一种面向主机社区行为的异常流量检测方法

摘要

本发明公开了一种面向主机社区行为的异常流量检测方法，采集网络边界网络流量数据，构建主机社交网络图对主机社区进行识别，并量化正常主机社区行为的特征基线，度量主机社区行为与其正常行为的偏离度以检测异常主机社区。本发明在识别流量社交网络图中主机社区的基础上，提出了基于主机社区演化的异常检测算法，通过识别密切联系的主机社区行为，从而有效检测隐蔽参与网络安全事件的异常主机。该方法适用于具有社区行为的聚合主机进行异常流量检测，融合了社交网络和网络流量异常检测两个交叉学科领域，为异常流量检测问题提供了新方法、新途径和分析视角。