[發(fā)明專利]一種惡意探測(cè)行為的檢測(cè)方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201710729894.1
• 申請(qǐng)日: 2017-08-23
• 公開(kāi)（公告）號(hào): CN109428857B
• 公開(kāi)（公告）日: 2021-01-05
• 發(fā)明（設(shè)計(jì)）人: 馬立偉;王月強(qiáng);李志豪;張剛;王朝飛
• 申請(qǐng)（專利權(quán)）人: 騰訊科技（深圳）有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 王仲凱

本發(fā)明實(shí)施例公開(kāi)一種惡意探測(cè)行為的檢測(cè)方法和裝置，可提高惡意探測(cè)行為的檢測(cè)效果。在該方法中，獲取客戶端發(fā)送給網(wǎng)絡(luò)服務(wù)器的探測(cè)行為集合；分別判斷每個(gè)待檢測(cè)URL是否與非惡意URL畫(huà)像集合中的非惡意URL畫(huà)像相同，若待檢測(cè)URL與非惡意URL畫(huà)像集合中的非惡意URL畫(huà)像相同，確定待檢測(cè)URL與非惡意URL畫(huà)像集合不存在偏移，若待檢測(cè)URL與非惡意URL畫(huà)像集合中的所有非惡意URL畫(huà)像都不相同，確定待檢測(cè)URL與非惡意URL畫(huà)像集合存在偏移；對(duì)與非惡意URL畫(huà)像集合存在偏移的待檢測(cè)URL的個(gè)數(shù)進(jìn)行求和計(jì)算，得到客戶端在檢測(cè)時(shí)間段內(nèi)的偏移總量；當(dāng)偏移總量超過(guò)偏移閾值時(shí)，確定客戶端在執(zhí)行惡意探測(cè)行為。

技術(shù)領(lǐng)域

本發(fā)明涉及計(jì)算機(jī)技術(shù)領(lǐng)域，尤其涉及一種惡意探測(cè)行為的檢測(cè)方法和裝置。

背景技術(shù)

隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，用戶在互聯(lián)網(wǎng)上進(jìn)行的操作會(huì)越來(lái)越頻繁，與此同時(shí)，一些惡意分子開(kāi)發(fā)自動(dòng)訪問(wèn)程序在互聯(lián)網(wǎng)上進(jìn)行惡意行為，例如破解用戶標(biāo)識(shí)的密碼，利用破解的用戶標(biāo)識(shí)發(fā)送垃圾消息和盜取財(cái)產(chǎn)等，因此需要對(duì)惡意行為進(jìn)行有效檢測(cè)。

目前，網(wǎng)絡(luò)(web)掃描探測(cè)是黑客進(jìn)入內(nèi)網(wǎng)后進(jìn)一步入侵滲透的常用手段，例如，通過(guò)爬蟲(chóng)獲取統(tǒng)一資源定位符(Uniform Resource Locator，URL)資源樹(shù)，或者探測(cè)網(wǎng)絡(luò)服務(wù)器的管理后臺(tái)都是黑客踩點(diǎn)的常用手段，當(dāng)前業(yè)內(nèi)檢測(cè)惡意探測(cè)行為的方法具體可以為：某一用戶通過(guò)URL訪問(wèn)網(wǎng)絡(luò)中對(duì)應(yīng)的網(wǎng)頁(yè)內(nèi)容時(shí)，統(tǒng)計(jì)目的URL在單位時(shí)間內(nèi)被訪問(wèn)的總次數(shù)，當(dāng)該總次數(shù)超過(guò)某個(gè)閾值時(shí)確定為惡意探測(cè)行為。其中惡意探測(cè)行為常用于各類欺詐、仿冒、釣魚(yú)或掛馬網(wǎng)頁(yè)，當(dāng)用戶不慎訪問(wèn)此類網(wǎng)頁(yè)時(shí)，就可能對(duì)用戶造成如經(jīng)濟(jì)上的損失、個(gè)人隱私信息的泄露或是使當(dāng)前電腦感染木馬病毒等不利影響。

