一种业务互联关系审计方法和系统

摘要

本发明一种业务互联关系审计方法和系统包括：通过流量镜像采集虚拟交换和实体交换机中的原始流量数据。根据原始流量数据构建业务流信息数据协议AppFlow。对业务流信息数据协议AppFlow持续计算以构建业务互联通讯对列表list；当业务互联通讯对的数量超过第一阈值时，对业务互联通讯对list进行压缩。根据压缩后的业务互联通讯对list构建特征值基线，基于特征值基线判断增加的新的业务互联通讯对是否为异常互联；如果是异常互联，则进行异常互联报警；如果是正常互联，则更新特征值基线。基于异常互联告警的次数和严重等级获得业务互联指数，作为业务互联的整体审计指标。通过本发明的方案，能够在复杂多变的云环境下，提供全面、可靠的信息安全防护。

说明书

技术领域

本发明涉及信息安全领域，尤其涉及一种业务互联关系审计方法和系统。

背景技术

在当前信息建设过程中，对云计算技术关注度越来越高，当前大量企业网络环境已经进入了云环境时代。云计算通过网络将大量的计算和存储资源连接起来，进行统一的管理和调度，按需提供服务。使用者只需通过网络访问就可以获取存储空间、计算能力或应用系统。然而云计算却对网络安全防护提出了严重的挑战。云计算数据中心网络的扁平化和高速化需求，使传统多层数据中心网络逐渐向平面网络架构过渡，平面网络架构使用基于数据流、非拦截、最短路径结构来最大限度地提升网络性能，随之安全域也没有清晰的物理边界。

过去，传统模式下的信息安全防护解决方案中，最重要的一点就是建立网络边界，区分信任域和非信任域，然后在网络边界用网关进行访问控制和安全防御。在虚拟化时代，同一个主机上的虚拟系统互相访问则不会经过这些过时的网关设备。再有，传统物理时代能够用“拔网线”这样的手段立即中止网络形式的病毒爆发，在虚拟化时代这样的策略已经是不符合新的系统形态。而且边界式的防护在云计算时代也随着边界定义模糊、消失而不再适用。传统信息安全防护体系在云计算时代面临重大的挑战。

同时，在云环境下，企业业务的复杂度越来越高，变化频率也越来越快，因此传统的边界防护策略难以凑效，基于业务互联关系分析技术更加适应复杂的云环境。

传统的安全审计往往基于网络环境中的各类设备的syslog日志实现，由于syslog日志信息本身的全面性和可靠性较差，因此，在复杂多变的云环境下，必须有新的技术来应对这种局面。

发明内容

为了解决上述问题，本发明提出了一种业务互联关系审计方法和系统，能够在复杂多变的云环境下，提供全面、可靠的信息安全防护。

为了达到上述目的，本发明提出了一种业务互联关系审计方法，该方法包括：

通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据。

根据原始流量数据构建业务流信息数据协议AppFlow。

对业务流信息数据协议AppFlow进行持续计算，以二元组形式构建业务互联通讯对列表list，二元组包括客户端网间互联协议IP、服务端IP；当业务互联通讯对list中的业务互联通讯对的数量超过预定的第一阈值时，采用压缩算法对业务互联通讯对list进行压缩处理。

根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线。

以固定的时间周期统计全网异常互联情况，基于异常互联告警的次数和严重等级获得业务互联指数，业务互联指数作为业务互联的整体审计指标，审计指标的计算公式为：

$\mathrm{AI}=\left(\frac{\underset{1}{\overset{5}{\Sigma }}\mathrm{PRI}*N_i}{N}\right)*(\frac{2}{\pi }*\mathrm{arctg}\left(\frac{N}{50}\right))$

其中，N是本时间周期内所述异常互联告警的总数；PRI为异常互联告警的严重等级，PRI为正整数，取值范围1-5；Ni为每一个严重等级下异常互联告警的数量。

优选地，通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据是指：

采用多路并行采集技术同时采集云环境下虚拟交换机和实体交换机的端 口镜像流量，端口镜像流量数据包括：主机内虚拟机流量信息、主机间虚拟机流量信息和虚拟机到实体主机之间的流量信息。

