[发明专利]一种基于时间特征的Web服务器匿名访问流量检测方法

权利要求书

1.一种基于时间特征的Web服务器匿名访问流量检测方法，其特征在于：所述方法包括以下步骤：

步骤1：时间特征提取；

步骤2：基于单类支持向量机建立时间特征模型；

步骤3：将时间特征代入时间特征模型中进行检测；

步骤4：对检测结果进行确认；

所述步骤4具体包括以下步骤：

步骤4-1：Web服务器跳转至认证页面；

步骤4-2：根据产生特定大小的验证码，要求用户输入网页中显示的验证码；

为同时检测出Tor和JAP匿名访问流量，验证码的大小设为990字节；

步骤4-3：将验证码发回至Web服务器；

步骤4-4：Web服务器根据验证码对应的报文长度确认是否为匿名访问流量；

若验证码对应的网络报文被分割为两个报文，且对应的报文长度分别为498、492字节或989、1字节，则确认为匿名访问流量，否则判断为正常访问流量。

2.根据权利要求1所述的基于时间特征的Web服务器匿名访问流量检测方法，其特征在于：所述步骤1中，Web服务器记录HTTP协议中GET请求和POST请求各自的到达时间，将连续出现的GET请求或POST请求之间的时间间隔作为时间特征。

3.根据权利要求1或2所述的基于时间特征的Web服务器匿名访问流量检测方法，其特征在于：所述步骤1具体包括以下步骤：

步骤1-1：根据IP地址，对于每个连接Web服务器的客户端，Web服务器建立数据库检索索引；

步骤1-2：Web服务器记录HTTP协议中GET请求和POST请求的到达时间，且对于相同的多次GET请求或POST请求，Web服务器仅记录第一次GET请求或POST请求的到达时间；

步骤1-3：从记录的GET请求和POST请求达到时间序列中提取时间特征。

4.根据权利要求3所述的基于时间特征的Web服务器匿名访问流量检测方法，其特征在于：所述步骤1-1中，对于IPv4类型的客户端IP地址，Web服务器根据自身操作系统的字节顺序，将客户端的IP地址保存为4字节INT型，之后Web服务器计算对应的数值，并以该数值作为客户端的检索索引；

对于IPv6类型的客户端IP地址，Web服务器将客户端的IPv6地址作为字符串，使用BKDRHash杂凑函数计算hash值，并以计算结果作为数据库索引，同时数据库中保存IPv6地址信息。

5.根据权利要求3所述的基于时间特征的Web服务器匿名访问流量检测方法，其特征在于：所述步骤1-3中，Web服务器根据记录的GET请求和POST请求各自的到达时间，计算出GET请求和POST请求达到的时间间隔，并依据由大到小的顺序对时间间隔进行排序，提取至少20％的时间间隔，保存为特征向量以作为时间特征。

6.根据权利要求1所述的基于时间特征的Web服务器匿名访问流量检测方法，其特征在于：所述步骤2中，将提取的时间特征保存为特征向量，使用单类支持向量机进行模型训练，得出时间特征模型。