CN116723138B - 一种基于流量探针染色的异常流量监控方法及*** - Google Patents

Abstract

本发明提供一种基于流量探针染色的异常流量监控方法及***，属于流量管理技术领域，具体包括：通过流量探针获取用户在预设时间内的访问流量，并通过访问流量的信息熵在不同时刻的分布情况确定信息熵时序特征值，通过EEMD算法获取所述访问流量的IMF分量，并结合访问流量的空间特征以及信息熵时序特征值确定时序特征量，对访问流量所对应的数据包进行解析得到访问流量所对应的操作类型，并基于不同的操作类型的操作次数以及操作频率、操作类型的种类确定操作特征量，并结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理，从而进一步提升了流量监控的准确性和全面性。

Description

一种基于流量探针染色的异常流量监控方法及***

技术领域

本发明属于流量管理技术领域，尤其涉及一种基于流量探针染色的异常流量监控方法及***。

背景技术

流量探针为一种常见的对特定的网络流量进行采集、分析、信息提取的网络流量处理工具，同时为了实现对不同类型的流量的差异化对待，通过染色的方式将不同类型的流量进行区分，并根据区分的结果对不同类型的流量进行差异性对待。

在现有技术中，由于信贷申请***已经转至线上，因此需要对来自不同来源的实时流量进行监测，以保证信贷申请***的运行的可靠性，而为了实现采用流量探针对流量进行异常流量检测的问题，在发明专利申请号 CN202011640745《流量异常检测方法、装置、存储介质及处理器》中通过流量采集探针获取用户网络的流量数据，根据流量历史记录确定第一预测值和第二预测值；采用泊松分布检测方法结合第一预测值和第二预测值进行分析，确定当前时刻的流量观测值是否异常，但是却存在以下技术问题：

1、忽视了结合用户的流量所对应的操作类型进行异常流量的识别与染色，具体的，当某些用户其单位时间内的网络流量并未超过流量限定值，但是其流量所对应的操作类型一致且均为类型或者相同的操作，例如用户多次尝试登录或者重复点击进入某一界面，则其为异常流量的风险明显要大于其它的网络流量，因此若不能考虑用户的流量类型，则无法准确的实现对异常流量的监控和染色。

2、忽视了结合用户的访问流量的时序特征对异常流量的识别与染色，具体的，用户在进行信贷申请时，其操作产生的流量的时序特征与异常的机器访问的时序特征存在较大的差异，因此若不考虑时序特征，则同样无法准确的实现对异常流量的监控和染色。

针对上述技术问题，本发明提供了一种基于流量探针染色的异常流量监控方法及***。

发明内容

为实现本发明目的，本发明采用如下技术方案：

根据本发明的一个方面，提供了一种基于流量探针染色的异常流量监控方法。

一种基于流量探针染色的异常流量监控方法，其特征在于，具体包括：

S11根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，若是，则确定用户的访问流量为异常流量，若否，则进入步骤S12；

S12通过流量探针获取用户在预设时间内的访问流量，并通过所述访问流量进行数据包的大小以及方差的确定，并结合所述访问流量确定幅值特征量，并基于所述幅值特征量确定是否存在异常，若是，则进入步骤S13，若否，则确定无需对用户进行染色处理；

S13通过所述访问流量的信息熵在不同时刻的分布情况确定信息熵时序特征值，通过EEMD算法获取所述访问流量的IMF分量，并结合访问流量的空间特征以及信息熵时序特征值确定时序特征量，并基于所述时序特征量确定是否存在异常，若是，则进入步骤S14，若否，则确定无需对用户进行染色处理；

S14对所述数据包进行解析得到所述访问流量所对应的操作类型，并基于不同的操作类型的操作次数以及操作频率、操作类型的种类确定操作特征量，并结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理。

通过流量探针获取用户在预设时间内的访问流量，并通过所述访问流量进行数据包的大小以及方差的确定，并结合所述访问流量确定幅值特征量，从而实现了从访问流量的幅值变化情况对异常的判断，在保证判断的可靠性的基础上，也保证了判断的效率。

通过所述访问流量的信息熵在不同时刻的分布情况确定信息熵时序特征值，通过EEMD算法获取所述访问流量的IMF分量，并结合访问流量的空间特征以及信息熵时序特征值确定时序特征量，从而实现了从访问流量在一段时间的时序特征对访问异常的判断，不仅考虑到不同时刻的信息熵的变动情况，同时还考虑到空间特征以及IMF分量，进一步拓展类分析确定的全面性和可靠性。

