[发明专利]用于控制恶意流量的方法、装置和系统

权利要求书

1.一种用于控制恶意流量的方法，其特征在于，包括：

从流量监测装置中实时采集用户的流量记录；

判断所述流量记录的URL是否记录在安全库中；

若所述URL未记录在安全库中，则进一步判断所述流量记录是否为持续下载记录；

若所述流量记录为持续下载记录，则将所述流量记录与所述用户的历史行为进行比较，以获得所述流量记录的疑似度；

根据所述疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制；

其中，将所述流量记录与所述用户的历史行为进行比较，以获得所述流量记录的疑似度包括：

统计所述流量记录的流量值与所述用户的流量平均值之比以作为第一指标；

统计所述流量记录的流量值与所述用户的流量峰值之比以作为第二指标；

判断所述URL是否出现在所述用户的历史下载地址中以作为第三指标；

判断所述流量记录的生成时间是否在所述用户的上网休闲时段以作为第四指标；

将第一指标至第四指标的加权和作为所述流量记录的疑似度。

2.根据权利要求1所述的方法，其特征在于，

判断所述流量记录是否为持续下载记录包括：

判断具有所述URL的各流量记录之间的平均时间间隔是否小于预定间隔门限；

若所述平均时间间隔小于预定间隔门限，进一步判断具有所述URL的流量记录持续条数是否大于预定条数门限；

若所述流量记录持续条数大于预定条数门限，则判断所述流量记录为持续下载记录。

3.根据权利要求1所述的方法，其特征在于，

若所述URL未出现在所述用户的历史下载地址中，则第三指标值为指定值，若所述URL出现在所述用户的历史下载地址中，则第三指标值为0；

若所述流量记录的生成时间在所述用户的上网休闲时段，则第四指标值为指定值，若所述流量记录的生成时间未在所述用户的上网休闲时段，则第四指标值为0。

4.根据权利要求1所述的方法，其特征在于，

第一指标至第四指标的权重之和为1。

5.根据权利要求1-4中任一项所述的方法，其特征在于，

在从流量监测装置中实时采集用户的流量记录后，还包括：

根据所述流量记录中的网络接入标识判断是否采用指定网络接入；

若采用指定网络接入，则进一步判断所述流量记录的流量值是否大于预定流量门限；

若所述流量记录的流量值大于预定流量门限，则执行判断所述流量记录的URL是否记录在安全库中的步骤。

6.一种用于控制恶意流量的装置，其特征在于，包括采集模块、第一识别模块、第二识别模块、疑似度计算模块和控制模块，其中：

采集模块，用于从流量监测装置中实时采集用户的流量记录；

第一识别模块，用于判断所述流量记录的URL是否记录在安全库中；

第二识别模块，用于根据第一识别模块的判断结果，若所述URL未记录在安全库中，则进一步判断所述流量记录是否为持续下载记录；

疑似度计算模块，用于根据第二识别模块的判断结果，若所述流量记录为持续下载记录，则将所述流量记录与所述用户的历史行为进行比较，以获得所述流量记录的疑似度，其中统计所述流量记录的流量值与所述用户的流量平均值之比以作为第一指标，统计所述流量记录的流量值与所述用户的流量峰值之比以作为第二指标，判断所述URL是否出现在所述用户的历史下载地址中以作为第三指标，判断所述流量记录的生成时间是否在所述用户的上网休闲时段以作为第四指标，将第一指标至第四指标的加权和作为所述流量记录的疑似度；

控制模块，用于根据所述疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

7.根据权利要求6所述的装置，其特征在于，

第二识别模块用于判断具有所述URL的各流量记录之间的平均时间间隔是否小于预定间隔门限，若所述平均时间间隔小于预定间隔门限，进一步判断具有所述URL的流量记录持续条数是否大于预定条数门限，若所述流量记录持续条数大于预定条数门限，则判断所述流量记录为持续下载记录。