[发明专利]一种恶意外连流量检测方法及装置

权利要求书

1.一种恶意外连流量检测方法，其特征在于，包括：

根据若干个恶意样本流量计算得到相似度矩阵；

根据层次聚类算法和所述相似度矩阵将所述若干个恶意样本流量划分为各个类；

根据各个类生成对应的恶意外连流量模板，具体包括：对所述各个类的每一类，提取请求头中所有字段集合的并集作为所述恶意外连流量模板；

分别计算待检测流量与各个恶意外连流量模板的相似度，并根据计算得到的相似度和相似度阈值，确定所述待检测流量是否为恶意外连流量。

2.根据权利要求1所述的方法，其特征在于，所述根据若干个恶意样本流量计算得到相似度矩阵，具体包括：

将各恶意样本流量划分为若干个预设字段，根据预设字符对每个字段的目标字符进行泛化处理，得到各处理后流量；

根据恶意样本的数量建立矩阵，计算矩阵中每个恶意样本流量与对应的恶意样本流量的相似度，得到相似度矩阵。

3.根据权利要求2所述的方法，其特征在于，所述根据恶意样本的数量建立矩阵，计算矩阵中每个恶意样本流量与对应的恶意样本流量的相似度，得到相似度矩阵，具体包括：

根据恶意样本的数量建立矩阵，计算矩阵中每个恶意样本流量与对应的恶意样本流量的若干个局部相似度和各局部相似度对应的动态权重；其中，所述动态权重根据预设字段的特异性计算得到；

根据若干个局部相似度和对应的动态权重，计算得到每个恶意样本流量与对应的恶意样本流量的相似度，得到相似度矩阵。

4.根据权利要求3所述的方法，其特征在于，所述若干个局部相似度包括：统一资源定位符URL相似度、URL级数相似度、URL参数相似度、用户代理user-agent相似度、请求头相似度、目的IP相似度、请求方法相似度和URL后缀相似度。

5.根据权利要求1-4任一所述的方法，其特征在于，所述分别计算待检测流量与各个恶意外连流量模板的相似度，并根据计算得到的相似度和相似度阈值，确定所述待检测流量是否为恶意外连流量，具体包括：

分别计算待检测流量与各个恶意外连流量模板的相似度，获取相似度值最大的目标相似度对应的目标恶意外连流量模板，若判断获知所述目标相似度大于相似度阈值，则确定所述待检测流量为所述目标恶意外连流量模板对应的恶意外连流量。

6.一种恶意外连流量检测装置，其特征在于，包括：

矩阵计算模块，用于根据若干个恶意样本流量计算得到相似度矩阵；

流量划分模块，用于根据层次聚类算法和所述相似度矩阵将所述若干个恶意样本流量划分为各个类；

模板生成模块，用于根据各个类生成对应的恶意外连流量模板，具体包括：对所述各个类的每一类，提取请求头中所有字段集合的并集作为恶意外连流量模板；

流量判断模块，用于分别计算待检测流量与各个恶意外连流量模板的相似度，并根据计算得到的相似度和相似度阈值，确定所述待检测流量是否为恶意外连流量。

7.根据权利要求6所述的装置，其特征在于，所述矩阵计算模块具体包括：

泛化处理单元，用于将各恶意样本流量划分为若干个预设字段，根据预设字符对每个字段的目标字符进行泛化处理，得到各处理后流量；

矩阵计算单元，用于根据恶意样本的数量建立矩阵，计算矩阵中每个恶意样本流量与对应的恶意样本流量的相似度，得到相似度矩阵。

8.根据权利要求7所述的装置，其特征在于，所述矩阵计算单元具体用于：

根据恶意样本的数量建立矩阵，计算矩阵中每个恶意样本流量与对应的恶意样本流量的若干个局部相似度和各局部相似度对应的动态权重；其中，所述动态权重根据预设字段的特异性计算得到；

根据若干个局部相似度和对应的动态权重，计算得到每个恶意样本流量与对应的恶意样本流量的相似度，得到相似度矩阵。