[發明專利]一種服務器異常檢測方法及系統

在審

• 申請號: 201710546502.8
• 申請日: 2017-07-06
• 公開（公告）號: CN107204991A
• 公開（公告）日: 2017-09-26
• 發明（設計）人: 郭開;劉伯仲;鄧永
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙)44285
• 代理人: 王仲凱

1.一種服務器異常檢測方法，其特征在于，包括：

提取目標服務器的當前行為的統計特征，得到待檢驗統計特征；

計算所述待檢驗統計特征與基準統計特征之間的相異度；其中，所述基準統計特征為預先對所述目標服務器的正常行為進行統計特征提取處理后得到的特征；

判斷所述相異度是否大于預設閾值，得到相應的判斷結果；

利用所述判斷結果確定當前所述目標服務器是否處于異常狀態。

2.根據權利要求1所述的服務器異常檢測方法，其特征在于，所述提取目標服務器的當前行為的統計特征，得到待檢驗統計特征的過程，包括：

對所述目標服務器在當前外連場景下的行為進行統計特征的提取，得到所述待檢驗統計特征；

其中，所述外連場景包括端口掃描場景和/或IP掃描場景和/或數據收集場景和/或數據外發場景和/或Dos攻擊場景。

3.根據權利要求2所述的服務器異常檢測方法，其特征在于，所述對所述目標服務器在當前外連場景下的行為進行統計特征的提取，得到所述待檢驗統計特征的過程，包括：

獲取與所述目標服務器的當前運行過程對應的日志流數據；

利用所述日志流數據，對當前所述目標服務器進行實例化處理，得到相應的服務器實例化對象；

從所述服務器實例化對象中分別提取出與所述外連場景中的每種場景一一對應的統計特征，得到所述待檢驗統計特征。

4.根據權利要求1所述的服務器異常檢測方法，其特征在于，所述計算所述待檢驗統計特征與基準統計特征之間的相異度的過程，包括：

計算所述待檢驗統計特征與所述基準統計特征之間的歐氏距離，得到第一歐式距離；

利用所述第一歐式距離確定所述相異度。

5.根據權利要求4所述的服務器異常檢測方法，其特征在于，所述計算所述待檢驗統計特征與所述基準統計特征之間的歐氏距離，得到第一歐式距離的過程，包括：

分別計算所述待檢驗統計特征與N個基準統計特征之間的歐式距離，得到相應的N個歐式距離；其中，N為正整數；

對所述N個歐式距離進行求平均處理，得到所述第一歐氏距離；

其中，所述N個基準統計特征為預先對所述目標服務器在N次不同的正常運行過程中的行為進行統計特征提取處理后得到的特征。

6.根據權利要求1所述的服務器異常檢測方法，其特征在于，所述預設閾值的確定過程，包括：

分別計算K個基準統計特征中每兩個基準統計特征之間的歐式距離，得到相應的個歐氏距離；其中，K為不小于2的整數；

對所述個歐氏距離進行求平均處理，得到第二歐式距離；

利用所述第二歐式距離確定所述預設閾值；

其中，所述K個基準統計特征為預先對所述目標服務器在K次不同的正常運行過程中的行為進行統計特征提取處理后得到的特征。

7.根據權利要求1所述的服務器異常檢測方法，其特征在于，還包括：

利用基于防火墻規則匹配的防御技術，對所述目標服務器展開安全保護。

8.根據權利要求1所述的服務器異常檢測方法，其特征在于，還包括：

若利用所述判斷結果確定出當前所述目標服務器處于正常狀態，則利用所述待檢驗統計特征對所述基準統計特征進行更新處理。

9.根據權利要求1至8任一項所述的服務器異常檢測方法，其特征在于，所述利用所述判斷結果確定當前所述目標服務器是否處于異常狀態的過程，包括：

若所述判斷結果為所述相異度大于所述預設閾值，則判定當前所述目標服務器處于異常狀態；

若所述判斷結果為所述相異度小于或等于所述預設閾值，則判定當前所述目標服務器處于正常狀態。

10.根據權利要求1至8任一項所述的服務器異常檢測方法，其特征在于，所述利用所述判斷結果確定當前所述目標服務器是否處于異常狀態的過程，包括：

若所述判斷結果為所述相異度大于所述預設閾值，則對預設的白名單進行查詢，以確定所述白名單記錄的服務器中是否包含所述目標服務器，若是，則判定當前所述目標服務器處于正常狀態，若否，則判定當前所述目標服務器處于異常狀態；

若所述判斷結果為所述相異度小于或等于所述預設閾值，則判定當前所述目標服務器處于正常狀態。