[發明專利]一種異常網絡訪問檢測方法、裝置、存儲介質及終端

在審

• 申請號: 202011141975.8
• 申請日: 2020-10-22
• 公開（公告）號: CN112543176A
• 公開（公告）日: 2021-03-23
• 發明（設計）人: 趙志偉
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;H04L12/24
• 代理公司: 北京辰權知識產權代理有限公司 11619
• 代理人: 劉廣達

本發明公開了一種異常網絡訪問檢測方法、裝置、存儲介質及終端，應用于用戶終端，該方法包括：從交換機的端口鏡像產生的數據流量中實時獲取流量報文；接收流量會話日志，所述流量會話日志為流量探針對所述流量報文進行預處理后所生成；將所述流量會話日志輸入預先訓練的異常網絡訪問檢測模型中，生成異常網絡分類結果；基于所述異常網絡分類結果確定是否出現異常網絡訪問。因此，采用本申請實施例，由于通過流量探針識別流量會話并提取異常網絡的行為特征，并利用異常網絡的行為特征訓練異常網絡訪問檢測模型，最后通過模型實時識別異常網絡訪問行為，從而提升了異常網絡訪問檢測的準確度，加強了有關部門對網絡管理的效率。

技術領域

本發明涉及計算機技術領域，特別涉及一種異常網絡訪問檢測方法、裝置、存儲介質及終端。

背景技術

隨著互聯網的快速發展，信息的傳遞更加的快速和廣泛。但是互聯網的發展在不同的國家要按照不同國家的法律法規進行監管。異常網絡訪問是把被法律禁止傳播的信息通過一種方式得到傳播。因此對異常網絡訪問進行檢測成為了有關部門的重點工作。

當前對異常網絡訪問行為進行檢測中，目前針對異常網絡訪問行為進行檢測例如圖1所示，其特征查找模塊主要是查找異常網絡訪問工具的PCAP包中的相同字段，包括固定位置相同字段以及浮動位置相同字段，并將匹配特征相應的寫入特征文件。上線檢測模塊主要是根據特征查找模塊所查找的特征掃描特征XML文件，通過直接匹配檢測異常網絡訪問行為。由于該方案特征點在于對異常網絡訪問工具第一次DNS請求進行抓包，并根據抓包內容的特征字符串進行查找匹配，然后通過與制定好的特征字符串進行匹配，該方法適用性差，只能在第一次請求DNS的時候進行捕捉檢測，誤報率很高，其特征字符串比較難定義，同時在大量的PCAP報文中進行字符串匹配，其檢測效率也是低下的，其檢測具備局限性，即異常網絡訪問工具特有的DNS請求的特征不具備擴展性，從而降低了異常網絡訪問行為檢測的準確度。

發明內容

本申請實施例提供了一種異常網絡訪問檢測方法、裝置、存儲介質及終端。為了對披露的實施例的一些方面有一個基本的理解，下面給出了簡單的概括。該概括部分不是泛泛評述，也不是要確定關鍵/重要組成元素或描繪這些實施例的保護范圍。其唯一目的是用簡單的形式呈現一些概念，以此作為后面的詳細說明的序言。

第一方面，本申請實施例提供了一種異常網絡訪問檢測方法，應用于用戶終端，該方法包括：

從交換機的端口鏡像產生的數據流量中實時獲取流量報文；

接收流量會話日志，所述流量會話日志為流量探針對所述流量報文進行預處理后所生成；

將所述流量會話日志輸入預先訓練的異常網絡訪問檢測模型中，生成異常網絡分類結果；

基于所述異常網絡分類結果確定是否出現異常網絡訪問。

可選的，所述預先訓練的異常網絡訪問檢測模型的訓練過程，包括：

從知識庫中采集訓練數據；

創建異常網絡訪問檢測模型，將所述訓練數據輸入所述異常網絡訪問檢測模型中進行訓練，訓練結束后生成訓練后的異常網絡訪問檢測模型；

將所述訓練后的異常網絡訪問檢測模型確定為預先訓練的異常網絡訪問檢測模型。

可選的，所述知識庫的生成過程，包括：

獲取異常網絡訪問產生的歷史流量報文；

通過流量探針對所述歷史流量報文進行預處理，生成歷史流量會話日志；

從所述歷史流量會話日志中提取預設時間段內的歷史流量會話日志；

通過所述預設時間段內的歷史流量會話日志進行特征學習后生成知識庫。

可選的，所述基于所述異常網絡分類結果確定是否出現異常網絡訪問，包括：