[發(fā)明專利]一種基于機(jī)器學(xué)習(xí)的智能防御系統(tǒng)及防御方法

有效

• 申請?zhí)枺?/td>: 201810246950.0
• 申請日: 2018-03-23
• 公開（公告）號: CN108512841B
• 公開（公告）日: 2021-03-16
• 發(fā)明（設(shè)計）人: 朱家興;胡靖
• 申請（專利權(quán)）人: 四川長虹電器股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N20/00
• 代理公司: 四川省成都市天策商標(biāo)專利事務(wù)所 51213
• 代理人: 秦華云;劉渝

1.應(yīng)用基于機(jī)器學(xué)習(xí)的智能防御系統(tǒng)進(jìn)行防御的方法，其特征在于，所述基于機(jī)器學(xué)習(xí)的智能防御系統(tǒng)，包含數(shù)據(jù)庫、線上單元及線下單元，所述線上單元由線上實時信息收集模塊、線上惡意請求處理模塊構(gòu)成，線下單元由線下收集信息處理模塊、機(jī)器學(xué)習(xí)模塊構(gòu)成；

所述線上實時信息收集模塊可對收到的請求進(jìn)行實時監(jiān)聽，并將監(jiān)聽到的請求實時保存至數(shù)據(jù)庫；

所述線下收集信息處理模塊可對線上實時信息收集模塊監(jiān)聽收集到的請求分別進(jìn)行信息過濾、信息歸類、信息轉(zhuǎn)化處理，并將處理后的數(shù)據(jù)輸入到相應(yīng)的用于機(jī)器學(xué)習(xí)模塊學(xué)習(xí)的學(xué)習(xí)模型上；所述學(xué)習(xí)模型包含白樣本學(xué)習(xí)模型、黑樣本學(xué)習(xí)模型、異常響應(yīng)學(xué)習(xí)模型；

所述機(jī)器學(xué)習(xí)模塊可分別學(xué)習(xí)白樣本學(xué)習(xí)模型、黑樣本學(xué)習(xí)模型、異常響應(yīng)學(xué)習(xí)模型內(nèi)的請求數(shù)據(jù)，再分別建立正常請求特征庫、異常請求特征庫及異常響應(yīng)庫；

所述線上惡意請求處理模塊可根據(jù)機(jī)器學(xué)習(xí)模塊建立的正常請求特征庫、異常請求特征庫及異常響應(yīng)庫內(nèi)包含的請求信息對線上實時請求進(jìn)行識別并攔截、響應(yīng)惡意請求；

所述基于機(jī)器學(xué)習(xí)的智能防御系統(tǒng)進(jìn)行防御的方法具體包含以下步驟：

S1.線上實時信息收集模塊對目標(biāo)系統(tǒng)實施實時請求監(jiān)聽，收集并保存監(jiān)聽到的請求信息到數(shù)據(jù)庫中；

S2.線下收集信息處理模塊對數(shù)據(jù)庫中的請求信息進(jìn)行信息過濾、信息歸類、信息轉(zhuǎn)化處理，再將處理后的數(shù)據(jù)輸入到機(jī)器學(xué)習(xí)模塊的相關(guān)的學(xué)習(xí)模型上，其中，所述學(xué)習(xí)模型包含白樣本學(xué)習(xí)模型、黑樣本學(xué)習(xí)模型、異常響應(yīng)學(xué)習(xí)模型內(nèi)；

S3.機(jī)器學(xué)習(xí)模塊在白樣本學(xué)習(xí)模型、黑樣本學(xué)習(xí)模型、異常響應(yīng)學(xué)習(xí)模型內(nèi)進(jìn)行訓(xùn)練、學(xué)習(xí)并生成正常請求特征庫、異常請求特征庫和異常響應(yīng)庫；所述步驟S3具體為：

S31.對大量正常請求信息的數(shù)據(jù)進(jìn)行初步學(xué)習(xí)，并提取正常請求的數(shù)據(jù)特征，建立正常請求特征庫；

S32.對通過線上單元收集的請求信息或目標(biāo)系統(tǒng)的日志進(jìn)行加強(qiáng)學(xué)習(xí)并更新正常請求特征庫；

S33.對線上單元收集的或目標(biāo)系統(tǒng)現(xiàn)有的異常請求數(shù)據(jù)進(jìn)行學(xué)習(xí)、預(yù)測、拓展，并建立及更新異常請求特征庫；

S34.利用異常請求特征庫，建立異常請求響應(yīng)模型，并進(jìn)行訓(xùn)練學(xué)習(xí)，再根據(jù)異常請求響應(yīng)模型建立異常響應(yīng)庫；

S4.線上惡意請求處理模塊利用機(jī)器學(xué)習(xí)模塊生成的正常請求特征庫和異常響應(yīng)庫對目標(biāo)系統(tǒng)的實時請求進(jìn)行識別和處理，最終完成防御。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述步驟S2中線下收集信息處理模塊對數(shù)據(jù)庫中的請求信息進(jìn)行信息過濾處理時，主要包含以下步驟：

S201.線下收集信息處理模塊先將數(shù)據(jù)庫中的請求信息按正常請求信息和惡意請求信息進(jìn)行分類；

S202.線下收集信息處理模塊再過濾正常請求信息和惡意請求信息中無效、重復(fù)的信息。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述步驟S201中線下收集信息處理模塊對請求信息按正常請求信息和惡意請求信息進(jìn)行分類時，其分類標(biāo)準(zhǔn)可依據(jù)現(xiàn)有的WAF系統(tǒng)防御規(guī)則和/或線上惡意請求處理模塊攔截記錄的結(jié)果。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述步驟S2中線下收集信息處理模塊對數(shù)據(jù)庫中的請求信息進(jìn)行信息歸類處理時，主要包含以下步驟：

S211.先將來自不同業(yè)務(wù)系統(tǒng)的請求信息按業(yè)務(wù)系統(tǒng)的不同進(jìn)行歸類；

S212.再對來自同一業(yè)務(wù)系統(tǒng)但請求方式不同的請求信息進(jìn)行歸類；

S213.最后對來自同一業(yè)務(wù)系統(tǒng)但請求的業(yè)務(wù)不同的請求信息進(jìn)行歸類。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述步驟S2中線下收集信息處理模塊對數(shù)據(jù)庫中的請求信息進(jìn)行信息轉(zhuǎn)化處理時，主要為將經(jīng)信息過濾處理的請求信息轉(zhuǎn)化為機(jī)器學(xué)習(xí)模塊可以識別和處理的數(shù)據(jù)。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述步驟S31中的正常請求信息包含非惡意請求下的網(wǎng)絡(luò)延遲的請求信息及服務(wù)端響應(yīng)延時情況下的請求信息。