[发明专利]一种Web异常流量检测方法、装置、设备及介质

说明书

本发明公开了一种Web异常流量检测方法、装置、设备及介质。该方法的步骤包括：获取特征模型；利用特征模型计算待测协议请求与Web正常流量的协议请求之间的特征偏差值；当特征偏差值大于预设阈值时，将待测协议请求对应的Web流量标记为Web异常流量。本方法能够根据正常协议请求具有的特征对待测协议请求进行相似性的判定，以此判断待测协议请求趋近于正常协议请求的程度，无需预先对异常协议请求的具体格式进行具体限定，因此能够用于检测未知的异常协议请求，相对提高了检测异常协议请求的灵活性，进而确保证了检测Web异常流量时的准确性。此外，本申请还提供一种Web异常流量检测装置、设备及介质，有益效果同上所述。

技术领域

本申请涉及网络安全领域，特别是涉及一种Web异常流量检测方法、装置、设备及介质。

背景技术

Web异常流量是相对于Web正常流量而言的，Web正常流量是指用户通过浏览器或其他Web客户端根据正常访问需求访问Web服务器的过程所产生的流量；而Web异常流量是指对Web服务器进行非正常访问的过程所产生的流量，且异常的流量往往是由于Web服务器接收到异常协议请求，并根据异常协议请求提供相应的响应数据而产生的。

协议请求存在异常可能是由于被频繁的用于对某一域名的数据访问，也可能是由于被预先注入异常参数代码或参数内容等原因，Web异常流量的产生通常意味着Web服务器正在受到异常的访问，例如网站爬取、口令枚举、漏洞利用、窃取信息等，可以造成网站服务器崩溃，数据库数据泄露，用户敏感信息泄露，甚至服务器被完全控制等结果。因此需要在Web流量中检测出异常流量，以此避免异常流量对Web服务器的工作安全。

当前所采用的一种Web异常流量检测方法，是根据正则表达式匹配Web流量所包含的协议请求的一系列特征，正则表达式表征异常协议请求所具有的相关特征，当协议请求与正则表达式相匹配，则说明该协议请求的Web流量异常。使用当前的方法，需要在每发现一种异常协议请求的特征型式时，编写一条与该异常协议请求的格式相匹配的正则表达式，但是由于异常协议请求的格式多种多样，且正则表达式仅能够匹配已知的异常协议请求的格式，因此通过正则表达式的方式难以完整涵盖全部的异常协议请求，进而难以保证检测Web异常流量时的准确性。

由此可见，提供一种Web异常流量检测方法，以相对提高检测Web异常流量时的准确性，是本领域技术人员需要解决的问题。

发明内容

本发明的目的是提供一种Web异常流量检测方法、装置、设备及介质，以相对提高检测Web异常流量时的准确性。

为解决上述技术问题，本发明提供一种Web异常流量检测方法，包括：

获取特征模型；

利用特征模型计算待测协议请求与Web正常流量的协议请求之间的特征偏差值；

当特征偏差值大于预设阈值时，将待测协议请求对应的Web流量标记为Web异常流量。

优选的，获取特征模型包括：

获取Web正常流量的协议请求样本的样本特征；

对样本特征进行提取，生成特征模型。

优选的，协议请求样本的样本特征至少包括协议请求样本的参数值字符长度、协议请求样本的参数值中各类字符出现频率、协议请求样本的参数完整性、协议请求样本的各样本参数间的相对位置关系以及协议请求样本受单一IP地址发起的频率中的至少一中类型的特征。

优选的，当协议请求样本的样本特征包括协议请求样本的参数值字符长度，和/或协议请求样本的参数值中各类字符出现频率，和/或协议请求样本受单一IP地址发起的频率时，对样本特征进行提取，生成特征模型，包括：