[發明專利]一種網絡攻擊行為的檢測方法和裝置

在審

• 申請號: 202210295856.0
• 申請日: 2022-03-23
• 公開（公告）號: CN114666136A
• 公開（公告）日: 2022-06-24
• 發明（設計）人: 韓騰飛
• 申請（專利權）人: 阿里云計算有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京同鈞律師事務所 16037
• 代理人: 李小波;許懷遠

1.一種網絡攻擊行為的檢測方法，其特征在于，包括：

接收來自客戶端的至少一個維度的特征數據；

基于所述至少一個維度的特征數據，以及預先構建的模型，確定異常分值，所述模型包括與所述至少一個維度一一對應的至少一個孤獨樹，每個孤獨樹基于歷史數據中對應維度的特征數據構建得到；

基于所述異常分值，確定所述客戶端是否存在被攻擊的風險。

2.如權利要求1所述的方法，其特征在于，所述基于所述至少一個維度的特征數據，以及預先構建的模型，確定異常分值，包括：

將所述至少一個維度的特征數據中每個維度的特征數據輸入至所對應的孤獨樹，以確定所述每個維度的特征數據在所述孤獨樹中的深度值；

基于所述至少一個維度的特征數據分別在所對應的孤獨樹中的深度值，確定所述異常分值。

3.如權利要求1所述的方法，其特征在于，所述基于所述異常分值，確定所述客戶端是否存在被攻擊的風險，包括：

在所述異常分值大于或等于預設門限的情況下，確定所述客戶端存在被攻擊的風險；或

在所述異常分值小于所述預設門限的情況下，確定所述客戶端不存在被攻擊的風險。

4.如權利要求1至3中任一項所述的方法，其特征在于，在所述確定所述客戶端存在被攻擊的風險之后，所述方法還包括：

輸出所述異常分值，以用于人工分析；

獲取人工分析結果，所述人工分析結果基于所述人工分析得到，所述人工分析結果指示所述客戶端是否被攻擊。

5.如權利要求4所述的方法，其特征在于，在獲取人工分析結果之后，所述方法還包括：

基于所述人工分析結果和來自所述客戶端的至少一個維度的特征數據，對所述模型進行優化。

6.如權利要求4所述的方法，其特征在于，所述基于所述人工分析結果和來自所述客戶端的至少一個維度的特征數據，對所述模型進行優化，包括：

基于所述人工分析結果和來自所述客戶端的至少一個維度的特征數據，執行如下一項或多項：

在所述模型中增加孤獨樹；

刪除所述模型中的一個或多個孤獨樹；以及

對所述模型中的一個或多個孤獨樹進行更新。

7.如權利要求1所述的方法，其特征在于，在所述接收來自客戶端的至少一個維度的特征數據之前，所述方法還包括：

從歷史數據中獲取多個維度的特征數據；

基于所述多個維度的特征數據構建模型，所述模型包括對應于所述多個維度的多個孤獨樹，所述多個孤獨樹中的每個孤獨樹由所對應維度的特征數據構建得到。

8.如權利要求7所述的方法，其特征在于，所述多個維度包括以下一項或多項：操作系統版本、是否開發者模式、是否充電狀態、是否開啟無障礙模式、是否調試模式、是否設置鎖屏密碼、是否充電時常亮、是否關閉調試模式連接鑒權、重啟次數、啟動時間、應用程序的數量，以及應用程序的安裝時間。

9.一種網絡攻擊行為的檢測裝置，其特征在于，包括用于執行如權利要求1至7中任一項所述的方法的模塊。

10.一種網絡攻擊行為的檢測裝置，其特征在于，包括處理器，所述處理器用于執行所述計算機程序，以使得所述裝置實現如權利要求1至8中任一項所述的方法。

11.一種計算機程序產品，其特征在于，包括計算機程序，當所述計算機程序被運行時，實現如權利要求1至8中任一項所述的方法。

12.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有計算機程序，當所述計算機程序被處理器執行時，致使處理器實現如權利要求1至8中任一項所述的方法。