通过对所述述数据包进行解析得到所述访问流量所对应的操作类型，并基于不同的操作类型的操作次数以及操作频率、操作类型的种类确定操作特征量，并结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理，从而不仅仅考虑到单一的流量特征量，同时也充分考虑到访问流量背后的操作类型，进一步保证了染色处理的判断的准确性。

进一步的，根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，具体包括：

获取所述用户的访问终端的唯一标识，并根据所述唯一标识确定所述用户是否为已染色用户，若是，则确定所述用户为已染色用户，若否，则进入下一步骤；

获取所述用户的访问IP，并根据所述用户的访问IP确定所述用户是否为已染色用户。

进一步的，所述预设时间至少根据授信申请***的服务器的端口数量、并发量进行确定，其中所述授信申请***的服务器的端口数量越多，并发量越大，则所述预设时间越长。

进一步的，基于所述幅值特征量确定是否存在异常，具体包括：

当所述幅值特征量大于设定值时，则确定所述用户的访问流量存在异常。

进一步的，基于所述用户在预设时间内的访问流量确定是否存在异常，具体包括：

获取不同用户在预设时间内的访问流量进行访问流量的平均值的确定；

通过所述预设时间对所述访问流量的平均值进行修正得到修正平均值，其中所述修正平均值小于所述平均值；

判断所述用户在预设时间内的访问流量是否小于修正平均值，若是，则确定所述用户在预设时间内的访问流量不存在异常，若否，则确定所述用户在预设时间内的访问流量存在异常。

进一步的，所述时序特征量的取值范围在0到1之间，其中所述时序特征量越大，则所述用户的访问流量存在异常的概率越大。

进一步的，结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理，具体包括：

通过所述操作特征量确定是否存在异常，若是，则确定需要对所述用户进行染色处理，若否，则进入下一步骤；

通过所述幅值特征量、时序特征量、所述操作特征量进行所述用户的访问流量的综合特征量的确定，并基于所述综合特征量确定是否存在异常，并当存在异常时，则确定需要对所述用户进行染色处理，当不存在异常时，则暂时不对所述用户进行染色处理，并根据所述综合特征量进行所述用户的访问流量的监测频率的确认。

第二方面，本发明提供了一种计算机***，包括：通信连接的存储器和处理器，以及存储在所述存储器上并能够在所述处理器上运行的计算机程序，其特征在于：所述处理器运行所述计算机程序时执行上述的一种基于流量探针染色的异常流量监控方法。

第三方面，本发明提供了一种计算机存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行上述的一种基于流量探针染色的异常流量监控方法。

其他特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点在说明书以及附图中所特别指出的结构来实现和获得。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

通过参照附图详细描述其示例实施方式，本发明的上述和其它特征及优点将变得更加明显；

图1是一种基于流量探针染色的异常流量监控方法的流程图；

图2是幅值特征量确定的方法的流程图；

图3是时序特征量确定的方法的流程图；

图4是操作特征量确定的具体方法的流程图；

图5是一种计算机存储介质的框架图。

具体实施方式

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

为解决上述问题，根据本发明的一个方面，如图1所示，提供了根据本发明的一个方面，提供了一种基于流量探针染色的异常流量监控方法，其特征在于，具体包括：

S11根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，若是，则确定用户的访问流量为异常流量，若否，则进入步骤S12；

需要说明的是，根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，具体包括：

获取所述用户的访问终端的唯一标识，并根据所述唯一标识确定所述用户是否为已染色用户，若是，则确定所述用户为已染色用户，若否，则进入下一步骤；

获取所述用户的访问IP，并根据所述用户的访问IP确定所述用户是否为已染色用户。

S12通过流量探针获取用户在预设时间内的访问流量，并通过所述访问流量进行数据包的大小以及方差的确定，并结合所述访问流量确定幅值特征量，并基于所述幅值特征量确定是否存在异常，若是，则进入步骤S13，若否，则确定无需对用户进行染色处理；

可以理解的是，所述预设时间至少根据授信申请***的服务器的端口数量、并发量进行确定，其中所述授信申请***的服务器的端口数量越多，并发量越大，则所述预设时间越长。

