[發(fā)明專利]一種深度追蹤團伙攻擊行為的AI檢測方法和裝置

有效

• 申請?zhí)枺?/td>: 201811085395.4
• 申請日: 2018-09-18
• 公開（公告）號: CN110912861B
• 公開（公告）日: 2022-02-15
• 發(fā)明（設(shè)計）人: 陳峰;叢磊
• 申請（專利權(quán)）人: 北京數(shù)安鑫云信息技術(shù)有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京名華博信知識產(chǎn)權(quán)代理有限公司 11453
• 代理人: 白瑩;苗源

本發(fā)明公開了一種深度追蹤團伙攻擊行為的AI檢測方法和裝置，此方法包括：從網(wǎng)絡(luò)訪問日志中提取各用戶IP的第一信息、第二信息和第三信息；基于第一信息獲取各用戶IP的第一統(tǒng)計特征，基于第一統(tǒng)計特征對用戶IP進行主題聚類，獲得分別對應(yīng)不同主題的大簇；基于第二信息獲取各用戶IP的第二統(tǒng)計特征，基于第二統(tǒng)計特征對每個大簇中的用戶IP進行行為聚類，獲得分別對應(yīng)不同行為的多個小簇；基于第三信息獲取各小簇的第三統(tǒng)計特征；當小簇的第三統(tǒng)計特征與團伙攻擊行為模型的攻擊特征匹配時，確定該小簇中的各用戶IP存在團伙攻擊行為。本發(fā)明提高了檢測團伙攻擊行為的準確率。

技術(shù)領(lǐng)域

本發(fā)明涉及互聯(lián)網(wǎng)安全技術(shù)領(lǐng)域，尤其涉及一種深度追蹤團伙攻擊行為的AI檢測方法和裝置。

背景技術(shù)

隨著計算機與網(wǎng)絡(luò)技術(shù)的發(fā)展，計算機的處理能力迅速增長，內(nèi)存增加，網(wǎng)絡(luò)帶寬的提升，這使得之前一對一的網(wǎng)絡(luò)攻擊形式所造成的危害大大減弱了，互聯(lián)網(wǎng)的團伙攻擊形式就出現(xiàn)了。

互聯(lián)網(wǎng)上的團伙攻擊是指黑客將代理程序安裝在網(wǎng)絡(luò)上的許多計算機上，這些被安裝了代理程序的計算機作為代理服務(wù)器，黑客使用這些代理服務(wù)器作為跳板對目標服務(wù)器發(fā)起攻擊，代理服務(wù)器發(fā)出的攻擊行為和正常用戶的訪問行為非常相似，發(fā)送的攻擊報文的頻率也非常低，但是由于代理服務(wù)器的數(shù)量很多，大量的對目標服務(wù)器的請求訪問，導致目標服務(wù)器拒絕服務(wù)或者死機等，為了對團伙攻擊行為進行有效檢測，需要提出新的技術(shù)方案。

發(fā)明內(nèi)容

為了解決上述技術(shù)問題，本發(fā)明提供了一種深度追蹤團伙攻擊行為的AI檢測方法和裝置。

本發(fā)明提供了一種深度追蹤團伙攻擊行為的AI檢測方法，包括：

從網(wǎng)絡(luò)訪問日志中提取各用戶IP的第一信息、第二信息和第三信息；

基于所述第一信息獲取各用戶IP的第一統(tǒng)計特征，基于所述第一統(tǒng)計特征對用戶IP進行主題聚類，獲得分別對應(yīng)不同主題的大簇；

基于所述第二信息獲取各用戶IP的第二統(tǒng)計特征，基于所述第二統(tǒng)計特征對每個大簇中的用戶IP進行行為聚類，獲得分別對應(yīng)不同行為的多個小簇；

基于所述第三信息獲取所述各小簇的第三統(tǒng)計特征；

當所述小簇的第三統(tǒng)計特征與團伙攻擊行為模型的攻擊特征匹配時，確定該小簇中的各用戶IP存在團伙攻擊行為。

上述方法還具有以下特征：

所述第一信息包括：各用戶IP的網(wǎng)絡(luò)訪問日志中的URL；

所述第一統(tǒng)計特征包括：基于各用戶IP按照URL語法對URL進行分詞所提取的分詞的信息。

上述方法還具有以下特征：

所述第二信息包括下列中的至少一項：各用戶IP網(wǎng)絡(luò)訪問日志中的URL、GET請求報文、HEAD請求報文、POST請求報文、PUT請求報文、DELETE請求報文、OPTIONS請求報文、TRACE請求報文、CONNECT請求報文、1XX響應(yīng)報文、2XX響應(yīng)報文、3XX響應(yīng)報文、4XX響應(yīng)報文、5XX響應(yīng)報文；

所述第二統(tǒng)計特征包括對應(yīng)于所述第二信息的以下特征中的至少一項：各用戶IP的平均URI數(shù)、平均GET請求報文數(shù)、平均HEAD請求報文數(shù)、平均POST請求報文數(shù)、平均PUT請求報文數(shù)、平均DELETE請求報文數(shù)、平均OPTIONS請求報文數(shù)、平均TRACE請求報文數(shù)、平均CONNECT請求報文數(shù)、平均1XX響應(yīng)報文數(shù)、平均2XX響應(yīng)報文數(shù)、平均3XX響應(yīng)報文數(shù)、平均4XX響應(yīng)報文數(shù)、平均5XX響應(yīng)報文數(shù)、平均URL PATTERN數(shù)、平均REFER數(shù)、平均user agent數(shù)。

上述方法還具有以下特征：

所述第三信息包括下列中的至少一項：每個小簇中各用戶IP的網(wǎng)段信息、各用戶IP網(wǎng)絡(luò)訪問日志中的URL；