[发明专利]一种API接口调用路径异常的检测方法及系统

说明书

本发明公开了一种API接口调用路径异常的检测方法及系统，具体涉及API安全技术领域，包括步骤一、持续地从大量的正常用户的访问路径中提取API的调用关系，不断扩展调用关系集合；步骤二、使用异常检测方法，找出异常的调用路径。本发明针对每个应用，从大量数据中抽取频繁调用路径，构成调用路径集合；对调用路径序列，使用n‑gram方法抽取特征，并使用异常检测算法，识别异常的调用路径；将预先得到的调用关系集合，用于调用路径的异常检测；持续地从大量正常的调用路径数据中抽取调用路径关系，构建调用关系集合，然后使用机器学习方法，检测异常的调用路径，并结合调用关系集合对异常调用路径进行再次确认，降低误报。

技术领域

本发明涉及API安全技术领域，更具体地说，本发明涉及一种API接口调用路径异常的检测方法及系统。

背景技术

应用程序编程接口(Application Programming Interface，API)是一些预先定义好的，用于提供特定服务的接口，应用通过API接口对外提供服务，用户通过API接口访问应用，获取服务。

用户在请求服务时，通常会发生多个接口的调用，接口的调用关系遵循业务逻辑的设计，部分接口之间的调用是有先后顺序的，先调用A接口，再调用B接口。但有些接口在开发时，开发者使用了简单易用的web开发框架，忽略了对用户权限的审查，导致接口存在未授权访问的漏洞，使得攻击者能够不遵循业务逻辑的调用顺序访问应用，造成数据泄漏的风险。

调用路径异常属于业务逻辑风险，传统方法难以检测到。现有的对API调用路径异常的检测方法，通常是根据业务逻辑接口文档，预先设定调用路径异常的告警规则，命中规则就认为是异常行为，进行告警。这种方法存在以下缺陷：1、需要对业务逻辑有详细的理解，耗费人工；2、规则不够灵活，只能检测到规则设定的异常行为。因此，针对API调用路径异常的检测，是本领域值得研究的问题。

发明内容

为了克服现有技术的上述缺陷，本发明的实施例提供一种API接口调用路径异常的检测方法及系统，本发明所要解决的技术问题是：如何解决现有技术中调用路径异常难以检测到的问题。

为实现上述目的，本发明提供如下技术方案：一种API接口调用路径异常的检测系统，整个系统说明如下：

步骤一、持续地从大量的正常用户的访问路径中提取API的调用关系，不断扩展调用关系集合；

步骤二、对当前的一批数据，使用异常检测方法，找出异常的调用路径；

步骤三、利用调用关系集合，对步骤二中的异常结果进行再次确认，对确认为异常的结果进行告警。

本发明还包括一种API接口调用路径异常的检测方法，具体检测步骤如下所示：

S1、对每个应用，提取调用关系集合；

S1.1、数据提取：提取当前时间之前的一段时间的事件数据，并根据应用不同，对数据分组；

S1.2、数据预处理：对每组数据，从事件中提取相关字段，构成结构化数据记录；

S1.3、调用路径提取：利用关联分析算法，从大量的调用路径数据中，提取频繁调用路径；

S1.4、调用路径存储：将当前得到的调用关系集合，更新到数据库中；

S2、调用路径异常检测；

S2.1、数据提取：提取过去一段时间窗口内的数据，并以IP为主体，对调用路径按发生时间排序，提取API访问路径序列；

S2.2、特征提取：对每个主体的API访问路径序列，使用n-gram方法提取特征；

S2.3、特征向量化：对步骤S2.2中得到的n-gram特征，使用TF-IDF对特征向量化表示，每个主体表示为一维向量；