[发明专利]一种HTTP访问行为的识别方法及装置

权利要求书

1.一种HTTP访问行为的识别方法，其特征在于，包括：

获取WEB服务器中的访问数据，从所述访问数据中筛选出符合HTTP协议的数据；

从所述符合HTTP协议的数据中提取特征数据，并对提取到的特征数据进行离散化处理，得到特征值集合；

根据模糊粗糙集理论处理所述特征值集合，得到目标特征值集合；

将所述目标特征值集合输入SVM模型，并输出分类结果，并根据所述分类结果确定HTTP访问行为。

2.根据权利要求1所述的HTTP访问行为的识别方法，其特征在于，所述对提取到的特征数据进行离散化处理，包括：

基于访问时间、访问IP、站点名称、访问方式、访问结果、响应码和浏览器类型、操作系统类型对提取到的特征数据进行离散化处理。

3.根据权利要求2所述的HTTP访问行为的识别方法，其特征在于，所述根据模糊粗糙集理论处理所述特征值集合，包括：

计算所述特征值集合中每个特征值属性的权重值，并根据所述权重值删减所述特征值集合。

4.根据权利要求3所述的HTTP访问行为的识别方法，其特征在于，所述根据所述权重值删减所述特征值集合，包括：

将权重值低于预设阈值的特征值属性对应的特征值删除。

5.根据权利要求4所述的HTTP访问行为的识别方法，其特征在于，所述根据所述分类结果确定HTTP访问行为，包括：

确定每种分类结果的特征，并将具有攻击特征的分类结果确定为异常访问行为；其中，所述攻击特征至少包括：DOS攻击、Probe攻击、R2L攻击和U2R攻击。

6.一种HTTP访问行为的识别装置，其特征在于，包括：

获取模块，用于获取WEB服务器中的访问数据，从所述访问数据中筛选出符合HTTP协议的数据；

提取模块，用于从所述符合HTTP协议的数据中提取特征数据，并对提取到的特征数据进行离散化处理，得到特征值集合；

处理模块，用于根据模糊粗糙集理论处理所述特征值集合，得到目标特征值集合；

确定模块，用于将所述目标特征值集合输入SVM模型，并输出分类结果，并根据所述分类结果确定HTTP访问行为。

7.根据权利要求6所述的HTTP访问行为的识别装置，其特征在于，所述提取模块具体用于：

基于访问时间、访问IP、站点名称、访问方式、访问结果、响应码和浏览器类型、操作系统类型对提取到的特征数据进行离散化处理。

8.根据权利要求7所述的HTTP访问行为的识别装置，其特征在于，所述处理模块具体用于：

计算所述特征值集合中每个特征值属性的权重值，并根据所述权重值删减所述特征值集合。

9.一种HTTP访问行为的识别设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1-5任意一项所述的HTTP访问行为的识别方法的步骤。

10.一种可读存储介质，其特征在于，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1-5任意一项所述的HTTP访问行为的识别方法的步骤。