具体的举例说明，预设时间根据服务器的端口数量与并发量的乘积进行确定，具体的根据服务器的端口数量与并发量的乘积构建本***的预设基础时间，并根据预设基础时间与预设修正量的乘积进行预设时间的确定。

具体的举例说明，如图2所示，所述幅值特征量确定的方法为：

S21通过所述流量探针获取所述用户在预设时间内的访问流量，并基于所述用户在预设时间内的访问流量确定是否存在异常，若是，则进入步骤S22，若否，则确定不存在异常，确定无需对用户进行染色处理；

S22通过所述用户在预设时间内的访问流量确定所述用户在预测时间内的单位时间的访问流量的最大值、单位时间的访问流量的最小值以及方差，并基于所述用户在预测时间内的单位时间的访问流量的最大值、单位时间的访问流量的最小值以及方差进行流量特征值的构建；

S23通过所述用户在预设时间内的访问流量确定所述访问流量所对应的数据包，并基于所述数据包的数据量至少将所述数据包划分为大数据量数据包、中等数据量数据包、一般数据量数据包，并根据所述大数据量数据包的数量、中等数据量数据包的数量、一般数据量数据包的数量，并结合所述数据包的数据量的方差进行数据包特征值的确定；

S24通过所述流量特征值、数据包特征值，并结合所述用户的数据包的数量以及所述用户的访问流量，进行所述幅值特征量的构建。

具体的，基于所述幅值特征量确定是否存在异常，具体包括：

当所述幅值特征量大于设定值时，则确定所述用户的访问流量存在异常。

具体的，基于所述用户在预设时间内的访问流量确定是否存在异常，具体包括：

获取不同用户在预设时间内的访问流量进行访问流量的平均值的确定；

通过所述预设时间对所述访问流量的平均值进行修正得到修正平均值，其中所述修正平均值小于所述平均值；

判断所述用户在预设时间内的访问流量是否小于修正平均值，若是，则确定所述用户在预设时间内的访问流量不存在异常，若否，则确定所述用户在预设时间内的访问流量存在异常。

在本实施例中，通过流量探针获取用户在预设时间内的访问流量，并通过所述访问流量进行数据包的大小以及方差的确定，并结合所述访问流量确定幅值特征量，从而实现了从访问流量的幅值变化情况对异常的判断，在保证判断的可靠性的基础上，也保证了判断的效率。

S13通过所述访问流量的信息熵在不同时刻的分布情况确定信息熵时序特征值，通过EEMD算法获取所述访问流量的IMF分量，并结合访问流量的空间特征以及信息熵时序特征值确定时序特征量，并基于所述时序特征量确定是否存在异常，若是，则进入步骤S14，若否，则确定无需对用户进行染色处理；

具体的举例说明，如图3所示，所述时序特征量确定的方法为：

S31通过所述访问流量的信息熵在不同时刻的分布情况确定所述信息熵的离散系数、自相关系数、信息熵的差值的绝对值大于信息熵设定量的间隔时间的最大值以及平均值进行所述信息熵时序特征值的确定，并通过所述信息熵时序特征值确定是否存在异常，若是，则进入步骤S32，若否，则确定不存在异常，确定无需对用户进行染色处理；

S32通过所述EEMD算法对所述访问流量在预设时间内的频谱图进行分解，通过预设的处理次数得到在不同模态的IMF分量，并通过所述IMF分量的幅值进行显著IMF分量和一般IMF分量的数量的确定，并至少通过所述显著IMF分量的数量和幅值的平均值、频谱特征量以及坡度确定显著IMF分量的特征量评估值，并通过所述显著IMF分量的特征量评估值确定是否存在异常，若是，则进入步骤S33，若否，则进入步骤S34；

S33至少通过所述一般IMF分量的数量和幅值的平均值、频谱特征量以及坡度确定一般IMF分量的特征量评估值，并通过所述一般IMF分量的特征量评估值与显著IMF分量的特征量评估值确定是否存在异常，若是，则进入步骤S34，若否，则确定不存在异常，确定无需对用户进行染色处理；

S34通过在预设时间内所述访问流量的频谱图，采用基于CNN算法的空间特征模型进行空间特征的提取，其中所述基于CNN算法的空间特征提取模型在输入层之后，包括两层重复的卷积层，并经过池化层后进行空间特征的输出，基于所述空间特征、一般IMF分量的特征量评估值与显著IMF分量的特征量评估值、信息熵时序特征值进行所述时序特征量的确定。

