[發明專利]基于HTTP報文數據的并行化網絡異常檢測方法與系統

在審

• 申請號: 201610033198.2
• 申請日: 2016-01-19
• 公開（公告）號: CN105516196A
• 公開（公告）日: 2016-04-20
• 發明（設計）人: 馬旸;強小輝;蔡冰;王林汝;吳超
• 申請（專利權）人: 國家計算機網絡與信息安全管理中心江蘇分中心
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.基于HTTP報文數據的并行化網絡異常檢測方法，其特征在于：包括以下步驟：

a.獲取HTTP報文數據；

b.對HTTP報文數據進行數據清洗并入庫；

c.對入庫的報文數據進行分層抽樣，引入隱馬爾科夫語法模型構建組合分類器并構建模糊化集合；

d.使用組合分類器作為檢測模型，引入模糊化集合動態判斷待檢測樣本是否為異常訪問記錄，輸出異常訪問記錄。

2.根據權利要求1所述的基于HTTP報文數據的并行化網絡異常檢測方法，其特征在于：所述步驟a中HTTP報文數據包括記錄標識、日期、時間、源IP點分式、請求URL的域名、路徑、參數、HTTP訪問的狀態碼和HTTP請求方式。

3.根據權利要求1所述的基于HTTP報文數據的并行化網絡異常檢測方法，其特征在于：所述步驟b中數據清洗是基于HADOOP分布式計算框架，對HTTP報文數據進行清洗、入庫，清洗后的HTTP報文數據包括源IP點分式、請求URL的域名、請求URL的路徑、請求URL的參數、訪問次數和日期，對參數嘗試使用GBK、UTF-8、GB2312進行解碼，進一步根據報文記錄中的訪問日期、源IP、請求URL的域名和請求URL的參數進行記錄分組并統計頻次。

4.根據權利要求1所述的基于HTTP報文數據的并行化網絡異常檢測方法，其特征在于：所述步驟c中分層抽樣是對樣本記錄進行抽樣，每個IP每天抽取一條記錄作為訓練樣本，以減少訓練的計算復雜度，然后對抽取訓練樣本中的參數值和參數序列，引入隱馬爾科夫語法模型并行的構造正常參數值和正常參數序列的語法模型，將不同參數的隱馬爾科夫語法模型組成對應的隱馬爾科夫組合分類器。

5.根據權利要求1所述的基于HTTP報文數據的并行化網絡異常檢測方法，其特征在于：所述步驟d中組合分類器是作為檢測模型，對待檢測樣本進行檢測，計算得到待檢測樣本的評估概率值，為提高評估的正確率，引入模糊化集合，依據評估概率值進行模糊化和推理，判斷該樣本是否為異常訪問記錄。

6.基于HTTP報文數據的并行化網絡異常檢測系統，包括：

數據采集單元，用于獲取HTTP報文數據；

數據清洗單元，用于對HTTP報文數據進行清洗并入庫；

數據訓練單元，用于對入庫的報文數據進行分層抽樣，引入隱馬爾科夫語法模型構建組合分類器并構建模糊化集合；

數據檢測單元，用于使用組合分類器作為檢測模型，引入模糊化集合動態判斷待檢測樣本是否為異常訪問記錄，輸出異常訪問記錄。

7.根據權利要求6所述的基于HTTP報文數據的并行化網絡異常檢測系統，其特征在于：所述數據采集單元是通過架設HTTP報文采集服務器、鏡像交換機以及光電轉換等設備，實現HTTP報文數據的采集。