[發(fā)明專利]基于機(jī)器學(xué)習(xí)貝葉斯算法的防掃描方法、裝置和服務(wù)器

在審

• 申請(qǐng)?zhí)枺?/td>: 201810957134.0
• 申請(qǐng)日: 2018-08-21
• 公開(kāi)（公告）號(hào): CN109218294A
• 公開(kāi)（公告）日: 2019-01-15
• 發(fā)明（設(shè)計(jì)）人: 唐其彪;范淵
• 申請(qǐng)（專利權(quán)）人: 杭州安恒信息技術(shù)股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;G06N20/00;H04L29/12
• 代理公司: 北京超凡志成知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11371
• 代理人: 郭新娟

1.一種基于機(jī)器學(xué)習(xí)貝葉斯算法的防掃描方法，其特征在于，所述方法應(yīng)用于服務(wù)器，所述方法包括：

采集客戶端當(dāng)前訪問(wèn)行為的訪問(wèn)日志；

從所述訪問(wèn)日志中提取所述訪問(wèn)日志的特征值；

將所述特征值輸入至預(yù)設(shè)的掃描行為識(shí)別模型中，輸出識(shí)別結(jié)果；所述掃描行為識(shí)別模型通過(guò)樸素貝葉斯算法模型訓(xùn)練得到；

如果所述識(shí)別結(jié)果表明當(dāng)前訪問(wèn)行為為掃描行為，識(shí)別所述當(dāng)前訪問(wèn)行為對(duì)應(yīng)的IP地址；

在網(wǎng)絡(luò)層攔截所述IP地址發(fā)出的訪問(wèn)行為。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，從所述訪問(wèn)日志中提取所述訪問(wèn)日志的特征值的步驟包括：

去除所述訪問(wèn)日志中日志數(shù)量不足兩秒或不足100條的IP地址；

對(duì)去除后的所述訪問(wèn)日志進(jìn)行特征提取，得到所述訪問(wèn)日志的特征值。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述特征值包括響應(yīng)碼、過(guò)去兩秒的日志量角度的正切值、過(guò)去兩秒和本次訪問(wèn)日志相同IP的個(gè)數(shù)占比、過(guò)去兩秒和本次訪問(wèn)日志相同IP的404占比、過(guò)去兩秒和本次訪問(wèn)日志相同IP的端口方差、過(guò)去100條日志和本次日志相同IP的個(gè)數(shù)占比、過(guò)去100條日志和本次日志相同IP的404占比，以及過(guò)去100條日志和本次日志相同IP的端口方差中的多種。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述方法還包括：

設(shè)置過(guò)去兩秒相同IP不足100條端口的方差值為65535；

設(shè)置過(guò)去100條日志相同IP不足3條端口的方差值為65535。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述掃描行為識(shí)別模型，具體通過(guò)下述方式得到：

采集客戶端訪問(wèn)日志樣本；所述訪問(wèn)日志樣本包括掃描器行為日志樣本和正常訪問(wèn)日志樣本；

搭建初始的樸素貝葉斯算法模型；

提取所述訪問(wèn)日志樣本的特征值；

將所述訪問(wèn)日志樣本劃分成指定份數(shù)，采用K折交叉驗(yàn)證法，輪流將至少一份所述訪問(wèn)日志樣本的特征值輸入至所述初始的樸素貝葉斯算法模型中進(jìn)行訓(xùn)練，得到掃描行為識(shí)別模型；

將剩余至少一份所述訪問(wèn)日志樣本的特征值通過(guò)所述掃描行為識(shí)別模型進(jìn)行識(shí)別，輸出識(shí)別結(jié)果；

對(duì)比所述識(shí)別結(jié)果與所述識(shí)別結(jié)果對(duì)應(yīng)的訪問(wèn)日志樣本的實(shí)際結(jié)果，得到所述掃描行為識(shí)別模型的準(zhǔn)確率和召回率；所述準(zhǔn)確率為所述識(shí)別結(jié)果和實(shí)際結(jié)果均為真的訪問(wèn)日志樣本數(shù)量與識(shí)別結(jié)果為真的訪問(wèn)日志樣本數(shù)量的比值；所述召回率為所述識(shí)別結(jié)果和實(shí)際結(jié)果均為真的訪問(wèn)日志樣本數(shù)量與實(shí)際結(jié)果為真的訪問(wèn)日志樣本數(shù)量的比值；

根據(jù)所述準(zhǔn)確率和所述召回率調(diào)整所述掃描行為識(shí)別模型。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述掃描器行為日志樣本包括：掃描軟件1小時(shí)日志，以及過(guò)濾生產(chǎn)環(huán)境掃描行為IP且提取連續(xù)1小時(shí)日志；所述正常訪問(wèn)日志樣本包括：生產(chǎn)環(huán)境正常訪問(wèn)日志，以及通過(guò)過(guò)濾規(guī)則后日志響應(yīng)碼為200的日志。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述在網(wǎng)絡(luò)層攔截所述IP地址發(fā)出的訪問(wèn)行為的步驟，包括：攔截所述IP地址當(dāng)前發(fā)出的訪問(wèn)行為和/或后續(xù)發(fā)出的訪問(wèn)行為。

8.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

識(shí)別所述掃描行為對(duì)應(yīng)的掃描IP地址；

根據(jù)預(yù)設(shè)的IP地址的數(shù)據(jù)信息與威脅等級(jí)的對(duì)應(yīng)關(guān)系，對(duì)所述掃描IP地址進(jìn)行威脅等級(jí)劃分；

對(duì)連續(xù)指定次數(shù)識(shí)別為掃描IP地址的IP地址進(jìn)行指數(shù)級(jí)時(shí)長(zhǎng)封鎖；

將所述指數(shù)級(jí)時(shí)長(zhǎng)封鎖的IP地址所掃描的域名發(fā)送至所述域名對(duì)應(yīng)的服務(wù)器。