[發(fā)明專利]入侵流量檢測方法、電子設(shè)備及存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 202110863952.6
• 申請日: 2021-07-29
• 公開（公告）號: CN113315790B
• 公開（公告）日: 2021-11-02
• 發(fā)明（設(shè)計(jì)）人: 朱懷安;吳景文;張昆
• 申請（專利權(quán)）人: 湖南華菱電子商務(wù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 長沙知行亦創(chuàng)知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 43240
• 代理人: 嚴(yán)理佳;皮尚慧

1.一種入侵流量檢測方法，其特征在于，所述方法包括：

提取預(yù)設(shè)平臺的訪問流量中的IP地址，從所述IP地址中逐個(gè)選取其中一個(gè)IP地址作為目標(biāo)IP地址；其中，所述提取預(yù)設(shè)平臺的訪問流量的IP地址，包括：獲取IP協(xié)議，根據(jù)所述IP協(xié)議確定IP地址的地址格式；按照所述地址格式將預(yù)設(shè)字符編譯為正則表達(dá)式；利用所述正則表達(dá)式提取所述訪問流量中與所述地址格式相同的字段為所述訪問流量的IP地址；

若所述目標(biāo)IP地址在預(yù)設(shè)的黑名單IP地址中，則確定所述目標(biāo)IP地址對應(yīng)的訪問流量是入侵流量；

若所述目標(biāo)IP地址不在所述黑名單IP地址中，則提取所述目標(biāo)IP地址對應(yīng)的訪問流量的流量特征；

利用預(yù)先構(gòu)建的多個(gè)決策樹判斷所述流量特征是否存在異常，整合每個(gè)決策樹的判斷結(jié)果，得到結(jié)果集合；

其中，所述利用預(yù)先構(gòu)建的多個(gè)決策樹判斷所述流量特征是否存在異常，包括：從預(yù)先構(gòu)建的多個(gè)決策樹中依次選取其中一棵決策樹作為目標(biāo)決策樹，并利用所述目標(biāo)決策樹判斷所述流量特征中是否包含與所述目標(biāo)決策樹的決策條件相同的特征；若所述流量特征中包含與所述目標(biāo)決策樹的決策條件相同的特征，則判斷所述流量特征存在異常；若所述流量特征中不包含與所述目標(biāo)決策樹的決策條件相同的特征，則判斷所述流量特征不存在異常；

其中，所述判斷所述流量特征中是否包含與所述目標(biāo)決策樹的決策條件相同的特征，包括：

分別將所述流量特征中每一個(gè)特征進(jìn)行向量轉(zhuǎn)換，得到特征向量；將所述目標(biāo)決策樹的決策條件進(jìn)行向量轉(zhuǎn)換，得到?jīng)Q策向量；分別計(jì)算所述決策向量與所述流量特征中每一個(gè)特征對應(yīng)的特征向量之間的距離值，得到所述目標(biāo)決策樹的決策條件與所述流量特征之間的距離值集；當(dāng)所述距離值集中存在小于預(yù)設(shè)閾值的距離值時(shí)，確定所述流量特征中包含與所述目標(biāo)決策樹的決策條件相同的特征；當(dāng)所述距離值集中的所有距離值均大于或等于所述預(yù)設(shè)閾值時(shí)，確定所述流量特征中不包含與所述目標(biāo)決策樹的決策條件相同的特征；

若所述結(jié)果集合符合預(yù)設(shè)的入侵流量標(biāo)準(zhǔn)，則確定所述目標(biāo)IP地址對應(yīng)的訪問流量為入侵流量；其中，所述預(yù)設(shè)的入侵流量標(biāo)準(zhǔn)為：所述結(jié)果集合中，確定所述目標(biāo)IP地址對應(yīng)的訪問流量為入侵流量的判斷結(jié)果的數(shù)量，多于確定所述訪問流量不是入侵流量的判斷結(jié)果的數(shù)量；

若所述結(jié)果集合不符合所述入侵流量標(biāo)準(zhǔn)，則向所述目標(biāo)IP地址對應(yīng)的訪問流量發(fā)送驗(yàn)證請求，并獲取所述目標(biāo)IP地址對應(yīng)的訪問流量根據(jù)所述驗(yàn)證請求返回的驗(yàn)證結(jié)果；

若所述驗(yàn)證結(jié)果與預(yù)設(shè)的標(biāo)準(zhǔn)結(jié)果一致，則確定所述目標(biāo)IP地址對應(yīng)的訪問流量不是入侵流量；

若所述驗(yàn)證結(jié)果與所述標(biāo)準(zhǔn)結(jié)果不一致，則確定所述目標(biāo)IP地址對應(yīng)的訪問流量是入侵流量。

2.如權(quán)利要求1所述的入侵流量檢測方法，其特征在于，所述提取所述目標(biāo)IP地址對應(yīng)的訪問流量的流量特征，包括：

利用預(yù)先訓(xùn)練的特征提取模型對所述目標(biāo)IP地址對應(yīng)的訪問流量進(jìn)行卷積、池化操作，得到所述訪問流量的低維特征表達(dá)；

將所述低維特征表達(dá)映射至預(yù)先構(gòu)建的高維空間，得到所述低維特征表達(dá)的高維特征表達(dá)；

利用預(yù)設(shè)的激活函數(shù)計(jì)算每一個(gè)所述高維特征表達(dá)的輸出值，并確定所述輸出值大于預(yù)設(shè)輸出閾值的所述高維特征表達(dá)為所述訪問流量的流量特征。

3.如權(quán)利要求2所述的入侵流量檢測方法，其特征在于，所述利用預(yù)先訓(xùn)練的特征提取模型對所述目標(biāo)IP地址對應(yīng)的訪問流量進(jìn)行卷積、池化操作，之前，所述方法還包括：

獲取預(yù)設(shè)平臺的歷史訪問流量，以及所述歷史訪問流量的特征標(biāo)注；

利用預(yù)先構(gòu)建的特征提取模型提取所述歷史訪問流量的流量特征，計(jì)算所述流量特征與所述特征標(biāo)注之間的損失值；

在所述損失值大于或者等于預(yù)設(shè)的損失閾值時(shí)，計(jì)算所述特征提取模型的參數(shù)更新梯度；

利用所述參數(shù)更新梯度對初始模型的參數(shù)進(jìn)行更新，并返回上述利用預(yù)先構(gòu)建的特征提取模型提取所述歷史訪問流量的流量特征的步驟，直至所述損失值小于預(yù)設(shè)的損失閾值，得到訓(xùn)練完成的所述特征提取模型。