模型预测结果为异常 场景， 则被判定为异常流 量。 6.如权利要求5所述的基于访问基线的主机异常流量检测方法， 其特征在于， 所述异常 场景包括： 主机进 行非正常时间访问； 主机进行非正常端口访问； 主机访问其他用户终端开 启的服务； 主机访问未知设备； 以及主机越过堡 垒机直接运维。 7.一种基于访问基线的主机异常流 量检测系统， 其特 征在于， 包括： 定量及定性分析模块， 其用于获取预设时间段内主机访 问数据， 并基于定量分析基线 和定性分析基线分别对应进行定量分析和定性分析； 其中， 定量分析基线和定性分析基线 是基于设定历史时间段内的主机访问数据而构建的； 异常流量判断模块， 其用于基于定量分析和定性分析两者的结果来判定主机流量的异 常性： 若定量分析和定性分析两者中存在任一者判定主机访问数据为异常流量， 则认定存 在主机异常流 量。 8.如权利要求7所述的基于访问基线的主机异常流量检测系统， 其特征在于， 在所述定 量及定性分析模块中， 在基于定量分析基线进行定量分析 的过程中， 对主机访问数据进行 聚合和分组之后， 判断是否落在定量分析基线的误差区间内， 若落在误差区间外， 则被判定 为异常流 量。 9.一种基于访问基线的主机异常流量检测系统， 其特征在于， 包括前端服务器、 后台接 口服务器、 数据库服 务器、 模型训练服 务器及模型检测服 务器； 所述前端服务器用于接收页面访 问请求； 所述数据库服务用于存储主机访 问数据； 所 述模型训练服务器， 用于对定性分析模型进 行训练并经后台接口服务器传送至模型检测服 务器； 所述模型检测 服务器用于基于定性分析基线对主机访问数据进行定性分析； 所述定 性分析基线为基于主机访问数据预 先训练的定性分析模型； 所述后台接口服务器， 用于调用数据库服务器并基于定量分析基线进行定量分析， 将 模型训练服 务器或模型检测服 务器的返回结果传送到前端服 务器。 10.一种计算机设备， 包括存储器、 处理器及存储在存储器上并可在处理器上运行的计权　利　要　求　书 1/2 页 2 CN 115361231 A 2算机程序， 其特征在于， 所述处理器执行所述程序时实现如权利要求 1‑6中任一项 所述的基 于访问基线的主机异常流 量检测方法中的步骤。权　利　要　求　书 2/2 页 3 CN 115361231 A 3