优选地，根据原始流量数据构建业务流信息数据协议AppFlow包括以下步骤：

对原始流量数据的原始流量数据报文进行业务应用协议识别并进行五元组标记，五元组包括：客户端IP、服务端IP、客户端端口、服务端端口和应用协议。

对五元组标记后的原始流量数据报文进行分组，对分组后的各组原始流量数据报文间隔性地实施汇总统计计算，构建业务流信息数据协议AppFlow；其中，每两次汇总统计计算之间的时间间隔相等。

优选地，

该时间间隔为20秒。

业务流信息数据协议AppFlow的格式为：

AppFlow采用主动式数据推送机制和用户数据包协议UDP协议。

AppFlow封装格式为1个标头Header和多个记录Record。

其中，所述Header的格式为：

版本号Version：所处位置为Header，字段长度为2Bytes，OffSet＝0；

报文中Record个数Count：所处位置为Header，字段长度为2Bytes，OffSet＝2；

报文生成时间SystemTime：所处位置为Header，字段长度为4Bytes，OffSet＝4。

其中，所述Record的格式为：

源IP SrcIp：所处位置为Record，字段长度为4Bytes，OffSet＝0；

目的IP DstIp：所处位置为Record，字段长度为4Bytes，OffSet＝4；

源端口SrcPort：所处位置为Record，字段长度为2Bytes，OffSet＝8；

目的端口DstPort：所处位置为Record，字段长度为2Bytes，OffSet＝10；

四层协议Protocol_L4：所处位置为Record，字段长度为1Bytes，OffSet＝12；

应用层协议Protocol_App：所处位置为Record，字段长度为1Bytes， OffSet＝13；

流入索引If_in：所处位置为Record，字段长度为2Bytes，OffSet＝16；

流出索引Protocol_App：所处位置为Record，字段长度为2Bytes，OffSet＝16；

包数Count_Packet：所处位置为Record，字段长度为4Bytes，OffSet＝18；

字节数Count_Byte：所处位置为Record，字段长度为4Bytes，OffSet＝22；

开始时间Start_Time：所处位置为Record，字段长度为4Bytes，OffSet＝26；

结束时间End_Time：所处位置为Record，字段长度为4Bytes，OffSet＝30。

优选地，

该方法还包括：实时监测业务互联通讯对，发现新的业务互联通讯对时，实时更新所述业务互联通讯对list。

第一阈值为10万个。

采用压缩算法对list进行压缩处理是指：将客户端IP同属于第一网段以及服务端IP同属于第二网段的多个业务互联通讯对合并为一个，合并后的业务互联通讯对表示第一网段到第二网段的业务互联通讯对。

优选地，根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线是指：

依据包括通讯次数、字节流量、应用协议主成分的聚类特征三元组，采用平衡迭代削减聚类法将压缩后的业务互联通讯对list分为多个群组group；将多个group中的各个group内的业务互联通讯对的平均通讯频次和平均通讯字节流速作为该group的特征值基线，当该group内增加一个或多个新的所述业务互联通讯对时，将新的业务互联通讯对的通讯频次和通讯字节流速与该group的特征值基线相比较，当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度大于预定的第二阈值时，将一个或多个新的业务互联通讯对确定为异常互联，并进行异常互联告警；当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度小于或等于第二阈值 时，将一个或多个新的业务互联通讯对确定为正常互联，并依据一个或多个新的业务互联通讯对的通讯频次和通讯字节流速对该group的特征值基线进行更新。

本发明还提出了一种业务互联关系审计系统，该系统包括：采集模块、第一构建模块、第二构建模块、判定模块以及计算模块。

采集模块，用于通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据。

第一构建模块，用于根据原始流量数据构建业务流信息数据协议AppFlow。

第二构建模块，用于对业务流信息数据协议AppFlow进行持续计算，以二元组形式构建业务互联通讯对列表list，二元组包括客户端IP、服务端IP；当业务互联通讯对list中的业务互联通讯对的数量超过预定的第一阈值时，采用压缩算法对业务互联通讯对list进行压缩处理。

