(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111461622.0 (22)申请日 2021.12.02 (71)申请人 湖北天融信网络安全技 术有限公司 地址 430040 湖北省武汉市临 空港经济技 术开发区五环大道6 66号(21) 申请人 北京天融信网络安全技 术有限公司 　 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 刘盈　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 李飞 (51)Int.Cl. H04L 9/40(2022.01) G06K 9/62(2022.01) (54)发明名称 一种异常流量检测方法、 装置、 电子设备及 存储介质 (57)摘要 本申请实施例提供一种异常流量检测方法、 装置、 电子设备及存储介质， 涉及网络安全技术 领域。 该方法包括提取待检测流量的第一特征向 量； 依次计算所述第一特征向量与预设的恶意流 量的特征向量库中的第二特征向量之间的相似 度， 以得到相似度集合； 根据所述相似度集合判 断所述待检测流量是否为异常流量， 不需要解码 或解密， 保留原始的流量特征， 通过提取恶意流 量特征建立特征库的方法， 能够较准确的检测出 异常流量， 解决了现有 方法检测较为耗时且检测 结果准确性较低的问题。 权利要求书2页 说明书7页 附图2页 CN 114124563 A 2022.03.01 CN 114124563 A 1.一种异常流 量检测方法， 其特 征在于， 所述方法包括： 提取待检测流 量的第一特 征向量； 依次计算所述第一特征向量与预设的恶意流量的特征向量库中的第二特征向量之间 的相似度， 以得到相似度集 合； 根据所述相似度集 合判断所述待检测流 量是否为异常流 量。 2.根据权利要求1所述的异常流量检测方法， 其特征在于， 在所述依次计算所述第 一特 征向量与预设的特征向量库中的第二特征向量之间的相似度 的步骤之前， 所述方法还包 括： 提取恶意 流量的第二特 征向量， 以构建特 征向量库。 3.根据权利要求2所述的异常流量检测方法， 其特征在于， 所述提取异常流量的第 二特 征向量， 以构建特 征向量库， 包括： 提取所述恶意流量的地址信息、 首部字段特征和主体特征， 以构 成第二特征向量， 所述 地址信息包括源地址、 目标地址、 源端口、 目标端口、 相对URL长度、 相对URL处理值、 查询参 数的个数、 参数值明文个数、 参数值编码个数、 参数值加密个数、 参数值压缩个数和参数值 长度总和。 4.根据权利要求3所述的异常流量检测方法， 其特征在于， 所述提取所述恶意流量的首 部字段特征， 包括： 获取首部字段， 所述首部字段包括User ‑Agent、 Cookie、 Set ‑Cookie、 Content ‑Type、 X‑ Session、 HOST、 From和Co ntent‑Dispositi on； 基于所述首部 字段， 判断是否存在key＝value格式， 若无则记为0， 若 有则记为1； 获取值的长度， 若存在key＝value格式， 则值的长度即为value的长度， 若不存在， 则为 所述首部 字段的长度； 判断值是否经过编码、 加密或压缩处理或是明文， 若是明文则记为0， 编码记为1， 加密 记为2， 压缩记为3 。 5.根据权利要求3所述的异常流量检测方法， 其特征在于， 所述提取所述恶意流量的主 体特征， 包括： 判断是否存在key＝value格式， 若无则记为0， 若 有则记为1； 判断主体内容是否经过编码、 加密、 压缩处理或是明文， 若是明文则记为0， 编码记为1， 加密记为2， 压缩记为3 。 6.根据权利要求1所述的异常流量检测方法， 其特征在于， 所述根据所述相似度集合判 断所述待检测流 量是否为异常流 量， 包括： 获取所述相似度集 合中的最大值； 将所述最大值与预设阈值进行比较； 若所述最大值大于所述预设阈值， 则所述待检测流 量为异常流 量。 7.根据权利要求1所述的异常流 量检测方法， 其特 征在于， 所述方法还 包括： 若所述待检测流量的判断结果为异常流量且判定结果有效， 则将所述待检测流量的第 一特征向量加入所述特 征向量库。 8.一种异常流 量检测装置， 其特 征在于， 所述装置包括： 提取模块， 用于提取待检测流 量的第一特 征向量；权　利　要　求　书 1/2 页 2 CN 114124563 A 2计算模块， 用于依次计算所述第 一特征向量与 预设的特征向量库中的第 二特征向量之 间的相似度， 以得到相似度集 合； 判断模块， 用于根据所述相似度集 合判断所述待检测流 量是否为异常流 量。 9.一种电子设备， 其特征在于， 所述电子设备包括存储器以及处理器， 所述存储器用于 存储计算机程序， 所述处理器运行所述计算机程序以使所述电子设备执行根据权利要求1 至7中任一项所述的异常流 量检测方法。 10.一种可读存储介质， 其特征在于， 所述可读存储介质中存储有计算机程序指令， 所 述计算机程序指 令被一处理器读取并运行时， 执行权利要求 1至7任一项 所述的异常流量检 测方法。权　利　要　求　书 2/2 页 3 CN 114124563 A 3