需要说明的是，所述时序特征量的取值范围在0到1之间，其中所述时序特征量越大，则所述用户的访问流量存在异常的概率越大。

在本实施例中，通过所述访问流量的信息熵在不同时刻的分布情况确定信息熵时序特征值，通过EEMD算法获取所述访问流量的IMF分量，并结合访问流量的空间特征以及信息熵时序特征值确定时序特征量，从而实现了从访问流量在一段时间的时序特征对访问异常的判断，不仅考虑到不同时刻的信息熵的变动情况，同时还考虑到空间特征以及IMF分量，进一步拓展类分析确定的全面性和可靠性。

S14对所述数据包进行解析得到所述访问流量所对应的操作类型，并基于不同的操作类型的操作次数以及操作频率、操作类型的种类确定操作特征量，并结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理。

具体的举例说明，如图4所示，所述操作特征量确定的具体方法为：

S41对所述访问流量所对应的数据包进行解析得到所述访问流量所对应的操作类型，并基于所述操作类型的种类确定是否存在异常，若是，则确定需要对所述用户进行染色处理，若否，则进入步骤S42；

S42通过所述操作类型的种类确定不同种类的操作类型的操作次数，并基于所述不同种类的操作类型的操作次数确定是否存在异常，若是，则确定需要对所述用户进行染色处理，若否，则进入步骤S43；

S43将所述操作次数大于预设数量的操作类型作为备选操作类型，并基于所述备选操作类型的操作频率、操作频率大于设定频率的间隔时间、操作次数进行所述备选操作类型的操作评估值的确定，并基于所述备选操作类型的操作评估值进行异常操作类型的筛选，并通过所述异常操作类型的数量确定是否存在异常，若是，则确定需要对所述用户进行染色处理，若否，则进入步骤S44；

S44通过所述操作类型的种类、不同种类的操作类型的操作次数、异常操作类型的数量以及操作评估值、备选操作类型的操作评估值的均值进行所述操作特征量的确定。

具体的举例说明，结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理，具体包括：

通过所述操作特征量确定是否存在异常，若是，则确定需要对所述用户进行染色处理，若否，则进入下一步骤；

通过所述幅值特征量、时序特征量、所述操作特征量进行所述用户的访问流量的综合特征量的确定，并基于所述综合特征量确定是否存在异常，并当存在异常时，则确定需要对所述用户进行染色处理，当不存在异常时，则暂时不对所述用户进行染色处理，并根据所述综合特征量进行所述用户的访问流量的监测频率的确认。

在本实施例中，通过对所述述数据包进行解析得到所述访问流量所对应的操作类型，并基于不同的操作类型的操作次数以及操作频率、操作类型的种类确定操作特征量，并结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理，从而不仅仅考虑到单一的流量特征量，同时也充分考虑到访问流量背后的操作类型，进一步保证了染色处理的判断的准确性。

另一方面，本发明提供了一种计算机***，包括：通信连接的存储器和处理器，以及存储在所述存储器上并能够在所述处理器上运行的计算机程序，其特征在于：所述处理器运行所述计算机程序时执行上述的一种基于流量探针染色的异常流量监控方法。

上述的一种基于流量探针染色的异常流量监控方法，具体包括：

根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，若是，则确定用户的访问流量为异常流量，若否，则进入下一步骤；

通过流量探针获取用户在预设时间内的访问流量，并通过所述访问流量进行数据包的大小以及方差的确定，并结合所述访问流量确定幅值特征量，并基于所述幅值特征量确定是否存在异常，若是，则进入下一步骤，若否，则确定无需对用户进行染色处理；

通过所述访问流量的信息熵在不同时刻的分布情况确定所述信息熵的离散系数、自相关系数、信息熵的差值的绝对值大于信息熵设定量的间隔时间的最大值以及平均值进行所述信息熵时序特征值的确定，并通过所述信息熵时序特征值确定不存在异常时，进入下一步骤；

