[发明专利]一种网络攻击检测方法及装置

说明书

本发明提供一种网络攻击检测方法及装置，该方法包括：在预设时间段内获取预设用户的行为特征参数以及预设用户的入侵防护告警次数；根据预先建立的基准用户模型中每个基准用户的行为特征参数和预设用户的行为特征参数，计算预设用户与每个基准用户的偏离度，预先建立的基准用户模型与预设用户对应，偏离度用于表示两个用户的行为特征参数的相似度；确定预设用户与每个基准用户的偏离度中的最小偏离度；根据入侵防护告警次数与最小偏离度的加权求和结果，针对预设用户产生网络攻击告警。本发明可以减少告警数量，提高告警有效率。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络攻击检测方法及装置。

背景技术

随着网络规模的迅速扩大，网络安全问题变得越来越严峻，网络上的各种攻击层出不穷，因此网络攻击检测技术越来越重要。

常采用的网络攻击检测方法为：确定产生网络攻击时，将攻击报文、攻击字符串以及攻击过程中的其它特征确定为攻击特征标志，并存储下来。当检测到任一攻击特征标志时，产生一次告警，从而提示运维人员网络存在危险。

这种网络攻击检测方法每检测到一个攻击特征标示就产生一次告警，而在用户进行网络操作过程中可能会检测到大量的攻击特征标志，这就会产生大量的告警，并且某些告警的可能并不是因为受到真正的网络攻击，从而影响告警有效率，产生漏检或者误检的概率较大。

发明内容

本发明提供一种网络攻击检测方法及装置，用以解决现有技术的网络攻击检测方案存在的影响告警有效率，产生漏检或者误检的概率较大的问题。

一种网络攻击检测方法，包括：

在预设时间段内获取预设用户的行为特征参数以及所述预设用户的入侵防护告警次数；

根据预先建立的基准用户模型中每个基准用户的行为特征参数和所述预设用户的行为特征参数，计算所述预设用户与每个基准用户的偏离度，所述预先建立的基准用户模型与所述预设用户对应，所述偏离度用于表示两个用户的行为特征参数的相似度；

确定所述预设用户与每个基准用户的偏离度中的最小偏离度；

根据所述入侵防护告警次数与所述最小偏离度的加权求和结果，针对所述预设用户产生网络攻击告警。

所述方法中，所述行为特征参数包括在预设时间段内的网络流量总值、在预设时间段内的会话持续时长平均值、在预设时间段内开启过的应用总个数、在预设时间段内新建会话总个数以及在预设时间段内新建会话频率。

本发明实施例中的各个行为特征参数均可表现出预设用户进行网络操作时的行为特征，从而根据其行为特征判断是否针对其产生网络告警。

所述方法中，根据所述入侵防护告警次数与所述最小偏离度的加权求和结果，针对所述预设用户产生网络攻击告警，具体包括：

确定所述入侵防护告警次数与所述最小偏离度的加权求和结果大于预设偏离度门限时，针对所述预设用户产生网络攻击告警。

本发明实施例，当入侵防护告警次数与所述最小偏离度的加权求和结果比预设偏离度门限大时，说明该预设用户为入侵者或者已被入侵者入侵的可能性很大，此时要针对该预设用户产生网络攻击告警并发出告警。

所述方法中，所述预设用户采用如下方式确定：

确定在所述预设时间段内进行网络操作的用户的入侵防护告警平均值和网络流量平均值；

根据预设的入侵防护告警平均值与入侵防护权值的映射关系，确定所述预设时间段内用户的入侵防护告警平均值对应的入侵防护告警权值；

根据预设的网络流量平均值与网络流量权值的映射关系，确定所述预设时间段内用户的网络流量平均值对应的网络流量权值；