[发明专利]一种网络攻击检测方法及装置

权利要求书

1.一种网络攻击检测方法，其特征在于，包括：

在预设时间段内获取预设用户的行为特征参数以及所述预设用户的入侵防护告警次数；

根据预先建立的基准用户模型中每个基准用户的行为特征参数和所述预设用户的行为特征参数，计算所述预设用户与每个基准用户的偏离度，所述预先建立的基准用户模型中的基准用户与所述预设用户属于同一类用户，所述偏离度用于表示两个用户的行为特征参数的相似度；

确定所述预设用户与每个基准用户的偏离度中的最小偏离度；

当所述入侵防护告警次数与所述最小偏离度的加权求和结果大于预设偏离度门限时，针对所述预设用户产生网络攻击告警。

2.如权利要求1所述的方法，其特征在于，所述行为特征参数包括在预设时间段内的网络流量总值、在预设时间段内的会话持续时长平均值、在预设时间段内开启过的应用总个数、在预设时间段内新建会话总个数以及在预设时间段内新建会话频率。

3.如权利要求1所述的方法，其特征在于，根据所述入侵防护告警次数与所述最小偏离度的加权求和结果，针对所述预设用户产生网络攻击告警，具体包括：

确定所述入侵防护告警次数与所述最小偏离度的加权求和结果大于预设偏离度门限时，针对所述预设用户产生网络攻击告警。

4.如权利要求1所述的方法，其特征在于，所述预设用户采用如下方式确定：

确定在所述预设时间段内进行网络操作的用户的入侵防护告警平均值和网络流量平均值；

根据预设的入侵防护告警平均值与入侵防护权值的映射关系，确定所述预设时间段内用户的入侵防护告警平均值对应的入侵防护告警权值；

根据预设的网络流量平均值与网络流量权值的映射关系，确定所述预设时间段内用户的网络流量平均值对应的网络流量权值；

根据所述确定的入侵防护告警权值、确定的网络流量权值以及第一类用户中每个用户对应的资产重要程度，计算第一类用户中各个用户的危险系数；

将危险系数大于预设危险阈值的用户确定为预设用户；

其中，第一类用户包括在所述预设时间段内入侵防护告警次数大于预设告警阈值的用户以及在所述预设时间段内网络流量大于预设流量阈值的用户。

5.如权利要求1所述的方法，其特征在于，所述基准用户模型采用如下方式建立：

对在所述预设时间段内进行网络操作的历史用户进行分类；

针对得到的每一类历史用户，从该类历史用户中选取K个历史用户，K为自然数；

将所述K个历史用户的行为特征参数作为K-means聚类算法的K个初始质点；

利用K-means聚类算法对所述K个初始质点进行设定数目次迭代，得到K个待校正质点；

对所述K个待校正质点进行方向校正，得到K个校正后质点；

利用所述K-means聚类算法对所述K个校正后质点进行设定数目次迭代，得到K个实际质点；

将所述K个实际质点确定为K个基准用户，并将所述K个基准用户作为该类历史用户的基准用户模型。

6.如权利要求5所述的方法，其特征在于，对在所述预设时间段内进行网络操作的历史用户进行分类，具体包括：

根据在所述预设时间段内进行网络操作的历史用户的IP地址所属的IP地址段，将属于同一IP地址段的历史用户划分到同一类中。

7.如权利要求5所述的方法，其特征在于，对在所述预设时间段内进行网络操作的历史用户进行分类，具体包括：

采集各个进行网络操作的历史用户在所述预设时间段内产生的日志，所述日志内容包括网络流量、开启的应用个数以及会话连接数；

针对每个所述历史用户，根据采集到的该历史用户的日志统计该历史用户在预设时间段内的网络总流量、开启的应用总个数以及总会话连接数；

根据该历史用户在预设时间段内的网络总流量、开启的应用总个数以及总会话连接数的加权求和结果，对该历史用户进行分类。