通过所述EEMD算法对所述访问流量在预设时间内的频谱图进行分解，通过预设的处理次数得到在不同模态的IMF分量，并通过所述IMF分量的幅值进行显著IMF分量和一般IMF分量的数量的确定，并至少通过所述显著IMF分量的数量和幅值的平均值、频谱特征量以及坡度确定显著IMF分量的特征量评估值，并通过所述显著IMF分量的特征量评估值确定存在异常时，进入下一步骤；

至少通过所述一般IMF分量的数量和幅值的平均值、频谱特征量以及坡度确定一般IMF分量的特征量评估值，并通过所述一般IMF分量的特征量评估值与显著IMF分量的特征量评估值确定不存在异常时，则确定不存在异常，确定无需对用户进行染色处理；

另一方面，如图5所示，本发明提供了一种计算机存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行上述的一种基于流量探针染色的异常流量监控方法。

根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，若是，则确定用户的访问流量为异常流量，若否，则进入下一步骤；

通过流量探针获取用户在预设时间内的访问流量，并通过所述访问流量进行数据包的大小以及方差的确定，并结合所述访问流量确定幅值特征量，并基于所述幅值特征量确定是否存在异常，若是，则进入下一步骤，若否，则确定无需对用户进行染色处理；

通过所述访问流量的信息熵在不同时刻的分布情况确定信息熵时序特征值，通过EEMD算法获取所述访问流量的IMF分量，并结合访问流量的空间特征以及信息熵时序特征值确定时序特征量，并基于所述时序特征量确定是否存在异常，若是，则进入下一步骤，若否，则确定无需对用户进行染色处理；

对所述访问流量所对应的数据包进行解析得到所述访问流量所对应的操作类型，并基于所述操作类型的种类确定不存在异常时，进入下一步骤；

通过所述操作类型的种类确定不同种类的操作类型的操作次数，并基于所述不同种类的操作类型的操作次数确定不存在异常时，进入下一步骤；

将所述操作次数大于预设数量的操作类型作为备选操作类型，并基于所述备选操作类型的操作频率、操作频率大于设定频率的间隔时间、操作次数进行所述备选操作类型的操作评估值的确定，并基于所述备选操作类型的操作评估值进行异常操作类型的筛选，并通过所述异常操作类型的数量确定不存在异常时，则进入下一步骤；

通过所述操作类型的种类、不同种类的操作类型的操作次数、异常操作类型的数量以及操作评估值、备选操作类型的操作评估值的均值进行所述操作特征量的确定。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、设备、非易失性计算机存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

以上所述仅为本说明书的一个或多个实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书的一个或多个实施例可以有各种更改和变化。凡在本说明书的一个或多个实施例的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。

Claims (9)

1.一种基于流量探针染色的异常流量监控方法，其特征在于，具体包括：

根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，若是，则确定用户的访问流量为异常流量，若否，则进入下一步骤；

通过流量探针获取用户在预设时间内的访问流量，并通过所述访问流量进行数据包的大小以及方差的确定，并结合所述访问流量确定幅值特征量，并基于所述幅值特征量确定是否存在异常，若是，则进入下一步骤，若否，则确定无需对用户进行染色处理；

所述幅值特征量确定的方法为：

通过所述流量探针获取所述用户在预设时间内的访问流量，并基于所述用户在预设时间内的访问流量确定是否存在异常，若是，则进入下一步骤，若否，则确定不存在异常，确定无需对用户进行染色处理；

通过所述用户在预设时间内的访问流量确定所述用户在预测时间内的单位时间的访问流量的最大值、单位时间的访问流量的最小值以及方差，并基于所述用户在预测时间内的单位时间的访问流量的最大值、单位时间的访问流量的最小值以及方差进行流量特征值的构建；

通过所述用户在预设时间内的访问流量确定所述访问流量所对应的数据包，并基于所述数据包的数据量至少将所述数据包划分为大数据量数据包、中等数据量数据包、一般数据量数据包，并根据所述大数据量数据包的数量、中等数据量数据包的数量、一般数据量数据包的数量，并结合所述数据包的数据量的方差进行数据包特征值的确定；

通过所述流量特征值、数据包特征值，并结合所述用户的数据包的数量以及所述用户的访问流量，进行所述幅值特征量的构建；

通过所述访问流量的信息熵在不同时刻的分布情况确定信息熵时序特征值，通过EEMD算法获取所述访问流量的IMF分量，并结合访问流量的空间特征以及信息熵时序特征值确定时序特征量，并基于所述时序特征量确定是否存在异常，若是，则进入下一步骤，若否，则确定无需对用户进行染色处理；

