[發明專利]異常訪問的檢測方法、裝置、電子設備及可讀存儲介質

在審

• 申請號: 202111045826.6
• 申請日: 2021-09-07
• 公開（公告）號: CN113949527A
• 公開（公告）日: 2022-01-18
• 發明（設計）人: 王秀賢
• 申請（專利權）人: 中云網安科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京中強智尚知識產權代理有限公司 11448
• 代理人: 呂夢雪

1.一種異常訪問的檢測方法，其特征在于，由安全服務器執行，所述方法包括：

獲取目標應用的訓練用數據流量；

對所述訓練用數據流量進行特征提取，得到流量數據特征；

基于監督學習與無監督學習的結合，對所述流量數據特征進行特征轉換，以學習所述目標應用的底層邏輯、訪問邏輯和業務邏輯，得到所述目標應用的安全防護模型；

基于所述安全防護模型，對目標應用的異常訪問進行檢測。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

對識別出的異常訪問，按照源、目的、攻擊類型、概念驗證內容進行分類和匯總，形成攻擊情報文件。

3.根據權利要求1所述的方法，其特征在于，所述獲取目標應用的訓練用數據流量包括：

在用戶終端提供安全應用程序；

將基于目標協議的，對目標應用的訪問流量引入所述安全應用程序；

通過所述安全應用程序獲取對目標應用的訪問流量；

對所述訪問流量進行參數化處理及分析，以得到對目標應用的正常訪問流量和風險訪問流量；

將所述正常訪問流量和風險訪問流量作為所述訓練用數據流量。

4.根據權利要求1所述的方法，其特征在于，所述訓練用數據流量為基于http或https協議的應用請求和應用響應；

所述對所述訓練用數據流量進行特征提取，得到流量數據特征包括：

分別獲取所述應用請求和所述應用響應的包頭參數和參數值、時間、事件分類、上下文信息、源以及目的，作為所述流量數據特征。

5.根據權利要求1所述的方法，其特征在于，所述基于監督學習與無監督學習的結合，對所述流量數據特征進行特征轉換，以學習所述目標應用的底層邏輯、訪問邏輯和業務邏輯，得到所述目標應用的安全防護模型包括：

基于無監督學習方法，對所述流量數據特征進行升維，對升維后的數據建立關聯，得到表征目標應用的底層邏輯、訪問邏輯和業務邏輯的第一高維度數據，將所述第一高維度數據投影為第一低維度數據，以建立安全防護初級模型；

基于監督學習方法，對所述訓練用數據流量進行分類學習，將表征所述訓練用數據流量的流量數據特征的第二高維度數據，投影為第二低維度數據，根據所述第二低維度數據對所述安全防護初級模型的參數進行優化，得到安全防護模型。

6.根據權利要求5所述的方法，其特征在于，所述對升維后的數據建立關聯，得到表征目標應用的底層邏輯、訪問邏輯和業務邏輯的第一高維度數據包括：

使用矩陣表示所述升維后的數據在不同維度的關聯性，得到目標應用的底層邏輯，所述底層邏輯包括目標應用的基本架構、目錄結構和資源；

確定所述訓練用數據流量與所述目錄結構的關聯性，得到目標應用的業務邏輯；

確定不同來源的訓練用數據流量基于所述業務邏輯的關聯性，得到目標應用的訪問邏輯；

將表征目標應用的底層邏輯、訪問邏輯和業務邏輯的數據作為第一高維度數據。

7.根據權利要求1所述的方法，其特征在于，所述基于所述安全防護模型，對目標應用的異常訪問進行檢測包括：

將對目標應用的訪問輸入所述安全防護模型，以使所述安全防護模型對目所述訪問的底層邏輯、訪問邏輯和業務邏輯進行識別，從而實現對異常訪問的檢測。

8.一種異常訪問的檢測裝置，應用于安全服務器，其特征在于，所述裝置包括：

獲取單元，用于獲取目標應用的訓練用數據流量；

特征提取單元，用于對所述訓練用數據流量進行特征提取，得到流量數據特征；

模型訓練單元，用于基于監督學習與無監督學習的結合，對所述流量數據特征進行特征轉換，以學習所述目標應用的底層邏輯、訪問邏輯和業務邏輯，得到所述目標應用的安全防護模型；

識別單元，用于基于所述安全防護模型，對目標應用的異常訪問進行檢測。