[發明專利]網絡攻擊行為檢測方法和裝置

有效

• 申請號: 201410529441.0
• 申請日: 2014-10-08
• 公開（公告）號: CN105577608B
• 公開（公告）日: 2020-02-07
• 發明（設計）人: 鄒鵬;羅喜軍
• 申請（專利權）人: 騰訊科技(深圳)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 11240 北京康信知識產權代理有限責任公司
• 代理人: 李志剛;吳貴明

1.一種網絡攻擊行為檢測方法，其特征在于，包括：

檢測目標時間段內網絡訪問服務器的訪問量；

判斷所述目標時間段內的訪問量是否超過預設閾值，其中，所述預設閾值為根據所述目標時間段之前預設時間段內的訪問量得到的閾值，所述預設時間段隨著所述目標時間段的變化進行動態調整；

如果判斷出所述目標時間段內的訪問量超過所述預設閾值，則提取訪問所述服務器的訪問行為的行為特征；

判斷提取的行為特征是否符合正常訪問特征，其中，所述正常訪問特征為根據非攻擊行為提取的行為特征；以及

如果提取的行為特征不符合正常訪問特征，則確定所述訪問行為是攻擊行為；

其中，判斷提取的行為特征是否符合正常訪問特征包括：

確定所述訪問行為的訪問量；

檢測所述訪問行為訪問的資源；

根據所述訪問行為的訪問量和所述訪問行為訪問的資源判斷所述訪問行為是否集中請求所述服務器的部分資源；

如果所述訪問行為集中請求所述服務器的部分資源，則確定所述提取的行為特征不符合正常訪問特征；以及

如果所述訪問行為不是集中請求所述服務器的部分資源，則確定所述提取的行為特征符合正常訪問特征。

2.根據權利要求1所述的網絡攻擊行為檢測方法，其特征在于，在判斷所述目標時間段內的訪問量是否超過預設閾值之前，所述網絡攻擊行為檢測方法還包括：

判斷所述目標時間段是否發生變化；

如果判斷出所述目標時間段發生變化，則根據所述目標時間段的變化來調整所述預設時間段；

檢測調整后的預設時間段內所述服務器的訪問量；以及

由所述調整后的預設時間段內的訪問量計算得到所述預設閾值。

3.根據權利要求1所述的網絡攻擊行為檢測方法，其特征在于，所述預設時間段包括與所述目標時間段具有相同時長的多個時間段，其中，在判斷所述目標時間段內的訪問量是否超過預設閾值之前，所述網絡攻擊行為檢測方法還包括

分別檢測所述多個時間段內所述服務器的訪問量；

將所述多個時間段中訪問量最高的時間段內的訪問量作為訪問量基線，或者，按照預設規則從所述多個時間段中選擇一個時間段內的訪問量作為所述訪問量基線；以及

由所述訪問量基線計算得到所述預設閾值。

4.根據權利要求3中所述的網絡攻擊行為檢測方法，其特征在于，

在分別檢測所述多個時間段內所述服務器的訪問量之后，所述網絡攻擊行為檢測方法還包括：剔除所述多個時間段內所述服務器的訪問量中的訪問量噪音，

將所述多個時間段中訪問量最高的時間段內的訪問量作為訪問量基線包括：將剔除所述訪問量噪音后的多個時間段中訪問量最高的時間段內的訪問量作為所述訪問量基線。

5.一種網絡攻擊行為檢測裝置，其特征在于，包括：

第一檢測單元，用于檢測目標時間段內網絡訪問服務器的訪問量；

第一判斷單元，用于判斷所述目標時間段內的訪問量是否超過預設閾值，其中，所述預設閾值為根據所述目標時間段之前預設時間段內的訪問量得到的閾值，所述預設時間段隨著所述目標時間段的變化進行動態調整；

提取單元，用于如果判斷出所述目標時間段內的訪問量超過所述預設閾值，則提取訪問所述服務器的訪問行為的行為特征；

第二判斷單元，用于判斷提取的行為特征是否符合正常訪問特征，其中，所述正常訪問特征為根據非攻擊行為提取的行為特征；以及

第一確定單元，用于如果提取的行為特征不符合正常訪問特征，則確定所述訪問行為是攻擊行為；

其中，所述第二判斷單元包括：

第二確定模塊，用于確定所述訪問行為的訪問量；

檢測模塊，用于檢測所述訪問行為訪問的資源；

判斷模塊，用于根據所述訪問行為的訪問量和所述訪問行為訪問的資源判斷所述訪問行為是否集中請求所述服務器的部分資源；

第三確定模塊，用于如果所述訪問行為集中請求所述服務器的部分資源，則確定所述提取的行為特征不符合正常訪問特征；以及

第四確定模塊，用于如果所述訪問行為不是集中請求所述服務器的部分資源，則確定所述提取的行為特征符合正常訪問特征。