[發明專利]基于Mshield機器學習多模式Web應用防護方法

在審

• 申請號: 201710420354.5
• 申請日: 2017-06-06
• 公開（公告）號: CN107404473A
• 公開（公告）日: 2017-11-28
• 發明（設計）人: 吳文栩;歐邁;裴慶祺;趙繼龍;梁文彬;韓瑞欣
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;G06K9/62
• 代理公司: 西安長和專利代理有限公司61227
• 代理人: 黃偉洪

1.一種基于Mshield機器學習多模式Web應用防護方法，其特征在于，所述基于Mshield機器學習多模式Web應用防護方法經語義分析單元提取特征，傳輸至機器學習單元進行識別，運用隨機森林算法、邏輯回歸算法；對惡意攻擊和正常訪問請求作出有效區分，并及時對攻擊進行攔截；Mshield云平臺對設備每日上報的日志進行篩選后匯總放入數據倉庫中，作為迭代和提高算法效果的數據集；根據過去的安全態勢進行推演，預測出未來可能發生的攻擊事件和容易遭受攻擊的應用。

2.如權利要求1所述的基于Mshield機器學習多模式Web應用防護方法，其特征在于，所述傳輸至機器學習單元進行識別包括：當原始數據流進入mshield的分析模塊后，將采用語法解析器將其分解為詞向量，將原始的數據轉化為一個句子向量的標識，形如[0，1，1，1，0]；隨后將句子向量傳入由邏輯回歸，隨機森林算法組成的分類器中，根據出的結果來進行識別；

所述對惡意攻擊和正常訪問請求作出有效區分包括：在句子向量進入分類器運算后得出的label為1，則證明識別出有害的數據，結果為0則為正常數據；

所述根據過去的安全態勢進行推演包括：根據以往的數據，進行人工標注和自動聚類分析后，得到發生攻擊的時間，攻擊類型數據，多模式分析中，既可使用arima算法進行分析和預測之后的攻擊數量，態勢也可以使用lstm神經網絡，進行整個時間序列的建模，實現對較長時間后攻擊情況的預測。

3.如權利要求1所述的基于Mshield機器學習多模式Web應用防護方法，其特征在于，所述基于Mshield機器學習多模式Web應用防護方法包括以下步驟：

步驟一，當訪問者要訪問受保護網站的時候，他的流量首先要經過Mshield的清洗、過濾；原始數據經過mshield分析模塊進行分析后，根據其是否有害和威脅程度，會自動進行如何進行處理的判斷；如果屬于應用型攻擊，如sql.xss攻擊，則會自動對其攻擊語句進行過濾；如果屬于ddos，cc攻擊資源消耗型的攻擊，則mshield會將其源ip地址加入黑名單，并直接將其請求的數據包進行丟棄，實現數據的清洗；剩余的正常的訪問流量才會被發送到受保護的網站；同時，網站的返回流量通過Mshield分配回客戶端；

步驟二，管理員能夠通過管理前臺來修改Mshield的過濾規則，或者恢復被Mshield所Ban掉的IP地址；同時，Mshield會把攻擊日志向云平臺上報，使態勢感知單元能及時對其進行分析。

4.如權利要求1所述的基于Mshield機器學習多模式Web應用防護方法，其特征在于，所述基于Mshield機器學習多模式Web應用防護方法的詞向量轉換包括：通過對數據集的預處理，上下無關文法對整段代碼進行分析；通過對詞匯本身在全句中的重要程度和出現概率進行計算，獲得向量；原始的數據，如GET請求為？param＝x；采用正則表達式將param所傳遞的值進行解析，而后對其傳入sql語法解析器，或html/js語法解析器，從而將其轉換為形如[0，1，1，1，0]的詞頻向量，組合為句子向量；根據tf-idf算法，最終計算出其權重，得到最終的句子向量。

5.如權利要求1所述的基于Mshield機器學習多模式Web應用防護方法，其特征在于，所述基于Mshield機器學習多模式Web應用防護方法的機器學習模型采用Random Forest，利用決策樹進行投票策略得到的機器學習模型；機器學習模型是指，由多個弱分類器或決策樹，數量≥100組成的隨機森林，輸出結果由決策樹投票組成，每個決策樹單獨輸出其對于原始數據的判斷，1為有害和0為無害，多個決策樹的判斷匯總后，可根據取多數的原則，來進行最后的有害或無害判斷；

對輸入的一個m維特征的數據，選取其中分割出的n個維度特征，訓練一棵決策樹；

初始化生成大量的決策樹，建立起一個森林；

獲取分類結果。