[发明专利]识别指定类别IP地址的方法及设备、防御方法及系统

权利要求书

1.一种识别指定类别IP地址的方法，包括：

收集若干IP地址的行为记录数据；

从所述收集的行为记录数据中提取预处理数据，所述提取的预处理数据至少包括IP地址的地址信息以及行为的时间信息；

对所述提取到的预处理数据进行分析，获得用户使用所述IP地址的行为时间分布数据；

至少根据用户使用所述IP地址的行为时间分布数据，识别出指定类别IP地址。

2.如权利要求1所述的方法，所述至少根据用户使用所述IP地址的行为时间分布数据，识别出指定类别IP地址包括：

基于每个IP地址的行为时间分布数据，对多个IP地址采用一种或多种聚类组合的方式进行聚类，识别出指定类别IP地址。

3.如权利要求2所述的方法，所述基于每个IP地址的行为时间分布数据，对多个IP地址采用多种聚类组合的方式进行聚类包括：

从所述收集的若干IP地址中，选取至少两个已知属于不同类别的IP地址作为第一聚类方式的初始节点，基于每个IP地址的行为时间分布数据与所述初始节点的行为时间分布数据，采用第一聚类方式对收集到的多个IP地址进行聚类，识别出指定类别IP地址；

对识别出的指定类别IP地址，采用第二聚类方式进行抽样聚类分析，获得该指定类别的数据分布特点；

根据所述采用第二聚类方式获得的数据分布特点，修正第一聚类方式的初始节点，并采用修正后的初始节点，对此前识别出的指定类别的多个IP地址采用第一聚类方式再次进行聚类，进一步筛选出指定类别IP地址。

4.如权利要求3所述的方法，所述第一聚类方式采用Kmeans算法，第二聚类方式采用DBScan算法。

5.如权利要求1至4中任一项所述的方法，所述提取的预处理数据还包括每个IP地址对应的用户终端数量以及用户终端标识，所述对提取到的预处理数据进行分析包括：

统计每个IP地址对应的用户终端数量；

对用户终端数量大于预置阈值的每个IP地址的预处理数据，根据行为时间不同划分为多个维度，并统计在不同时间段使用每个IP地址的用户终端数量；

对所述在不同时间段使用每个IP地址的用户终端数量进行归一化处理，获得用户使用所述IP地址的行为时间分布数据。

6.一种识别指定类别IP地址的设备，包括：

数据收集单元，用于收集若干IP地址的行为记录数据；

数据提取单元，用于从所述收集的行为记录数据中提取预处理数据，所述提取的预处理数据至少包括IP地址的地址信息以及行为的时间信息；

数据处理单元，用于对所述提取到的预处理数据进行分析，获得用户使用所述IP地址的行为时间分布数据；

地址识别单元，用于至少根据用户使用所述IP地址的行为时间分布数据，识别出指定类别IP地址。

7.如权利要求6所述的设备，所述地址识别单元包括：

聚类分析单元，用于基于每个IP地址的行为时间分布数据，对多个IP地址采用一种或多种聚类组合的方式进行聚类分析，识别出指定类别IP地址。

8.如权利要求7所述的设备，所述聚类分析单元包括：

第一聚类分析单元，用于从所述收集的若干IP地址中，选取至少两个已知属于不同类别的IP地址作为第一聚类方式的初始节点，基于每个IP地址的行为时间分布数据与所述初始节点的行为时间分布数据，采用第一聚类方式对收集到的多个IP地址进行聚类，识别出指定类别IP地址；

第二聚类分析单元，用于对识别出的指定类别IP地址，采用第二聚类方式进行抽样聚类分析，获得该指定类别的数据分布特点；

第三聚类分析单元，用于根据所述采用第二聚类方式获得的数据分布特点，修正第一聚类方式的初始节点，并采用修正后的初始节点，对此前识别出的指定类别的多个IP地址采用第一聚类方式再次进行聚类，进一步筛选出指定类别IP地址。

9.一种提高用户终端安全防御的方法，包括，预先通过权利要求1至5中任一项所述识别指定类别IP地址的方法，识别出指定类别IP地址；

监控各用户终端的信息安全状况以及IP地址；

当在属于所述指定类别IP地址对应的用户终端中发现恶意程序时，提高安全防御级别或进行特殊安全防御处理。

10.一种提高用户终端安全防御的系统，包括，权利要求6-8任一项所述识别指定类别IP地址的设备，还包括：

监控单元，用于监控各用户终端的信息安全状况以及IP地址；

安全防御单元，用于当所述监控单元在所述识别设备识别出的指定类别IP地址对应的用户终端中发现恶意程序时，提高安全防御级别或进行特殊安全防御处理。