📈 流量基线 智能分析
自学习流量行为基线，精准区分业务波动与异常流量——降低DDoS/CC攻击的检测噪音，让每一次流量变化都有据可循
📊 流量趋势 — QPS vs 基线（灰色虚线）
🧬 多维基线 建模算法
从8个维度提取流量特征，构建自适应基线，区分正常业务波动与真实攻击
QPS趋势分解
STL时序分解（Seasonal-Trend-Residual）提取周期性规律，区分正常波峰与异常突发流量。
IP熵值分布
按/24网段聚合IP分布，检测来源IP熵值突变——正常分散流量突然集中在少数IP段即为异常。
URL热度模型
各URL路径访问占比建模，检测非热门页面流量突然飙升（如/admin.php突然成为Top1访问URL）。
User-Agent指纹
UA类型分布及多样性分析，检测UA多样性骤降（大量相同UA涌入）或UA字段畸形。
Referer来源链
正常流量应有合理的Referer分布，Direct流量突然占比100%或Referer均为同一伪造来源即为异常。
GeoIP地理分布
基于MaxMind GeoIP2，正常流量Geo分布应相对分散，单一国家/地区流量占比突变需重点关注。
时间节律模型
按小时/星期建立访问模式。深夜流量突然增加至接近白天水平、非工作日出现工作日级别的流量均为异常。
TLS协议指纹
TLS版本/密码套件分布、HTTP方法比例、Header顺序等协议层指纹建模，检测异常协议组合。
📐 实时偏离 基线对比
当前各维度指标与历史基线的实时对比（黄色标记线 = 历史基线值）
⚠️ 基线偏离 事件记录
近期检测到的所有显著基线偏离事件，支持多维筛选和关联分析
| 检测时间 | 偏离维度 | 正常基线值 | 实际观测值 | 偏离率 | 置信度 | 判定结果 | 关联攻击 |
|---|---|---|---|---|---|---|---|
| 07-30 14:35:22 | QPS总量 | 1,100 QPS | 8,500 QPS | +773% | 98.5% | 异常攻击 | CC攻击 #1427 |
| 07-30 10:12:08 | 单一URL占比 | 最高15% | /api/login — 72% | +380% | 92.3% | 可疑 | 登录爆破 #1426 |
| 07-29 18:05:41 | UA多样性 | 0.82 熵值 | 0.12 熵值 | -85% | 89.7% | 可疑 | — |
| 07-28 23:55:13 | 深夜时段QPS | 50 QPS | 620 QPS | +1,140% | 94.1% | 可疑 | CC攻击 #1423 |
| 07-27 09:30:55 | 新IP占比 | 15% | 91% | +507% | 96.8% | 异常攻击 | DDoS #1421 |
| 07-26 15:20:30 | 境外流量占比 | 25% | 68% | +172% | 85.2% | 可疑 | — |
🏭 业务场景 智能豁免
基线模型内置业务日历感知能力，自动识别正常业务流量高峰，避免误判
电商大促
双11、618、黑五等大促期间流量暴增是正常业务行为。基线模型自动感知营销日历事件，临时上调基线阈值，不会将促销流量误判为DDoS攻击。
游戏新版本发布
新版本/赛季更新带来的下载带宽飙升和并发激增不等于DDoS。基线模型结合版本发布时间窗口和CDN回源特征，智能豁免。
金融交易系统
A股开盘/收盘时段、美股开盘时段的峰值波动是行业特性。基线模型精确识别业务周期性波动与恶意流量偏离，降低金融系统误报。
🤖 自适应学习 策略
持续从历史数据中学习，不断优化基线精度
冷启动阶段（第1-7天）
采用保守的静态阈值规则，同时快速采集流量特征。每日更新基线模型，确保7天后形成初步个性化基线。
当前状态：已完成
持续优化阶段（第8天起）
使用滑动窗口（默认30天）持续更新基线。每周重新训练模型，自动适应业务增长、架构变更带来的流量模式变化。
当前状态：运行中 — 已学习187天