[發(fā)明專利]一種網(wǎng)絡(luò)攻擊檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202010315920.8
• 申請(qǐng)日: 2020-04-21
• 公開(kāi)（公告）號(hào): CN111541687B
• 公開(kāi)（公告）日: 2022-10-11
• 發(fā)明（設(shè)計(jì)）人: 郭升挺
• 申請(qǐng)（專利權(quán)）人: 廈門(mén)網(wǎng)宿有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 鄒雅瑩

1.一種網(wǎng)絡(luò)攻擊檢測(cè)方法，其特征在于，所述方法包括：

獲取用戶的訪問(wèn)記錄；所述訪問(wèn)記錄是用戶對(duì)同一訪問(wèn)地址進(jìn)行訪問(wèn)的訪問(wèn)信息；

對(duì)所述訪問(wèn)記錄進(jìn)行特征提取，得到所述訪問(wèn)記錄的特征數(shù)據(jù)；

將所述特征數(shù)據(jù)輸入機(jī)器學(xué)習(xí)模型，確定所述用戶對(duì)所述訪問(wèn)地址的訪問(wèn)是否為惡意訪問(wèn)；所述機(jī)器學(xué)習(xí)模型是通過(guò)歷史正常訪問(wèn)記錄和歷史惡意訪問(wèn)記錄進(jìn)行訓(xùn)練得到的；所述機(jī)器學(xué)習(xí)模型為至少包括N棵決策樹(shù)的隨機(jī)森林模型，其中，所述N棵決策樹(shù)中的每棵決策樹(shù)都由第一隨機(jī)過(guò)程和第二隨機(jī)過(guò)程確定，所述第一隨機(jī)過(guò)程為隨機(jī)確定所述決策樹(shù)的特征數(shù)據(jù)，所述第二隨機(jī)過(guò)程為隨機(jī)確定所述決策樹(shù)的深度，所述決策樹(shù)的特征數(shù)據(jù)包括所述用戶對(duì)所述訪問(wèn)地址的訪問(wèn)次數(shù)、無(wú)法訪問(wèn)所述訪問(wèn)地址的次數(shù)占所述訪問(wèn)次數(shù)的比例、訪問(wèn)狀態(tài)的狀態(tài)熵，所述狀態(tài)熵用于表征所述用戶對(duì)所述訪問(wèn)地址的訪問(wèn)狀態(tài)的一致程度、所述用戶訪問(wèn)所述訪問(wèn)地址的訪問(wèn)頻率、所述用戶訪問(wèn)所述訪問(wèn)地址的不同uri的條數(shù)、所述用戶訪問(wèn)所述訪問(wèn)地址的平均資源包大小、所述用戶訪問(wèn)所述訪問(wèn)地址的所有uri的平均uri長(zhǎng)度、所述訪問(wèn)地址中包含的敏感詞的個(gè)數(shù)、所述用戶各次訪問(wèn)所述訪問(wèn)地址中子文件夾個(gè)數(shù)的方差、所述用戶各次訪問(wèn)所述訪問(wèn)地址的時(shí)間間隔、所述用戶對(duì)訪問(wèn)地址中各頁(yè)面的訪問(wèn)次數(shù)中最大訪問(wèn)次數(shù)，所述決策樹(shù)的相鄰節(jié)點(diǎn)是相同特征數(shù)據(jù)或不同特征數(shù)據(jù)，每個(gè)節(jié)點(diǎn)的特征數(shù)據(jù)的閾值或閾值范圍相同或不同。

2.如權(quán)利要求1所述的方法，其特征在于，獲取用戶的訪問(wèn)記錄，包括：

確定所述用戶對(duì)所述訪問(wèn)地址進(jìn)行訪問(wèn)后，在預(yù)設(shè)時(shí)間內(nèi)沒(méi)有再對(duì)所述訪問(wèn)地址進(jìn)行訪問(wèn)；

獲取所述用戶在所述預(yù)設(shè)時(shí)間之前對(duì)所述訪問(wèn)地址連續(xù)訪問(wèn)的訪問(wèn)信息，作為所述訪問(wèn)記錄；所述連續(xù)訪問(wèn)指相鄰兩次訪問(wèn)的時(shí)間間隔小于所述預(yù)設(shè)時(shí)間。

3.如權(quán)利要求1所述的方法，其特征在于，所述機(jī)器學(xué)習(xí)模型是通過(guò)歷史正常訪問(wèn)記錄和歷史惡意訪問(wèn)記錄進(jìn)行訓(xùn)練得到的，包括：

獲取所述歷史正常訪問(wèn)記錄和所述歷史惡意訪問(wèn)記錄；

根據(jù)所述歷史正常訪問(wèn)記錄確定所述歷史正常訪問(wèn)記錄中各個(gè)正常訪問(wèn)的特征數(shù)據(jù)；

根據(jù)所述歷史惡意訪問(wèn)記錄確定所述歷史惡意訪問(wèn)記錄中各個(gè)惡意訪問(wèn)的特征數(shù)據(jù)；

將所述各個(gè)正常訪問(wèn)的特征數(shù)據(jù)作為正樣本，將所述各個(gè)惡意訪問(wèn)的特征數(shù)據(jù)作為負(fù)樣本，對(duì)初始模型進(jìn)行機(jī)器學(xué)習(xí)，得到所述機(jī)器學(xué)習(xí)模型。

4.如權(quán)利要求1所述的方法，其特征在于，

所述隨機(jī)森林模型包含100棵決策樹(shù)，每棵決策樹(shù)的特征數(shù)據(jù)的個(gè)數(shù)最大為10，每棵決策樹(shù)的深度不大于50。

5.如權(quán)利要求1所述的方法，其特征在于，確定所述用戶對(duì)所述訪問(wèn)地址的訪問(wèn)是否為惡意訪問(wèn)之后，還包括：

若為惡意訪問(wèn)，則將所述訪問(wèn)記錄存儲(chǔ)在歷史惡意訪問(wèn)記錄中并記錄所述用戶的用戶信息；

若為正常訪問(wèn)，將所述訪問(wèn)記錄存儲(chǔ)在歷史正常訪問(wèn)記錄中。