判定模块，用于根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线。

计算模块，用于以固定的时间周期统计全网异常互联情况，基于异常互联告警的次数和严重等级获得业务互联指数，业务互联指数作为业务互联的整体审计指标，审计指标的计算公式为：

$\mathrm{AI}=\left(\frac{\underset{1}{\overset{5}{\Sigma }}\mathrm{PRI}*N_i}{N}\right)*(\frac{2}{\pi }*\mathrm{arctg}\left(\frac{N}{50}\right))$

其中，N是本时间周期内异常互联告警的总数；PRI为异常互联告警的严重等级，PRI为正整数，取值范围1-5；Ni为每一个严重等级下异常互联告警的数量。

优选地，通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流 量数据是指：

采用多路并行采集技术同时采集云环境下虚拟交换机和实体交换机的端口镜像流量，端口镜像流量数据包括：主机内虚拟机流量信息、主机间虚拟机流量信息和虚拟机到实体主机之间的流量信息。

优选地，根据原始流量数据构建业务流信息数据协议AppFlow包括以下步骤：

对原始流量数据的原始流量数据报文进行业务应用协议识别并进行五元组标记，五元组包括：客户端IP、服务端IP、客户端端口、服务端端口和应用协议；

对五元组标记后的原始流量数据报文进行分组，对分组后的各组原始流量数据报文间隔性地实施汇总统计计算，构建业务流信息数据协议AppFlow；其中，每两次汇总统计计算之间的时间间隔相等。

优选地，

该时间间隔为20秒；

业务流信息数据协议AppFlow的格式为：

AppFlow采用主动式数据推送机制和用户数据包协议UDP协议。

AppFlow封装格式为1个标头Header和多个记录Record。

其中，Header的格式为：

版本号Version：所处位置为Header，字段长度为2Bytes，OffSet＝0；

报文中Record个数Count：所处位置为Header，字段长度为2Bytes，OffSet＝2；

报文生成时间SystemTime：所处位置为Header，字段长度为4Bytes，OffSet＝4。

其中，Record的格式为：

源IP SrcIp：所处位置为Record，字段长度为4Bytes，OffSet＝0；

目的IP DstIp：所处位置为Record，字段长度为4Bytes，OffSet＝4；

源端口SrcPort：所处位置为Record，字段长度为2Bytes，OffSet＝8；

目的端口DstPort：所处位置为Record，字段长度为2Bytes，OffSet＝10；

四层协议Protocol_L4：所处位置为Record，字段长度为1Bytes， OffSet＝12；

应用层协议Protocol_App：所处位置为Record，字段长度为1Bytes，OffSet＝13；

流入索引If_in：所处位置为Record，字段长度为2Bytes，OffSet＝16；

流出索引Protocol_App：所处位置为Record，字段长度为2Bytes，OffSet＝16；

包数Count_Packet：所处位置为Record，字段长度为4Bytes，OffSet＝18；

字节数Count_Byte：所处位置为Record，字段长度为4Bytes，OffSet＝22；

开始时间Start_Time：所处位置为Record，字段长度为4Bytes，OffSet＝26；

结束时间End_Time：所处位置为Record，字段长度为4Bytes，OffSet＝30。

优选地，

该系统还包括更新模块：用于实时监测所述业务互联通讯对，发现新的业务互联通讯对时，实时更新业务互联通讯对list。

第一阈值为10万个。

采用压缩算法对list进行压缩处理是指：将客户端IP同属于第一网段以及服务端IP同属于第二网段的多个业务互联通讯对合并为一个，合并后的业务互联通讯对表示第一网段到第二网段的业务互联通讯对。

