[發明專利]一種異常HTTP連接的檢測方法

在審

• 申請號: 202110876741.6
• 申請日: 2021-07-31
• 公開（公告）號: CN113612657A
• 公開（公告）日: 2021-11-05
• 發明（設計）人: 劉嘉奇;郭曉冬;高才;唐錫南
• 申請（專利權）人: 南京云利來軟件科技有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種異常HTTP連接的檢測方法，其特征在于，具體包括以下步驟：

步驟S1：在交換機鏡像端口設置流量采集器采集流量，再從旁路采集到的網絡全流量中，解析出基于HTTP連接的網絡元數據并去除敏感信息再存儲；

步驟S2：利用歷史數據，基于所述HTTP連接，根據時間戳及HTTP請求路徑進行分組聚合運算，劃分出多個HTTP連接組，并計算每個組特征值統計量，通過機器學習創建基于所述的HTTP連接組檢測異常HTTP連接的檢測模型；

步驟S3：在實時流量環境下，對HTTP連接進行分組聚合運算，采用檢測模型，判斷出每組HTTP連接是否異常；

步驟S4：將檢測結果相關數據即時反饋到檢測模型，并實時更新檢測模型的計算參數，然后再依序循環執行步驟S1至步驟S4。

2.根據權利要求1所述的一種異常HTTP連接的檢測方法，其特征在于：所述解析出基于HTTP連接的網絡元數據具體為以一次包含進出的HTTP連接為單位存儲，描述一次HTTP連接的關鍵數據，包括但不限于時間戳、HTTP請求路徑、HTTP響應狀態碼、載荷信息的字節數、通訊使用的包數和連接數，其中通過載荷信息的字節數、通訊使用的包數可以區分進出方向。

3.根據權利要求1所述的一種異常HTTP連接的檢測方法，其特征在于：

所述步驟S2中分組聚合運算具體包括根據預設的時間區間長度L以及基于時間戳，對所述HTTP連接進行第一次分組，得到第一次分組的HTTP連接組G1；使得對于任意一組HTTP連接gi，gi∈G1，存在一組時間戳ti∈gi，對任意tij∈ti，有tij∈[T0+(i-1)*L， T0+i*L)，T0是初始時間，i和j為任意正整數；

所述步驟S2中分組聚合運算在進行第一次分組處理后，根據預設的HTTP請求路徑深度P，基于HTTP請求路徑，對權利要求4所述的G1進行第二次分組，得到第二次分組的HTTP連接組G2；使得對于任意一組HTTP連接gi，gi∈G2，存在一組HTTP請求路徑pi∈gi，對任意pij，pik∈pi，有‘/’分割后的前P部分相同，即pij[0:P] = pik[0:P]，其中i， j， k為任意正整數。

4.根據權利要求1所述的一種異常HTTP連接的檢測方法，其特征在于：所述步驟S2中分組聚合運算通過計算每個分組的數值指標，得到第一次聚合的HTTP連接組G3；使得對于任意一組HTTP連接gi，gi∈G3，令mi∈{pi， ipi， opi， bi， ibi， obi， fi}，其中pi， ipi，opi， bi， ibi， obi， fi∈gi，分別為Packet、Inpacket、Outpacket、Byte、Inbyte、Outbyte、Flow，則數值指標為SUM(mi)，其中SUM()為和值，i為任意正整數。

5.根據權利要求1所述的一種異常HTTP連接的檢測方法，其特征在于：所述步驟S3根據預設的時間周期T，基于時間戳和第一次聚合的HTTP連接組G3，得到第三次分組的HTTP連接組G4；使得對于任意一組HTTP連接gi，gi∈G4，存在一組時間戳ti，使得對于任意兩個時間戳tij， tik∈ti，有:

tij = tik + n * T，

其中i， j， k為任意正整數，n為任意整數；此外，根據每組的時間戳所在時間周期T的位置進行編號，則編號從1到T/L。

6.根據權利要求1所述的一種異常HTTP連接的檢測方法，其特征在于：所述步驟S3對所述第三次分組的HTTP連接組G4進行聚合，計算每一組數值指標的統計量，得到第二次聚合的HTTP連接組G5；使得對于任意一組HTTP連接gi，gi∈G5，存在一組數值指標mi∈gi，計算mi的統計量，其中數據分布指標可以是中位數χi和絕對中值差γi或均值μi和標準差σi。