現(xiàn)有技術(shù)中，對(duì)惡意探測(cè)行為進(jìn)行檢測(cè)主要依賴于對(duì)目的URL的訪問(wèn)總次數(shù)的統(tǒng)計(jì)以及與閾值的判斷，但是這種方案無(wú)法發(fā)現(xiàn)訪問(wèn)總數(shù)小于該閾值的惡意探測(cè)行為，且因用戶正常的訪問(wèn)請(qǐng)求也會(huì)惡意探測(cè)行為夾雜在一起，從而會(huì)造成大量誤報(bào)。假如閾值設(shè)置的過(guò)小，則會(huì)產(chǎn)生大量誤報(bào)，若該閾值設(shè)置的過(guò)大，則會(huì)無(wú)法有效檢測(cè)到惡意探測(cè)行為，因此現(xiàn)有技術(shù)提供的惡意探測(cè)行為的檢測(cè)方案存在檢測(cè)效果差的問(wèn)題。

發(fā)明內(nèi)容

本發(fā)明實(shí)施例提供了一種惡意探測(cè)行為的檢測(cè)方法和裝置，用于有效解決惡意探測(cè)行為的發(fā)現(xiàn)問(wèn)題，提高惡意探測(cè)行為的檢測(cè)效果。

為解決上述技術(shù)問(wèn)題，本發(fā)明實(shí)施例提供以下技術(shù)方案：

第一方面，本發(fā)明實(shí)施例提供一種惡意探測(cè)行為的檢測(cè)方法，包括：

獲取客戶端發(fā)送給網(wǎng)絡(luò)服務(wù)器的探測(cè)行為集合，所述探測(cè)行為集合包括：在預(yù)置的檢測(cè)時(shí)間段內(nèi)收集到的至少一個(gè)探測(cè)行為，其中每個(gè)探測(cè)行為攜帶有一個(gè)待檢測(cè)統(tǒng)一資源定位符URL；

分別判斷每個(gè)待檢測(cè)URL是否與非惡意URL畫(huà)像集合中的非惡意URL畫(huà)像相同，若所述待檢測(cè)URL與所述非惡意URL畫(huà)像集合中的非惡意URL畫(huà)像相同，確定所述待檢測(cè)URL與所述非惡意URL畫(huà)像集合不存在偏移，若所述待檢測(cè)URL與所述非惡意URL畫(huà)像集合中的所有非惡意URL畫(huà)像都不相同，確定所述待檢測(cè)URL與所述非惡意URL畫(huà)像集合存在偏移，所述非惡意URL畫(huà)像通過(guò)對(duì)所述網(wǎng)絡(luò)服務(wù)器記錄的歷史訪問(wèn)數(shù)據(jù)進(jìn)行統(tǒng)計(jì)得到；

對(duì)與所述非惡意URL畫(huà)像集合存在偏移的待檢測(cè)URL的個(gè)數(shù)進(jìn)行求和計(jì)算，得到所述客戶端在所述檢測(cè)時(shí)間段內(nèi)的偏移總量，

當(dāng)所述客戶端在所述檢測(cè)時(shí)間段內(nèi)的偏移總量超過(guò)預(yù)置的偏移閾值時(shí)，確定所述客戶端在執(zhí)行惡意探測(cè)行為。

第二方面，本發(fā)明實(shí)施例還提供一種惡意探測(cè)行為的檢測(cè)裝置，包括：

探測(cè)行為獲取模塊，用于獲取客戶端發(fā)送給網(wǎng)絡(luò)服務(wù)器的探測(cè)行為集合，所述探測(cè)行為集合包括：在預(yù)置的檢測(cè)時(shí)間段內(nèi)收集到的至少一個(gè)探測(cè)行為，其中每個(gè)探測(cè)行為攜帶有一個(gè)待檢測(cè)統(tǒng)一資源定位符URL；