[發明專利]一種異常HTTP連接的檢測方法

在審

• 申請號: 202110876741.6
• 申請日: 2021-07-31
• 公開（公告）號: CN113612657A
• 公開（公告）日: 2021-11-05
• 發明（設計）人: 劉嘉奇;郭曉冬;高才;唐錫南
• 申請（專利權）人: 南京云利來軟件科技有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L12/24;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

本發明涉及一種異常HTTP連接的檢測方法，步驟S1：在交換機鏡像端口設置流量采集器采集流量，再解析出基于HTTP連接的網絡元數據并去除敏感信息再存儲；步驟S2：利用歷史數據，根據時間戳及HTTP請求路徑進行分組聚合運算，劃分出多個HTTP連接組，并計算每個組特征值統計量，通過機器學習創建基于所述的HTTP連接組檢測異常HTTP連接的檢測模型；步驟S3：對HTTP連接進行分組聚合運算，采用檢測模型，判斷出每組HTTP連接是否異常；步驟S4：將檢測結果相關數據即時反饋到檢測模型并實時更新檢測模型，然后再依序循環執行前述步驟。本技術方案能夠實現無需人工分析業務數據，節省了人力，同時會根據數據不斷調整優化檢測模型，檢測準確率高。

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種異常HTTP連接的檢測方法。

背景技術

超文本傳輸協議（HyperText Transfer Protocol，簡寫為HTTP），是互聯網上應用最為廣泛的一種網絡應用層協議。HTTP協議是基于TCP/IP協議之上，用于規范客戶端于服務端之間的通訊格式，而不關心具體傳輸細節。正是由于其廣泛使用及靈活性，存在相當多的針對HTTP協議的攻擊手段，比如拒絕服務攻擊、撞庫攻擊、漏洞掃描攻擊等。

目前針對這些攻擊手段的傳統方法有：閾值限制，即通過人工觀察數據后設置閾值，短時間內流量或連接數大于閾值則進行限制（如網絡四層防火墻），但該方法根據閾值的設置，可能出現大量的誤報、漏報，從而嚴重影響正常業務流量。還有正則匹配，即由專家預先針對已有攻擊手段編寫正則表達式規則，并對每一個數據包進行匹配（如網站應用防火墻）。該方法針對未知的攻擊沒有應對能力，而且需要對每個包對進行分析，檢測速度慢，隨著規則的增多，可能出現規則間的沖突，難以維護。因為要對數據包內容進行檢測，還存在數據隱私問題。

隨著人工智能技術的發展，也出現了很多在傳統方法上優化了的機器學習的方法，比如同樣需要對每個包分析的文本特征識別。該方法取代了專家的人工分析，改由機器自動識別異常連接的文本特征，因此同樣無法正則匹配規則檢測時出現的問題。基于閾值限制的機器學習算法，通常為根據歷史數據的無監督學習，不同于有監督學習，該方法無需前期的人工，對未知攻擊也有一定的抗衡能力。該方法需要解決的問題是，數據的特征選擇問題，這直接影響到聚類的結果；此外，還需要考慮到算法復雜度、模型的時效性等問題。除了在網絡安全，異常HTTP連接的檢測同樣可以應用在商業智能、系統運維。

發明內容

本發明目的是為了克服現有技術的不足而提供一種誤報少、漏報率低、降低計算復雜度且檢測效率高的異常HTTP連接的檢測方法。

下述文檔中涉及到的英文所對應的中文解釋如下：∈是數學符號為“∈”，指屬于關系表達，表示元素和集合之間的關系；若a∈A，則a屬于集合A，a是集合A中的元素；若a?A，則a不屬于集合A，a不是集合A中的元素。

為達到上述目的，本發明采用了如下技術方案。

一種異常HTTP連接的檢測方法，具體包括以下步驟：

步驟S1：在交換機鏡像端口設置流量采集器采集流量，再從旁路采集到的網絡全流量中，解析出基于HTTP連接的網絡元數據并去除敏感信息再存儲；

步驟S2：利用歷史數據，基于所述HTTP連接，根據時間戳及HTTP請求路徑進行分組聚合運算，劃分出多個HTTP連接組，并計算每個組特征值統計量，通過機器學習創建基于所述的HTTP連接組檢測異常HTTP連接的檢測模型；

步驟S3：在實時流量環境下，對HTTP連接進行分組聚合運算，采用檢測模型，判斷出每組HTTP連接是否異常；

步驟S4：將檢測結果相關數據即時反饋到檢測模型，并實時更新檢測模型的計算參數，然后再依序循環執行步驟S1至步驟S4。