对所述数据包进行解析得到所述访问流量所对应的操作类型，并基于不同的操作类型的操作次数以及操作频率、操作类型的种类确定操作特征量，并结合幅值特征量以及时序特征量确定是否需要对用户进行染色处理。

2.如权利要求1所述的一种基于流量探针染色的异常流量监控方法，其特征在于，根据用户的访问终端或者访问IP确定所述用户是否为已染色用户，具体包括：

获取所述用户的访问终端的唯一标识，并根据所述唯一标识确定所述用户是否为已染色用户，若是，则确定所述用户为已染色用户，若否，则进入下一步骤；

获取所述用户的访问IP，并根据所述用户的访问IP确定所述用户是否为已染色用户。

3.如权利要求1所述的一种基于流量探针染色的异常流量监控方法，其特征在于，所述预设时间至少根据授信申请***的服务器的端口数量、并发量进行确定，其中所述授信申请***的服务器的端口数量越多，并发量越大，则所述预设时间越长。

4.如权利要求1所述的一种基于流量探针染色的异常流量监控方法，其特征在于，基于所述幅值特征量确定是否存在异常，具体包括：

当所述幅值特征量大于设定值时，则确定所述用户的访问流量存在异常。

5.如权利要求1所述的一种基于流量探针染色的异常流量监控方法，其特征在于，基于所述用户在预设时间内的访问流量确定是否存在异常，具体包括：

获取不同用户在预设时间内的访问流量进行访问流量的平均值的确定；

通过所述预设时间对所述访问流量的平均值进行修正得到修正平均值，其中所述修正平均值小于所述平均值；

判断所述用户在预设时间内的访问流量是否小于修正平均值，若是，则确定所述用户在预设时间内的访问流量不存在异常，若否，则确定所述用户在预设时间内的访问流量存在异常。

6.如权利要求1所述的一种基于流量探针染色的异常流量监控方法，其特征在于，所述时序特征量确定的方法为：

S31通过所述访问流量的信息熵在不同时刻的分布情况确定所述信息熵的离散系数、自相关系数、信息熵的差值的绝对值大于信息熵设定量的间隔时间的最大值以及平均值进行所述信息熵时序特征值的确定，并通过所述信息熵时序特征值确定是否存在异常，若是，则进入步骤S32，若否，则确定不存在异常，确定无需对用户进行染色处理；

S32通过所述EEMD算法对所述访问流量在预设时间内的频谱图进行分解，通过预设的处理次数得到在不同模态的IMF分量，并通过所述IMF分量的幅值进行显著IMF分量和一般IMF分量的数量的确定，并至少通过所述显著IMF分量的数量和幅值的平均值、频谱特征量以及坡度确定显著IMF分量的特征量评估值，并通过所述显著IMF分量的特征量评估值确定是否存在异常，若是，则进入步骤S33，若否，则进入步骤S34；

S33至少通过所述一般IMF分量的数量和幅值的平均值、频谱特征量以及坡度确定一般IMF分量的特征量评估值，并通过所述一般IMF分量的特征量评估值与显著IMF分量的特征量评估值确定是否存在异常，若是，则进入步骤S34，若否，则确定不存在异常，确定无需对用户进行染色处理；

S34通过在预设时间内所述访问流量的频谱图，采用基于CNN算法的空间特征模型进行空间特征的提取，其中所述基于CNN算法的空间特征提取模型在输入层之后，包括两层重复的卷积层，并经过池化层后进行空间特征的输出，基于所述空间特征、一般IMF分量的特征量评估值与显著IMF分量的特征量评估值、信息熵时序特征值进行所述时序特征量的确定。

7.如权利要求6所述的一种基于流量探针染色的异常流量监控方法，其特征在于，所述时序特征量的取值范围在0到1之间，其中所述时序特征量越大，则所述用户的访问流量存在异常的概率越大。

8.一种计算机***，包括：通信连接的存储器和处理器，以及存储在所述存储器上并能够在所述处理器上运行的计算机程序，其特征在于：所述处理器运行所述计算机程序时执行权利要求1-7任一项所述的一种基于流量探针染色的异常流量监控方法。

9.一种计算机存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行权利要求1-7任一项所述的一种基于流量探针染色的异常流量监控方法。