[发明专利]一种网络攻击串检测方法及装置

权利要求书

1.一种网络攻击串检测方法，其特征在于，包括：

获取网络字符串，对所述网络字符串进行分词处理，得到若干个分词字符串；

将各分词字符串分别输入正常检测模型，得到若干个对应的正常匹配值，并根据所述若干个对应的正常匹配值得到所述网络字符串的正常检测值；

将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值，并根据所述若干个对应的异常匹配值得到所述网络字符串的异常检测值；

若判断获知所述异常检测值大于所述正常检测值，则确定所述网络字符串为网络攻击串。

2.根据权利要求1所述的方法，其特征在于，所述将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值，并根据所述若干个对应的异常匹配值得到所述网络字符串的异常检测值，具体包括：

将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值；

若判断获知相邻的分词字符串均为所述异常检测模型中的预设攻击串，则对所述相邻的分词字符串对应的异常匹配值进行加权计算；

根据各分词字符串对应的异常匹配值得到所述网络字符串的异常检测值。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据正常样本数据构建所述正常检测模型，并根据异常样本数据构建所述异常检测模型。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若判断获知所述异常检测值小于或等于所述正常检测值，则确定所述网络字符串为正常网络串。

5.一种网络攻击串检测装置，其特征在于，包括：

字符串分词模块，用于获取网络字符串，对所述网络字符串进行分词处理，得到若干个分词字符串；

正常检测模块，用于将各分词字符串分别输入正常检测模型，得到若干个对应的正常匹配值，并根据所述若干个对应的正常匹配值得到所述网络字符串的正常检测值；

异常检测模块，用于将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值，并根据所述若干个对应的异常匹配值得到所述网络字符串的异常检测值；

攻击串确定模块，用于若判断获知所述异常检测值大于所述正常检测值，则确定所述网络字符串为网络攻击串。

6.根据权利要求5所述的装置，其特征在于，所述异常检测模块具体包括：

分词字符串匹配单元，用于将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值；

匹配值加权单元，用于若判断获知相邻的分词字符串均为所述异常检测模型中的预设攻击串，则对所述相邻的分词字符串对应的异常匹配值进行加权计算；

异常检测单元，用于根据各分词字符串对应的异常匹配值得到所述网络字符串的异常检测值。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

模型构建模块，用于根据正常样本数据构建所述正常检测模型，并根据异常样本数据构建所述异常检测模型。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：

正常检测模块，用于若判断获知所述异常检测值小于或等于所述正常检测值，则确定所述网络字符串为正常网络串。

9.一种电子设备，其特征在于，包括：

至少一个处理器；以及

与所述处理器通信连接的至少一个存储器，其中：

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如权利要求1至4任一所述的方法。

10.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机程序，所述计算机程序使所述计算机执行如权利要求1至4任一所述的方法。