优选地，根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线是指：

依据包括通讯次数、字节流量、应用协议主成分的聚类特征三元组，采用平衡迭代削减聚类法将压缩后的业务互联通讯对list分为多个群组group；将多个group中的各个group内的业务互联通讯对的平均通讯频次和平均通讯字节流速作为该group的特征值基线，当该group内增加一个或多个新的业务互联通讯对时，将新的业务互联通讯对的通讯频次和通讯字节流速与该group的特征值基线相比较，当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度大于预定的第二阈值时，将一个或多个新的业务 互联通讯对确定为异常互联，并进行异常互联告警；当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度小于或等于第二阈值时，将一个或多个新的业务互联通讯对确定为正常互联，并依据一个或多个新的业务互联通讯对的通讯频次和通讯字节流速对该group的特征值基线进行更新。

与现有技术相比，本发明包括：通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据。根据原始流量数据构建业务流信息数据协议AppFlow。对业务流信息数据协议AppFlow进行持续计算，以二元组形式构建业务互联通讯对列表list，二元组包括客户端网间互联协议IP、服务端IP；当业务互联通讯对list中的业务互联通讯对的数量超过预定的第一阈值时，采用压缩算法对业务互联通讯对list进行压缩处理。根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线。以固定的时间周期统计全网异常互联情况，基于异常互联告警的次数和严重等级获得业务互联指数，业务互联指数作为业务互联的整体审计指标，审计指标的计算公式为：

$\mathrm{AI}=\left(\frac{\underset{1}{\overset{5}{\Sigma }}\mathrm{PRI}*N_i}{N}\right)*(\frac{2}{\pi }*\mathrm{arctg}\left(\frac{N}{50}\right))$

其中，N是本时间周期内所述异常互联告警的总数；PRI为异常互联告警的严重等级，PRI为正整数，取值范围1-5；Ni为每一个严重等级下异常互联告警的数量。通过本发明的方案，能够在复杂多变的云环境下，提供全面、可靠的信息安全防护。

附图说明

下面对本发明实施例中的附图进行说明，实施例中的附图是用于对本发明的进一步理解，与说明书一起用于解释本发明，并不构成对本发明保护范围的限制。

图1为本发明的业务互联关系审计方法流程图；

图2为本发明的业务互联关系审计系统框图。

具体实施方式

为了便于本领域技术人员的理解，下面结合附图对本发明作进一步的描述，并不能用来限制本发明的保护范围。

本发明针对云环境网络复杂、变化频率高的特点，基于镜像流量充分采集云环境的网络信息，采用流数据思想对海量网络数据进行处理，采用聚类分析方法对云环境下各业务之间互联关系进行安全审计，辅助用户进行安全决策。

具体地，本发明提出了一种业务互联关系审计方法，如图1所示，该方法包括：

S101、通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据。

优选地，通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据是指：

采用多路并行采集技术同时采集云环境下虚拟交换机和实体交换机的端口镜像流量，端口镜像流量数据包括：主机内虚拟机流量信息、主机间虚拟机流量信息和虚拟机到实体主机之间的流量信息。

端口镜像技术是为了方便对一个或多个网络接口的流量进行分析(如入侵检测系统IDS产品、网络分析仪等)，可以通过配置交换机来把一个或多个端口(虚拟局域网VLAN)的数据转发到某一个端口来实现对网络的监听，是网络通信协议的一种方式在企业中用端口镜像功能，可以很好的对企业内部的网络数据进行监控管理，在网络出现故障的时候，可以做到很好地故障定位。在云环境下虚拟交换机和实体交换机都具备端口镜像能力。

S102、根据原始流量数据构建业务流信息数据协议AppFlow。

优选地，根据原始流量数据构建业务流信息数据协议AppFlow包括以下 步骤：

对原始流量数据的原始流量数据报文进行业务应用协议识别并进行五元组标记，五元组包括：客户端IP、服务端IP、客户端端口、服务端端口和应用协议。

对五元组标记后的原始流量数据报文进行分组，对分组后的各组原始流量数据报文间隔性地实施汇总统计计算，构建业务流信息数据协议AppFlow；其中，每两次汇总统计计算之间的时间间隔相等。

