[发明专利]一种网络攻击串检测方法及装置

说明书

技术领域

本发明实施例涉及网络安全技术领域，具体涉及一种网络攻击串检测方法及装置。

背景技术

随着互联网的快速发展，给人们的生活带来了极大的便利，但同时也带来了新的安全挑战，当今的网络安全问题已经不容忽视。早期的网络大部分为C/S结构，给用户提供信息服务。而今天大部分都实现了B/S结构，用户打开网页就可以购物，打开网站就可以购买股票、彩票甚至是捐助希望工程。当Web应用越来越为丰富的同时，Web服务器以其蕴含的高价值数据、较大影响力逐渐成为主要攻击目标。网络安全事件频繁发生，尤其是针对网络入侵导致敏感数据泄漏或网页篡改，造成了恶劣的社会舆论影响。

现有方法中针对网络攻击，主要采用字符串匹配算法，基于特定的规则，对网络中传输的字符串进行匹配，在一定程度上避免了部分恶意的网络攻击。

在实现本发明实施例的过程中，发明人发现现有的方法基于特定规则进行字符串匹配，容易让攻击者发现匹配规律，造成网络攻击的漏报和误报。

发明内容

由于现有方法存在上述问题，本发明实施例提出一种网络攻击串检测方法及装置。

第一方面，本发明实施例提出一种网络攻击串检测方法，包括：

获取网络字符串，对所述网络字符串进行分词处理，得到若干个分词字符串；

将各分词字符串分别输入正常检测模型，得到若干个对应的正常匹配值，并根据所述若干个对应的正常匹配值得到所述网络字符串的正常检测值；

将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值，并根据所述若干个对应的异常匹配值得到所述网络字符串的异常检测值；

若判断获知所述异常检测值大于所述正常检测值，则确定所述网络字符串为网络攻击串。

可选地，所述将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值，并根据所述若干个对应的异常匹配值得到所述网络字符串的异常检测值，具体包括：

将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值；

若判断获知相邻的分词字符串均为所述异常检测模型中的预设攻击串，则对所述相邻的分词字符串对应的异常匹配值进行加权计算；

根据各分词字符串对应的异常匹配值得到所述网络字符串的异常检测值。

可选地，所述方法还包括：

根据正常样本数据构建所述正常检测模型，并根据异常样本数据构建所述异常检测模型。

可选地，所述方法还包括：

若判断获知所述异常检测值小于或等于所述正常检测值，则确定所述网络字符串为正常网络串。

第二方面，本发明实施例还提出一种网络攻击串检测装置，包括：

字符串分词模块，用于获取网络字符串，对所述网络字符串进行分词处理，得到若干个分词字符串；

正常检测模块，用于将各分词字符串分别输入正常检测模型，得到若干个对应的正常匹配值，并根据所述若干个对应的正常匹配值得到所述网络字符串的正常检测值；

异常检测模块，用于将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值，并根据所述若干个对应的异常匹配值得到所述网络字符串的异常检测值；

攻击串确定模块，用于若判断获知所述异常检测值大于所述正常检测值，则确定所述网络字符串为网络攻击串。

可选地，所述异常检测模块具体包括：

分词字符串匹配单元，用于将各分词字符串分别输入异常检测模型，得到若干个对应的异常匹配值；

匹配值加权单元，用于若判断获知相邻的分词字符串均为所述异常检测模型中的预设攻击串，则对所述相邻的分词字符串对应的异常匹配值进行加权计算；

异常检测单元，用于根据各分词字符串对应的异常匹配值得到所述网络字符串的异常检测值。

可选地，所述装置还包括：

模型构建模块，用于根据正常样本数据构建所述正常检测模型，并根据异常样本数据构建所述异常检测模型。

可选地，所述装置还包括：

正常检测模块，用于若判断获知所述异常检测值小于或等于所述正常检测值，则确定所述网络字符串为正常网络串。

第三方面，本发明实施例还提出一种电子设备，包括：

至少一个处理器；以及

与所述处理器通信连接的至少一个存储器，其中：

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行上述方法。