[發明專利]一種網絡攻擊串檢測方法及裝置

在審

• 申請號: 201710524433.0
• 申請日: 2017-06-30
• 公開（公告）號: CN107241342A
• 公開（公告）日: 2017-10-10
• 發明（設計）人: 張鑫
• 申請（專利權）人: 北京奇安信科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司11002
• 代理人: 王慶龍,李官

1.一種網絡攻擊串檢測方法，其特征在于，包括：

獲取網絡字符串，對所述網絡字符串進行分詞處理，得到若干個分詞字符串；

將各分詞字符串分別輸入正常檢測模型，得到若干個對應的正常匹配值，并根據所述若干個對應的正常匹配值得到所述網絡字符串的正常檢測值；

將各分詞字符串分別輸入異常檢測模型，得到若干個對應的異常匹配值，并根據所述若干個對應的異常匹配值得到所述網絡字符串的異常檢測值；

若判斷獲知所述異常檢測值大于所述正常檢測值，則確定所述網絡字符串為網絡攻擊串。

2.根據權利要求1所述的方法，其特征在于，所述將各分詞字符串分別輸入異常檢測模型，得到若干個對應的異常匹配值，并根據所述若干個對應的異常匹配值得到所述網絡字符串的異常檢測值，具體包括：

將各分詞字符串分別輸入異常檢測模型，得到若干個對應的異常匹配值；

若判斷獲知相鄰的分詞字符串均為所述異常檢測模型中的預設攻擊串，則對所述相鄰的分詞字符串對應的異常匹配值進行加權計算；

根據各分詞字符串對應的異常匹配值得到所述網絡字符串的異常檢測值。

3.根據權利要求1所述的方法，其特征在于，所述方法還包括：

根據正常樣本數據構建所述正常檢測模型，并根據異常樣本數據構建所述異常檢測模型。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

若判斷獲知所述異常檢測值小于或等于所述正常檢測值，則確定所述網絡字符串為正常網絡串。

5.一種網絡攻擊串檢測裝置，其特征在于，包括：

字符串分詞模塊，用于獲取網絡字符串，對所述網絡字符串進行分詞處理，得到若干個分詞字符串；

正常檢測模塊，用于將各分詞字符串分別輸入正常檢測模型，得到若干個對應的正常匹配值，并根據所述若干個對應的正常匹配值得到所述網絡字符串的正常檢測值；

異常檢測模塊，用于將各分詞字符串分別輸入異常檢測模型，得到若干個對應的異常匹配值，并根據所述若干個對應的異常匹配值得到所述網絡字符串的異常檢測值；

攻擊串確定模塊，用于若判斷獲知所述異常檢測值大于所述正常檢測值，則確定所述網絡字符串為網絡攻擊串。

6.根據權利要求5所述的裝置，其特征在于，所述異常檢測模塊具體包括：

分詞字符串匹配單元，用于將各分詞字符串分別輸入異常檢測模型，得到若干個對應的異常匹配值；

匹配值加權單元，用于若判斷獲知相鄰的分詞字符串均為所述異常檢測模型中的預設攻擊串，則對所述相鄰的分詞字符串對應的異常匹配值進行加權計算；

異常檢測單元，用于根據各分詞字符串對應的異常匹配值得到所述網絡字符串的異常檢測值。

7.根據權利要求5所述的裝置，其特征在于，所述裝置還包括：

模型構建模塊，用于根據正常樣本數據構建所述正常檢測模型，并根據異常樣本數據構建所述異常檢測模型。

8.根據權利要求5所述的裝置，其特征在于，所述裝置還包括：

正常檢測模塊，用于若判斷獲知所述異常檢測值小于或等于所述正常檢測值，則確定所述網絡字符串為正常網絡串。

9.一種電子設備，其特征在于，包括：

至少一個處理器；以及

與所述處理器通信連接的至少一個存儲器，其中：

所述存儲器存儲有可被所述處理器執行的程序指令，所述處理器調用所述程序指令能夠執行如權利要求1至4任一所述的方法。

10.一種非暫態計算機可讀存儲介質，其特征在于，所述非暫態計算機可讀存儲介質存儲計算機程序，所述計算機程序使所述計算機執行如權利要求1至4任一所述的方法。