优选地，

该时间间隔为20秒。

业务流信息数据协议AppFlow的格式为：

AppFlow采用主动式数据推送机制和用户数据包协议UDP协议。

AppFlow封装格式为1个标头Header和多个记录Record。

其中，所述Header的格式为：

版本号Version：所处位置为Header，字段长度为2Bytes，OffSet＝0；

报文中Record个数Count：所处位置为Header，字段长度为2Bytes，OffSet＝2；

报文生成时间SystemTime：所处位置为Header，字段长度为4Bytes，OffSet＝4。

用表格形式表示为：

其中，所述Record的格式为：

源IP SrcIp：所处位置为Record，字段长度为4Bytes，OffSet＝0；

目的IP DstIp：所处位置为Record，字段长度为4Bytes，OffSet＝4；

源端口SrcPort：所处位置为Record，字段长度为2Bytes，OffSet＝8；

目的端口DstPort：所处位置为Record，字段长度为2Bytes，OffSet＝10；

四层协议Protocol_L4：所处位置为Record，字段长度为1Bytes，OffSet＝12；

应用层协议Protocol_App：所处位置为Record，字段长度为1Bytes，OffSet＝13；

流入索引If_in：所处位置为Record，字段长度为2Bytes，OffSet＝16；

流出索引Protocol_App：所处位置为Record，字段长度为2Bytes，OffSet＝16；

包数Count_Packet：所处位置为Record，字段长度为4Bytes，OffSet＝18；

字节数Count_Byte：所处位置为Record，字段长度为4Bytes，OffSet＝22；

开始时间Start_Time：所处位置为Record，字段长度为4Bytes，OffSet＝26；

结束时间End_Time：所处位置为Record，字段长度为4Bytes，OffSet＝30。

用表格形式表示为：

其中，对原始流量数据报文进行业务应用协议识别并标记采用DPI(每英寸网点数)技术。应用识别根据应用协议的不同模型化分类，使用不同的识别技术，准确识别应用协议。应用协议从基于传输控制协议/用户数据报协议TCP/UDP固定端口发展成绝大多数基于TCP/UDP可变端口，因此应用协 议识别需要将报文的深度内容检测及相关协议解析、检测验证结合起来进行。

S103、对业务流信息数据协议AppFlow进行持续计算，以二元组形式构建业务互联通讯对列表list，二元组包括客户端网间互联协议IP、服务端IP；当业务互联通讯对list中的业务互联通讯对的数量超过预定的第一阈值时，采用压缩算法对业务互联通讯对list进行压缩处理。

优选地，

该方法还包括：实时监测业务互联通讯对，发现新的业务互联通讯对时，实时更新所述业务互联通讯对list。

第一阈值为10万个。

采用压缩算法对list进行压缩处理是指：将客户端IP同属于第一网段以及服务端IP同属于第二网段的多个业务互联通讯对合并为一个，合并后的业务互联通讯对表示第一网段到第二网段的业务互联通讯对。

为了保证在超大规模IP环境下的系统稳定性，当业务互联通讯对list超过一定规模(如10万个，依据应用环境不同而不同)，需要对业务互联通讯对list进行压缩。

S104、根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线。

优选地，根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线是指：

依据包括通讯次数、字节流量、应用协议主成分的聚类特征三元组，采用平衡迭代削减聚类法将压缩后的业务互联通讯对list分为多个群组group；将多个group中的各个group内的业务互联通讯对的平均通讯频次和平均通讯字节流速作为该group的特征值基线，随着时间推进，当该group内有新 的通讯对发生，即，当该group内增加一个或多个新的所述业务互联通讯对时，将新的业务互联通讯对的通讯频次和通讯字节流速与该group的特征值基线相比较，当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度大于预定的第二阈值时，将一个或多个新的业务互联通讯对确定为异常互联，并进行异常互联告警；当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度小于或等于第二阈值时，将一个或多个新的业务互联通讯对确定为正常互联，并依据一个或多个新的业务互联通讯对的通讯频次和通讯字节流速对该group的特征值基线进行更新。

