[發明專利]一種網絡訪問異常檢測方法及裝置

有效

• 申請號: 201710656409.2
• 申請日: 2017-08-03
• 公開（公告）號: CN107395608B
• 公開（公告）日: 2020-09-11
• 發明（設計）人: 白敏;高浩浩
• 申請（專利權）人: 奇安信科技集團股份有限公司;網神信息技術（北京）股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩;李官

本發明實施例提供一種網絡訪問異常檢測方法及裝置。所述方法包括：獲取被監測用戶網絡訪問的第一源IP地址和第一獲取時間；若判斷獲知第一源IP地址與上一次獲取到的第二日志信息中的第二源IP地址不同，且被監測用戶沒有利用VPN代理，則獲取第一源IP地址對應的第一位置信息和第二源IP地址對應的第二位置信息；根據第一位置信息、第二位置信息、第一獲取時間和第二獲取時間計算獲得到達速度；若到達速度大于預設閾值則被監測用戶網絡訪問異常。所述裝置用于執行所述方法。本發明實施例通過判斷第一源IP地址和第二源IP地址不同，且沒有利用了VPN代理，則計算得出到達速度，根據到達速度檢測網絡訪問是否異常，提高了檢測的準確度。

技術領域

本發明實施例涉及網絡安全技術領域，尤其涉及一種網絡訪問異常檢測方法及裝置。

背景技術

隨著網絡技術的不斷發展和完善，計算機網絡被廣泛應用到人類活動的各個領域，對社會經濟和人們生活的影響越來越大，互聯網已逐漸成為現代設備必不可少的組成部分。然而層出不窮的黑客攻擊和網絡入侵事件使網絡安全問題凸現出來，這給網絡本身和基于網絡的信息系統帶來了巨大的威脅。再加之入侵手段的增多、入侵危害的加深和網絡傳播速度的提升，網絡安全面臨著更大的挑戰。

現有技術中對網絡訪問異常檢測的方法有多種，例如：通過獲取用戶的日志文件，從日志文件中獲得源IP地址，將獲取到的源IP地址與上一次獲取到的日志文件中的源IP地址進行比較，如果不相同，則獲取兩個源IP地址各自對應的實際物理位置，判斷在兩個日志文件獲取的時間間隔內，是否能夠從第一物理位置到達第二物理位置，如果不能到達，則說明用戶訪問異常。但是，隨著VPN代理的出現，如果國內用戶通過VPN代理也可以獲取并使用國外的IP地址，因此，上述異常檢測的方法會存在檢測不準確的問題。

因此，如何提高對網絡訪問異常檢測的準確性，是現如今亟待解決的課題。

發明內容

針對現有技術存在的問題，本發明實施例提供一種網絡訪問異常檢測方法及裝置。

第一方面，本發明實施例提供一種網絡訪問異常檢測方法，包括：

獲取被監測用戶網絡訪問的第一日志信息，所述第一日志信息包括第一源IP地址和第一獲取時間；

若判斷獲知所述第一源IP地址與上一次獲取到的第二日志信息中的第二源IP地址不同，且所述被監測用戶沒有利用虛擬專用網絡(簡稱VPN)代理，則獲取所述第一源IP地址對應的第一位置信息和所述第二源IP地址對應的第二位置信息；

根據所述第一位置信息、所述第二位置信息、所述第一獲取時間和所述第二源IP地址對應的第二獲取時間計算獲得到達速度；

若判斷獲知所述到達速度大于預設閾值，則所述被監測用戶網絡訪問異常。

第二方面，本發明實施例提供一種網絡訪問異常檢測裝置，包括：

獲取模塊，用于獲取被監測用戶網絡訪問的第一日志信息，所述第一日志信息包括第一源IP地址和第一獲取時間；

第一判斷模塊，用于若判斷獲知所述第一源IP地址與上一次獲取到的第二日志信息中的第二源IP地址不同，且所述被監測用戶沒有利用VPN代理，則獲取所述第一源IP地址對應的第一位置信息和所述第二源IP地址對應的第二位置信息；

計算模塊，用于根據所述第一位置信息、所述第二位置信息、所述第一獲取時間和所述第二源IP地址對應的第二獲取時間計算獲得到達速度；

第一檢測模塊，用于若判斷獲知所述到達速度大于預設閾值，則所述被監測用戶網絡訪問異常。

第三方面，本發明實施例提供一種電子設備，包括：處理器、存儲器和總線，其中，

所述處理器和所述存儲器通過所述總線完成相互間的通信；