[發明專利]一種在網關上的實時惡意網頁識別方法及系統

有效

• 申請號: 201910043510.X
• 申請日: 2019-01-17
• 公開（公告）號: CN111447169B
• 公開（公告）日: 2021-06-08
• 發明（設計）人: 檀國林;張鵬;鄭超
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/9535;G06F16/906
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 余長江

1.一種在網關上的實時惡意網頁識別方法，包括：

1)采集用戶訪問網頁的流量，從中提取輕量級的惡意網頁分類特征，其中所述輕量級的惡意網頁分類特征包括基于服務器的分類特征、基于用戶的分類特征、基于URL的分類特征以及基于Referer的分類特征，所述基于服務器的分類特征包括目的IP第一個字節、目的IP第二個字節、目的IP第三個字節、目的IP第四個字節和服務器端口；所述基于用戶的分類特征包括源IP第一個字節、源IP第二個字節、源IP第三個字節、源IP第四個字節和用戶訪問時間；

2)基于上述輕量級的惡意網頁分類特征，構建實時惡意網頁分類模型；

3)將上述模型部署到核心網絡設備上，以實時預測網頁是否為惡意網頁，過濾掉非惡意網頁，攔截惡意網頁。

2.如權利要求1所述的在網關上的實時惡意網頁識別方法，其特征在于，采用點分十進制來處理目的IP地址和源IP地址，以每個IP地址字節作為一項分類特征。

3.如權利要求1所述的在網關上的實時惡意網頁識別方法，其特征在于，所述基于URL的分類特征包括URL長度、域名長度、域名是否為IP、URL中路徑的長度、URL中路徑的深度、URL中參數的長度和URL中參數的個數；所述基于Referer的分類特征包括Referer長度、域名長度、域名是否為IP、Referer中路徑的長度、Referer中路徑的深度、Referer中參數的長度和Referer中參數的個數。

4.如權利要求1所述的在網關上的實時惡意網頁識別方法，其特征在于，所述核心網絡設備包括路由器和前端機。

5.如權利要求1所述的在網關上的實時惡意網頁識別方法，其特征在于，所述方法還包括采用非參數秩和檢驗檢驗是否發生概念漂移。

6.一種在網關上的實時惡意網頁識別系統，包括：

1)流量采集模塊：采集網絡流量，從每一條流量數據的數據包的請求頭部字段中篩選出輕量級的惡意網頁分類特征，根據現有的惡意網頁黑名單數據庫，對每一行特征向量進行標記，形成訓練集，其中所述輕量級的惡意網頁分類特征包括基于服務器的分類特征、基于用戶的分類特征、基于URL的分類特征以及基于Referer的分類特征，所述基于服務器的分類特征包括目的IP第一個字節、目的IP第二個字節、目的IP第三個字節、目的IP第四個字節和服務器端口；所述基于用戶的分類特征包括源IP第一個字節、源IP第二個字節、源IP第三個字節、源IP第四個字節和用戶訪問時間；

2)分類模型訓練模塊：部署于核心網絡設備上，從上述訓練集中訓練分類器模型；

3)預測模塊：根據上述模型實時預測網頁是否為惡意網頁，過濾掉非惡意網頁，攔截惡意網頁。

7.如權利要求6所述的在網關上的實時惡意網頁識別系統，其特征在于，所述系統還包括概念漂移檢測模塊。

8.如權利要求7所述的在網關上的實時惡意網頁識別系統，其特征在于，采用非參數秩和檢驗檢驗是否發生概念漂移。

9.如權利要求6所述的在網關上的實時惡意網頁識別系統，其特征在于，所述惡意網頁黑名單數據庫包括互聯網上用戶舉報的惡意URL數據庫、公開的惡意網頁黑名單數據庫以及自研的惡意網頁檢測系統發現的惡意URL數據庫。