[發明專利]基于行為模型對用戶登錄進行識別的方法、設備和系統

在審

• 申請號: 201610084028.7
• 申請日: 2016-02-06
• 公開（公告）號: CN105763548A
• 公開（公告）日: 2016-07-13
• 發明（設計）人: 沈漢平;路笑凡;朱林
• 申請（專利權）人: 北京祥云天地科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京國昊天誠知識產權代理有限公司 11315
• 代理人: 黃熊

1.一種基于行為模型對用戶登錄進行識別的方法，其特征在于，包括：

獲取用戶發送的登錄請求，并分析所述登錄請求的行為特征；

將所述行為特征與預設的行為模型中包含的行為特征進行匹配，其中，所述行為模型中包含不同用戶行為對應的行為特征；

根據匹配結果，對所述登錄請求進行識別。

2.如權利要求1所述的方法，其特征在于，獲取用戶發送的登錄請求，并分析所述登錄請求的行為特征，包括：

獲取用戶發送的至少一個登錄請求，并通過HTTP解碼分析，判斷在設定時間長度內用戶發送的所述至少一個登錄請求中是否包含同一個賬戶信息且登錄結果是否為失敗；

若確定在設定時間長度內用戶發送的所述至少一個登錄請求中是包含同一個賬戶信息且登錄結果為失敗時，將在設定時間長度內用戶發送的所述至少一個登錄請求中是包含同一個賬戶信息且登錄結果為失敗確定為所述至少一個登錄請求的行為特征。

3.如權利要求1所述的方法，其特征在于，獲取用戶發送的登錄請求，并分析所述登錄請求的行為特征，包括：

獲取用戶發送的包含不同賬戶信息的登錄請求，并通過HTTP解碼分析，判斷所述登錄請求重復發送的次數；

若所述登錄請求重復發送的次數大于設定閾值時，將重復發送登錄請求的次數大于設定閾值確定為包含不同賬戶信息的登錄請求的行為特征。

4.如權利要求1所述的方法，其特征在于，獲取用戶發送的登錄請求，并分析所述登錄請求的行為特征，包括：

獲取用戶發送的登錄請求，其中，所述登錄請求用于請求獲取用戶信息；

接收服務器發送的針對所述登錄請求的返回消息，并通過HTTP解碼分析返回的所述返回消息中是否包含用戶的賬戶信息；

若所述返回消息中包含用戶的賬戶信息時，將請求獲取用戶的賬戶信息確定為所述登錄請求的行為特征。

5.如權利要求1所述的方法，其特征在于，獲取用戶發送的登錄請求，并分析所述登錄請求的行為特征，包括：

獲取用戶發送的登錄請求，其中，所述登錄請求用于請求對站點進行掃描；

通過HTTP解碼分析所述登錄請求對站點的掃描行為以及服務器側的響應內容；

若分析結果為響應內容屬于錯誤內容時，確定所述登錄請求對站點的掃描行為為惡意掃描行為，則將響應內容屬于錯誤內容確定為所述登錄請求的行為特征。

6.如權利要求1所述的方法，其特征在于，通過以下方式建立行為模型：

獲取不同用戶的歷史用戶行為數據，其中，所述歷史用戶行為數據中包含用戶登錄行為數據；

根據所述歷史用戶行為數據中包含用戶登錄行為數據，確定所述用戶登錄行為數據中包含的行為特征；

利用所述行為特征，建立行為模型，其中，不同的所述行為特征對應的所述行為模型不同。

7.如權利要求6所述的方法，其特征在于，所述行為模型至少包含以下一種行為模型：

惡意撞庫行為模型，其中，所述惡意撞庫行為模型的行為特征為重復發送的次數大于設定閾值；

連續惡意登錄行為模型，其中，所述連續惡意登錄行為模型的行為特征為在設定時間長度內用戶發送的所述至少一個登錄請求中是包含同一個賬戶信息且登錄結果為失?。?/p>

用戶賬戶信息獲取行為模型，其中，所述用戶賬戶信息獲取行為模型的行為特征為請求獲取用戶的賬戶信息；

惡意掃描行為模型，其中，所述惡意掃描行為模型的行為特征為響應內容屬于錯誤內容。

8.如權利要求1至7任一項所述的方法，其特征在于，根據匹配結果，對所述登錄請求進行識別，包括：

若匹配結果為與預設的行為模型中包含的行為特征相同，則發送報警消息；

若匹配結果為與預設的行為模型中包含的行為特征不相同，則對所述登錄請求進行處理。

9.如權利要求1所述的方法，其特征在于，所述方法還包括：

獲取用戶發送的數據庫訪問請求，并分析所述數據庫訪問請求的訪問數據庫行為特征；

將所述訪問數據庫行為特征與預設的訪問數據庫行為模型中包含的行為特征進行匹配，其中，所述訪問數據庫行為模型中包含不同用戶訪問數據庫行為對應的行為特征；

根據所述訪問數據庫行為特征，對訪問數據庫的行為進行識別。