[发明专利]基于Web日志分析检测DDos攻击的方法、系统和电子装置

权利要求书

1.一种基于Web日志分析检测DDos攻击的方法，其特征在于，所述方法包括：

获取网站平台的日志数据，在所述日志数据中提取用户的会话集合；

在所述会话集合中，获取所述用户的访问信息，其中，所述访问信息包括网页的访问频率、平均请求流量和平均访问比例；

通过决策树，在所述访问信息满足判断条件的情况下，判定所述用户的访问为DDos攻击，所述判断条件包括所述访问频率大于频率阈值、所述平均请求流量小于请求流量阈值、所述平均访问比例小于访问比例阈值中的至少一种。

2.根据权利要求1所述的方法，其特征在于，获取所述平均访问比例包括：

根据所述日志数据，获取所述会话集合中各所述网页的访问量和所述网站平台的总访问量；

根据各所述网页的访问量和所述总访问量，得到各所述网页在所述会话集合中的访问比例；

根据各所述访问比例之和与所述会话集合中的请求次数，得到所述平均访问比例。

3.根据权利要求1所述的方法，其特征在于，获取所述平均请求流量包括：

根据所述用户在所述会话集合中的请求次数和请求流量总数，计算所述平均请求流量。

4.根据权利要求1所述的方法，其特征在于，获取所述访问频率包括：

根据所述用户在所述会话集合中的请求次数和所述会话集合的会话时长，计算所述访问频率。

5.根据权利要求1所述的方法，其特征在于，在所述频率阈值、所述请求流量阈值和所述访问比例阈值均为访问阈值的情况下，计算所述访问阈值包括：

从多个历史会话集合中获取每一种所述访问信息的多个数据；

根据所述多个数据的数值大小对所述多个数据进行排序，其中，所述多个数据包括正常访问数据和攻击数据；

在所述正常访问数据和所述攻击数据的边界处，取预设数量的数据并计算每个所述数据的信息增益率；

将所述信息增益率最大的所述数据作为所述访问阈值。

6.根据权利要求1所述的方法，其特征在于，所述在所述日志数据中提取用户的会话集合包括：

根据所述日志数据获取所述用户的第一会话记录和第二会话记录；所述第一会话记录包括第一标识信息和第一会话时间；所述第二会话记录包括第二标识信息和第二会话时间；所述第一会话记录与所述第二会话记录为时间相邻的会话记录；

在所述第一标识信息与所述第二标识信息相同，且所述第一会话时间与所述第二会话时间的时间差小于会话时间阈值的情况下，将所述第一会话记录与所述第二会话记录合并为所述会话集合。

7.根据权利要求1所述的方法，其特征在于，在所述日志数据中提取用户的会话集合之前，所述方法还包括：

根据所述日志数据获取第三会话记录，在所述第三会话记录的字符串信息属于预设字符串集合的情况下，删除所述第三会话记录，其中，所述预设字符串集合包括嵌入式对象的请求的字符串。

8.一种基于Web日志分析检测DDos攻击的系统，其特征在于，所述系统包括会话识别模块、信息获取模块和决策判断模块：

所述会话识别模块，用于获取网站平台的日志数据，在所述日志数据中提取用户的会话集合；

所述信息获取模块，用于在所述会话集合中，获取所述用户的访问信息，其中，所述访问信息包括网页的访问频率、平均请求流量和平均访问比例；

所述决策判断模块，用于通过决策树，在所述访问信息满足判断条件的情况下，判定所述用户的访问为DDos攻击，所述判断条件包括所述访问频率大于频率阈值、所述平均请求流量小于请求流量阈值、所述平均访问比例小于访问比例阈值中的至少一种。

9.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至7中任一项所述的基于Web日志分析检测DDos攻击的方法。

10.一种存储介质，其特征在于，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至7中任一项所述的基于Web日志分析检测DDos攻击的方法。