[發明專利]一種數據檢測方法及系統

在審

• 申請號: 201711024393.X
• 申請日: 2017-10-27
• 公開（公告）號: CN109726727A
• 公開（公告）日: 2019-05-07
• 發明（設計）人: 錢湖海;魯銀冰;林宇俊;許鑫伶;高瑞令
• 申請（專利權）人: 中移（杭州）信息技術有限公司;中國移動通信集團公司
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06F17/27
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 郭潤湘

本發明實施例中提供一種數據檢測方法及系統，用以解決現有技術中存在的在確定后門入侵時準確性較低的技術問題。其中，數據檢測方法包括：獲取待檢測請求數據，所述待檢測請求數據為采用預設傳輸協議的請求數據；基于訓練后的支持向量機SVM模型對所述待檢測請求數據進行檢測，獲得檢測值；其中，所述訓練后的SVM模型為根據歷史請求數據集合訓練所確定的、用于識別異常請求數據的模型；確定所述檢測值小于預設閾值，輸出用于表征所述待檢測請求數據為異常請求數據的檢測結果。

技術領域

本發明涉及計算機技術領域，尤其涉及一種數據檢測方法及系統。

背景技術

近年來，隨著網頁Web應用的廣泛使用，Web安全問題也日益突出，Web后門入侵已經成為Web應用中普遍存在的安全隱患之一。針對Web后門入侵進行了一系列檢測手段的研究與應用。

現有技術中通常采用如下幾種方式進行檢測：

方式一、構造帶有危險標記的外部參數提供給待檢測網站文件，然后判斷待檢測網站文件在運行過程中是否執行待危險標記的外部參數，若執行，確定待檢測網站文件為后門文件，這種方式顯然需要大量的程序操作，且已知的危險參數有限，使得確定后門文件的準確性較低。

方式二、如果超文本傳輸協議(Hyper Text Transfer Protocol，HTTP)登陸行為都是針對一個頁面進行的，并且第一個請求包的響應包對應為登陸框，并且請求包的順序為獲取GET請求、傳遞POST請求、GET請求，則判定服務器端的該頁面為網頁后門，顯然方式二中只是針對登錄場景的請求順序來判定后門請求，判別場景有限，準確性仍舊較低。

方式三、獲取待檢測網站在第一統計時長內被訪問的統一資源定位符(UniformResource Locator，URL)，得到包含URL的第一集合；獲取待檢測網站在第一統計時長之后的第二統計時長內被訪問的URL，得到包含URL的第二集合；將第二集合中包含的且第一集合中未包含的URL確定為可疑URL；判斷通過上述可疑URL請求網頁得到的網頁代碼中是否包含預先確定的后門指紋；若是，判定待檢測網站存在后門程序。這種方式需要獲得大量的URL，存在漏判，準確性也是較低的。

綜上可知，現有技術中存在電子設備在確定后門入侵時準確性較低的技術問題。

發明內容

本發明實施例提供一種數據檢測方法及系統，用以解決現有技術中存在的確定后門入侵時準確性較低的技術問題。

第一方面，本發明實施例提供一種數據檢測方法，包括：

獲取待檢測請求數據，所述待檢測請求數據為采用預設傳輸協議的請求數據；基于訓練后的支持向量機SVM模型對所述待檢測請求數據進行檢測，獲得檢測值；其中，所述訓練后的SVM模型為根據歷史請求數據集合訓練所確定的、用于識別異常請求數據的模型；確定所述檢測值小于預設閾值，輸出用于表征所述待檢測請求數據為異常請求數據的檢測結果。

在一種可能的實現方式中，在所述獲取待檢測請求數據之前，所述方法還包括：

獲取包括至少兩條歷史異常請求數據的歷史請求數據集合；

對所述歷史請求數據集合中的每條歷史請求數據進行詞法分割，獲得與所述歷史請求數據集合對應的M個關鍵詞及每個關鍵詞對應的關鍵詞特征信息，所述關鍵詞特征信息包括相應關鍵詞的出現次數，M為大于等于1的整數；

基于所述歷史請求數據集合、所述M個關鍵詞及每個關鍵詞對應的關鍵詞特征信息對待訓練SVM模型進行訓練，獲得訓練后的SVM模型。

在一種可能的實現方式中，在確定所述歷史請求數據集合之前，所述方法還包括：獲取歷史標簽樣本集合，所述歷史標簽樣本集合中每個歷史標簽樣本對應一條歷史請求數據；基于所述歷史標簽樣本集合，確定所述歷史請求數據集合。