平衡迭代削减聚类法(即BIRCH算法)，其核心是用一个聚类特征三元组(通讯次数、字节流量、应用协议主成分)表示一个簇的有关信息，从而使一簇点的表示可用对应的聚类特征，而不必用具体的一组点来表示。它通过构造满足分支因子和簇直径限制的聚类特征树来求聚类。BIRCH算法通过聚类特征可以方便地进行中心、半径、直径及类内、类间距离的运算。算法的聚类特征树是一个具有两个参数分枝因子B和类直径T的高度平衡树。分枝因子规定了树的每个节点子女的最多个数，而类直径体现了对一类点的直径大小的限制即这些点在多大范围内可以聚为一类，非叶子结点为它的子女的最大关键字，可以根据这些关键字进行插人索引，它总结了其子女的信息。

业务通讯对群组的特征值基线为该群组内各业务互联通讯对的平均通讯次数和字节流量。AppFlow是按照等时间间隔汇总统计所得，该时间间隔为20秒，通过AppFlow计算获得业务互联通信对，当该群组内有新的业务互联通讯对发生，该通讯对本周期内(20秒)的平均通讯次数或字节流量超过所在群组的特征基线值，则生成异常互联告警。

S105、以固定的时间周期统计全网异常互联情况，基于异常互联告警的次数和严重等级获得业务互联指数，业务互联指数作为业务互联的整体审计指标，审计指标的计算公式为：

$\mathrm{AI}=\left(\frac{\underset{1}{\overset{5}{\Sigma }}\mathrm{PRI}*N_i}{N}\right)*(\frac{2}{\pi }*\mathrm{arctg}\left(\frac{N}{50}\right))$

其中，N是本时间周期内所述异常互联告警的总数；PRI为异常互联告警的严重等级，PRI为正整数，取值范围1-5；Ni为每一个严重等级下异常互联告警的数量。

业务互联指数代表整个云环境的业务互联安全态势。

本发明还提出了一种业务互联关系审计系统01，如图2所示，该系统包括：采集模块02、第一构建模块03、第二构建模块04、判定模块05以及计算模块06。

采集模块02，用于通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据。

第一构建模块03，用于根据原始流量数据构建业务流信息数据协议AppFlow。

第二构建模块04，用于对业务流信息数据协议AppFlow进行持续计算，以二元组形式构建业务互联通讯对列表list，二元组包括客户端IP、服务端IP；当业务互联通讯对list中的业务互联通讯对的数量超过预定的第一阈值时，采用压缩算法对业务互联通讯对list进行压缩处理。

判定模块05，用于根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线。

计算模块06，用于以固定的时间周期统计全网异常互联情况，基于异常互联告警的次数和严重等级获得业务互联指数，业务互联指数作为业务互联的整体审计指标，审计指标的计算公式为：

$\mathrm{AI}=\left(\frac{\underset{1}{\overset{5}{\Sigma }}\mathrm{PRI}*N_i}{N}\right)*(\frac{2}{\pi }*\mathrm{arctg}\left(\frac{N}{50}\right))$

其中，N是本时间周期内异常互联告警的总数；PRI为异常互联告警的严重等级，PRI为正整数，取值范围1-5；Ni为每一个严重等级下异常互联 告警的数量。

优选地，通过流量镜像采集云环境中虚拟交换和实体交换机中的原始流量数据是指：

采用多路并行采集技术同时采集云环境下虚拟交换机和实体交换机的端口镜像流量，端口镜像流量数据包括：主机内虚拟机流量信息、主机间虚拟机流量信息和虚拟机到实体主机之间的流量信息。

