[發(fā)明專利]網絡數據分析方法及服務器

有效

• 申請?zhí)枺?/td>: 201610341755.7
• 申請日: 2016-05-20
• 公開（公告）號: CN107404465B
• 公開（公告）日: 2020-08-04
• 發(fā)明（設計）人: 王海東;李然;宋加生
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 李輝

1.一種網絡數據分析方法，其特征在于，該方法包括：

獲取初始網絡流量日志；其中，所述初始網絡流量日志包括：發(fā)送方網絡地址、接收方網絡地址、請求類型和發(fā)送請求時間；

基于所述初始網絡流量日志的發(fā)送方網絡地址、接收方網絡地址、請求類型和發(fā)送請求時間，將所述初始網絡流量日志分別劃分在攻擊記錄表和掃描記錄表中；包括：獲取發(fā)送請求時間的時間差在預設時間閾值內，且所述發(fā)送方網絡地址不同且接收方網絡地址相同的待分析網絡流量日志；判斷所述待分析網絡流量日志的條數是否大于預設條數閾值，如果是，則將大于預設條數閾值的待分析網絡流量日志確定為攻擊日志，并將所述攻擊日志保存至所述攻擊記錄表；如果否，則將不大于預設的條數閾值的待分析網絡流量日志確定為掃描日志，并將所述掃描日志保存至所述掃描記錄表；其中，所述攻擊記錄表用于保存屬于攻擊類型的網絡流量日志，所述掃描記錄表用于保存屬于掃描類型的網絡流量日志；

從所述攻擊記錄表和掃描記錄表中，獲取攻擊者網絡地址和被攻擊者網絡地址作為攻擊告警數據。

2.根據權利要求1所述的方法，其特征在于，所述從所述攻擊記錄表和掃描記錄表中，獲取攻擊者網絡地址和被攻擊者網絡地址作為攻擊告警數據，包括：

從所述攻擊記錄表和掃描記錄表中，提取符合預設攻擊特征的攻擊日志和掃描日志；

對所述攻擊日志和掃描日志進行分析，得到攻擊者網絡地址和被攻擊者網絡地址作為攻擊告警數據。

3.根據權利要求2所述的方法，其特征在于，從所述攻擊記錄表和掃描記錄表中，提取符合預設的反射攻擊特征的目標網絡流量日志，包括：

從所述攻擊記錄表和掃描記錄表中，提取出符合預設的攻擊時間特征、攻擊類型特征和攻擊地址特征的目標網絡流量日志。

4.根據權利要求3所述的方法，其特征在于，所述從所述攻擊記錄表和掃描記錄表中，提取出符合預設的攻擊時間特征、攻擊類型特征和攻擊地址特征的目標網絡流量日志，包括：

判斷所述攻擊日志和掃描日志中的發(fā)送請求時間是否符合預設的攻擊時間閾值；

如果是，則判斷所述攻擊日志和所述掃描日志的請求類型是否相同；

如果是，則判斷所述攻擊日志和所述掃描日志中的發(fā)送方網絡地址是否相同；

如果是，則將對應的掃描日志和攻擊日志確定為目標網絡流量日志。

5.根據權利要求2所述的方法，其特征在于，所述攻擊告警數據還包括：發(fā)送請求時間和請求類型，則所述對所述攻擊日志和掃描日志進行分析，得到攻擊者網絡地址和被攻擊者網絡地址作為攻擊告警數據，包括：

獲取所述掃描日志中的接收方網絡地址作為攻擊者網絡地址，以及，所述攻擊日志中的接收方網絡地址作為被攻擊者網絡地址；

將所述攻擊者網絡地址、被攻擊者網絡地址、發(fā)送請求時間和請求類型組合為攻擊告警數據。

6.根據權利要求1所述的方法，其特征在于，還包括：

將所述攻擊告警數據發(fā)送至前端顯示界面以便展示。

7.根據權利要求1所述的方法，其特征在于，還包括：

針對同一個被攻擊者網絡地址，判斷是否有超過預設攻擊個數的網絡服務器向所述被攻擊者網絡地址發(fā)起數據處理請求，如果是，則將攻擊告警數據發(fā)送至所述被攻擊者網絡地址以便告警。