[发明专利]数据安全检测方法、模型训练方法、装置和计算机设备

说明书

本公开提供了一种数据安全检测方法，包括：监听待检测数据流，待检测数据流基于网间控制报文协议传输。然后，获取待检测数据流在预定时间区间内的一个或多个数据包。从而基于所述一个或多个数据包，确定待检测数据流的特征向量。接着，将待检测数据流的特征向量输入至预先构建的优化检测模型，以基于优化检测模型的输出结果确定待检测数据流的安全性，其中，优化检测模型是利用多个基于网间控制报文协议传输的样本数据流构建的、用于对待检测数据流的安全性进行检测的模型。本公开还提供了一种数据安全检测装置、一种用于数据安全检测的模型训练方法和装置、以及一种计算机设备。

技术领域

本公开涉及一种数据安全检测方法及装置、用于数据安全检测的模型训练方法及装置、和计算机设备。

背景技术

网间控制报文协议(Internet Control Messages Protocol，ICMP)是TCP(Transmission Control Protocol，传输控制协议)/IP(Intemet Protocol，网际协议)协议族的子协议，是一种面向无连接的协议。

在网络通信场景下，ICMP是必不可少的网络通信协议之一，被广泛用于检测网络连通状态。通常情况下，防火墙会默认放行基于ICMP传输的数据流。由于防火墙对ICMP数据流开放，恶意攻击者经常会基于ICMP进行非法通信。

发明内容

本公开的一个方面提供了一种数据安全检测方法，包括：监听待检测数据流，待检测数据流基于网间控制报文协议传输。然后，获取待检测数据流在预定时间区间内的一个或多个数据包。从而基于所述一个或多个数据包，确定待检测数据流的特征向量。接着，将待检测数据流的特征向量输入至预先构建的优化检测模型，以基于优化检测模型的输出结果确定待检测数据流的安全性，其中，所述优化检测模型是利用多个基于网间控制报文协议传输的样本数据流构建的、用于对待检测数据流的安全性进行检测的模型。

可选地，上述一个或多个数据包包括：至少一个请求数据包和/或至少一个响应数据包。上述基于所述一个或多个数据包，确定待检测数据的特征向量包括：一方面，基于至少一个请求数据包，确定请求特征，另一方面，基于至少一个响应数据包，确定响应特征。然后基于请求特征和响应特征，组合得到待检测数据流的特征向量。

可选地，上述请求特征包括如下至少一项：至少一个请求数据包中的请求数据长度的最小值、请求数据长度的最大值、请求数据长度的平均值、和请求数据长度的标准差。备选地或附加地，上述响应特征包括如下至少一项：至少一个响应数据包中的响应数据长度的最小值、响应数据长度的最大值、响应数据长度的平均值、响应数据长度的标准差、和上述至少一个响应数据包的数量。

可选地，上述基于优化检测模型的输出结果确定待检测数据流的安全性包括：当优化检测模型输出第一分类结果时，确定待检测数据流为基于网间控制报文协议的正常通信数据流。当优化检测模型输出第二分类结果时，确定待检测数据流为基于网间控制报文协议的异常通信数据流。

可选地，上述基于优化检测模型的输出结果确定待检测数据流的安全性包括：当优化检测模型输出第二分类结果时，检测上述一个或多个数据包中是否存在指定命令字符。如果是，则确定待检测数据流为基于网间控制报文协议的异常通信数据流。

可选地，上述基于优化检测模型的输出结果确定待检测数据流的安全性包括：当优化检测模型输出第二分类结果时，检测上述一个或多个数据包中是否存在指定标识信息。如果是，则确定待检测数据流为基于网间控制报文协议的异常通信数据流。