优选地，根据原始流量数据构建业务流信息数据协议AppFlow包括以下步骤：

对原始流量数据的原始流量数据报文进行业务应用协议识别并进行五元组标记，五元组包括：客户端IP、服务端IP、客户端端口、服务端端口和应用协议；

对五元组标记后的原始流量数据报文进行分组，对分组后的各组原始流量数据报文间隔性地实施汇总统计计算，构建业务流信息数据协议AppFlow；其中，每两次汇总统计计算之间的时间间隔相等。

优选地，

该时间间隔为20秒；

业务流信息数据协议AppFlow的格式为：

AppFlow采用主动式数据推送机制和用户数据包协议UDP协议。

AppFlow封装格式为1个标头Header和多个记录Record。

其中，Header的格式为：

版本号Version：所处位置为Header，字段长度为2Bytes，OffSet＝0；

报文中Record个数Count：所处位置为Header，字段长度为2Bytes，OffSet＝2；

报文生成时间SystemTime：所处位置为Header，字段长度为4Bytes，OffSet＝4。

其中，Record的格式为：

源IP SrcIp：所处位置为Record，字段长度为4Bytes，OffSet＝0；

目的IP DstIp：所处位置为Record，字段长度为4Bytes，OffSet＝4；

源端口SrcPort：所处位置为Record，字段长度为2Bytes，OffSet＝8；

目的端口DstPort：所处位置为Record，字段长度为2Bytes，OffSet＝10；

四层协议Protocol_L4：所处位置为Record，字段长度为1Bytes，OffSet＝12；

应用层协议Protocol_App：所处位置为Record，字段长度为1Bytes，OffSet＝13；

流入索引If_in：所处位置为Record，字段长度为2Bytes，OffSet＝16；

流出索引Protocol_App：所处位置为Record，字段长度为2Bytes，OffSet＝16；

包数Count_Packet：所处位置为Record，字段长度为4Bytes，OffSet＝18；

字节数Count_Byte：所处位置为Record，字段长度为4Bytes，OffSet＝22；

开始时间Start_Time：所处位置为Record，字段长度为4Bytes，OffSet＝26；

结束时间End_Time：所处位置为Record，字段长度为4Bytes，OffSet＝30。

优选地，

该系统还包括更新模块07：用于实时监测所述业务互联通讯对，发现新的业务互联通讯对时，实时更新业务互联通讯对list。

第一阈值为10万个。

采用压缩算法对list进行压缩处理是指：将客户端IP同属于第一网段以及服务端IP同属于第二网段的多个业务互联通讯对合并为一个，合并后的业务互联通讯对表示第一网段到第二网段的业务互联通讯对。

优选地，根据压缩处理后的业务互联通讯对list构建特征值基线，并基于特征值基线判断增加的一个或多个新的业务互联通讯对是否为异常互联；如果新的业务互联通讯对为异常互联，则进行异常互联报警；如果新的业务互联通讯对为正常互联，则更新特征值基线是指：

依据包括通讯次数、字节流量、应用协议主成分的聚类特征三元组，采用平衡迭代削减聚类法将压缩后的业务互联通讯对list分为多个群组group；将多个group中的各个group内的业务互联通讯对的平均通讯频次和平均通讯字节流速作为该group的特征值基线，当该group内增加一个或多个新的 业务互联通讯对时，将新的业务互联通讯对的通讯频次和通讯字节流速与该group的特征值基线相比较，当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度大于预定的第二阈值时，将一个或多个新的业务互联通讯对确定为异常互联，并进行异常互联告警；当新的业务互联通讯对的通讯频次和通讯字节流速与特征值基线的偏离度小于或等于第二阈值时，将一个或多个新的业务互联通讯对确定为正常互联，并依据一个或多个新的业务互联通讯对的通讯频次和通讯字节流速对该group的特征值基线进行更新。

需要说明的是，以上所述的实施例仅是为了便于本领域的技术人员理解而已，并不用于限制本发明的保护范围，在不脱离本发明的发明构思的前提下，本领域技术人员对本发明所做出的任何显而易见的替换和改进等均在本发明的保护范围之内。