[發明專利]一種攻擊識別方法及其識別系統

有效

• 申請號: 201810036310.7
• 申請日: 2018-01-15
• 公開（公告）號: CN109150819B
• 公開（公告）日: 2019-06-11
• 發明（設計）人: 夏俊海;劉鑫琪;陳哲;叢磊
• 申請（專利權）人: 北京數安鑫云信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L29/12
• 代理公司: 北京名華博信知識產權代理有限公司 11453
• 代理人: 李冬梅;苗源

1.一種攻擊識別方法，其特征在于，包括以下步驟：

S1：獲取一域名的訪問日志流，基于去掉了靜態資源的訪問日志流獲取各用戶在訪問所述域名時的瀏覽路徑信息，并基于所述瀏覽路徑信息確定該域名的瀏覽路徑規律；

S2：根據所述瀏覽路徑規律計算各用戶訪問所述域名時采用所述瀏覽路徑規律中一瀏覽路徑的概率；

S3：獲取一用戶訪問所述域名時采用該瀏覽路徑的次數；

S4：基于所述次數和所述概率，確定所述用戶采用所述瀏覽路徑訪問所述域名的威脅程度。

2.根據權利要求1所述的攻擊識別方法，其特征在于，步驟S1中基于所述瀏覽路徑信息確定該域名的瀏覽路徑規律的步驟包括：

S11：確定一用戶訪問所述域名時瀏覽的一頁面對應的地址節點是否記錄在瀏覽路徑中；

S12：確定包含一個或多個地址節點的瀏覽路徑的最后地址節點，

其中，當滿足下述條件中任一項時，確定一用戶訪問所述域名時瀏覽的一頁面對應的地址節點記錄在瀏覽路徑中：

一地址節點的訪問時刻與該地址節點的前一個地址節點的訪問時刻之間的時間間隔超過設定時間閾值；

一地址節點為關鍵節點；

一地址節點的前一個地址節點為關鍵節點，

其中，通過以下方式之一確定關鍵節點：

將節點流量I大于指定閾值的節點確定為關鍵節點；

將流量I按照從大到小的順序對節點進行排序，將前K個節點確定為關鍵節點，

其中，I＝pv×uip，pv代表頁面瀏覽量，uip代表訪問的IP數量。

3.根據權利要求2所述的攻擊識別方法，其特征在于，確定包含一個或多個地址節點的瀏覽路徑的最后地址節點包括以下方式中任一項：

一地址節點的訪問時刻與該地址節點的前一個地址節點的訪問時刻之間的時間間隔超過設定時間閾值，則該地址節點為其所在瀏覽路徑中的最后地址節點；

一地址節點的前一個地址節點為關鍵節點，則該地址節點為其所在瀏覽路徑中的最后地址節點；

一瀏覽路徑中截止一地址節點的地址節點個數超過設定節點數閾值，則該地址節點為所述瀏覽路徑中的最后地址節點。

4.根據權利要求1所述的攻擊識別方法，其特征在于，根據所述瀏覽路徑規律計算各用戶訪問所述域名時采用所述瀏覽路徑規律中一路徑的概率包括：

其中q_i表示各用戶訪問所述域名時采用所述瀏覽路徑規律中一瀏覽路徑的概率，uip_i表示訪問所述域名時采用該瀏覽路徑的用戶IP數量，uip_k表示訪問所述域名時采用的瀏覽路徑與該瀏覽路徑具有相同最后地址節點的用戶IP數量，n表示訪問所述域名時采用的瀏覽路徑與該瀏覽路徑具有相同最后地址節點的路徑數量。

5.根據權利要求4所述的攻擊識別方法，其特征在于，確定該用戶采用該瀏覽路徑訪問所述域名的威脅程度的方法包括：

計算其中

并且其中，w表示該用戶采用該瀏覽路徑訪問所述域名的威脅指數，r表示該用戶訪問所述域名時采用該瀏覽路徑的次數，q表示各用戶訪問所述域名時采用該瀏覽路徑的概率，且a的取值范圍為0-1；若所述威脅指數大于設定指數閾值，則確定該用戶采用該瀏覽路徑對所述域名的訪問為威脅訪問。

6.一種攻擊識別系統，其特征在于，包括：

瀏覽路徑規律模塊：用于獲取一域名的訪問日志流，基于去掉了靜態資源的訪問日志流獲取各用戶在訪問所述域名時的瀏覽路徑信息，并基于所述瀏覽路徑信息確定該域名的瀏覽路徑規律；

概率模塊：與所述瀏覽路徑規律模塊相連，用于根據所述瀏覽路徑規律計算各用戶訪問所述域名時采用所述瀏覽路徑規律中一瀏覽路徑的概率；

次數模塊：用于獲取一用戶訪問所述域名時采用該瀏覽路徑的次數；

威脅程度模塊：與所述概率模塊和所述次數模塊相連，基于所述次數和所述概率，確定所述用戶采用所述瀏覽路徑訪問所述域名的威脅程度。