[發明專利]行為識別方法和裝置、存儲介質及電子設備

有效

• 申請號: 202011490782.3
• 申請日: 2020-12-17
• 公開（公告）號: CN112231700B
• 公開（公告）日: 2021-05-11
• 發明（設計）人: 彭晨晨;陳國;盛紅利;陳江洪
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/31
• 代理公司: 北京康信知識產權代理有限責任公司 11240
• 代理人: 周婷婷

1.一種行為識別方法，其特征在于，包括：

獲取請求訪問預設的多個地址中的目標地址的訪問行為數據；

在從所述訪問行為數據中檢測到攻擊行為數據的情況下，提取所述訪問行為數據中的對象訪問軌跡，其中，每條所述對象訪問軌跡為一個訪問請求對象在目標時間段內觸發的訪問行為所生成的訪問軌跡，所述對象訪問軌跡為所述訪問請求對象在所述目標時間段內所訪問的每一個訪問鏈接的一級訪問目錄位置及訪問資源后綴標識按照訪問時間順序排序而生成的軌跡；

將所述對象訪問軌跡轉化為對應的對象訪問軌跡序列，包括：統計所述對象訪問軌跡中的字符串的出現頻率；根據所述出現頻率從所述字符串確定出目標字符串；對所述目標字符串進行哈希編碼處理，以得到所述對象訪問軌跡轉化后的所述對象訪問軌跡序列；

將所述對象訪問軌跡序列依次輸入行為識別模型，以得到與所述對象訪問軌跡相匹配的行為識別相似度，其中，所述行為識別模型為采用訪問行為的訪問行為數據進行訓練后得到的用于識別異常訪問行為的模型，所述行為識別相似度用于指示所述對象訪問軌跡序列所指示的對象訪問行為與正常訪問行為之間的相似度；

將所述行為識別相似度小于目標閾值的所述對象訪問軌跡序列所指示的所述對象訪問行為，識別為異常訪問行為。

2.根據權利要求1所述的方法，其特征在于，所述提取所述訪問行為數據中的對象訪問軌跡包括：

從所述訪問行為數據中，提取每個發起訪問請求的請求對象在所述目標時間段內所訪問的全部訪問鏈接；

從每個訪問鏈接中提取訪問路徑特征，并對所述訪問路徑特征進行拼接，得到與所述訪問鏈接匹配的訪問行為特征；

對所述訪問行為特征按照訪問時間順序進行排序，以生成所述請求對象對應的所述對象訪問軌跡。

3.根據權利要求2所述的方法，其特征在于，在所述從每個訪問鏈接中提取訪問路徑特征，并對所述訪問路徑特征進行拼接，得到與所述訪問鏈接匹配的訪問行為特征包括：

從所述訪問鏈接中提取訪問路徑中的一級訪問目錄位置及訪問資源后綴標識，其中，所述訪問路徑特征包括所述一級訪問目錄位置及所述訪問資源后綴標識；

對所述一級訪問目錄位置及所述訪問資源后綴標識進行組合拼接，以生成所述訪問鏈接匹配的所述訪問行為特征。

4.根據權利要求1所述的方法，其特征在于，所述將所述對象訪問軌跡序列依次輸入行為識別模型，以得到與所述對象訪問軌跡相匹配的行為識別相似度包括：

在所述行為識別模型是基于隱馬爾可夫模型創建的情況下，通過所述行為識別模型獲取所述對象訪問軌跡序列對應的對象狀態轉移概率矩陣和對象觀測概率矩陣，其中，所述對象狀態轉移概率矩陣中的每個元素用于指示所述對象訪問軌跡序列對應的多個隱藏狀態中任意兩個隱藏狀態之間進行轉換的概率，所述對象觀測概率矩陣是基于所述對象狀態轉移概率矩陣計算得到；

基于所述行為識別模型的初始狀態概率矩陣、所述對象狀態轉移概率矩陣和所述對象觀測概率矩陣，確定所述行為識別相似度。

5.根據權利要求4所述的方法，其特征在于，在所述獲取請求訪問目標地址的訪問行為數據之前，還包括：

獲取所述訪問行為的訪問行為數據，作為樣本訪問行為數據；

對檢測到所述攻擊行為數據的樣本訪問行為數據進行軌跡提取，得到樣本訪問軌跡；

將所述樣本訪問軌跡轉化為對應的樣本訪問軌跡序列；

將所述樣本訪問軌跡序列輸入初始行為識別模型進行訓練，以得到所述行為識別模型，其中，所述行為識別模型中包括所述初始狀態概率矩陣。

6.根據權利要求4所述的方法，其特征在于，在所述獲取請求訪問目標地址的訪問行為數據之前，還包括：

將訓練完成的所述行為識別模型部署在與所述目標地址的目標路由關聯的防護系統中，其中，所述防護系統與攻擊行為檢測系統具有通信關系，所述攻擊行為檢測系統用于根據所述目標地址的訪問流量變化數據，從所述訪問行為數據中檢測出所述攻擊行為數據。