[发明专利]Web攻击检测方法及装置

权利要求书

1.一种Web攻击检测方法，其特征在于，所述方法包括：

获得待检测Web请求，对所述待检测Web请求进行预处理得到对应的目标字符串；

对所述目标字符串进行向量化处理，得到对应的目标向量；

根据检测模型对所述目标向量进行检测，并判断所述待检测Web请求是否为攻击请求；

其中，所述获得待检测Web请求，对所述待检测Web请求进行预处理得到对应的目标字符串的步骤包括：

获得待检测Web请求的路径及参数；

对获得的待检测Web请求的参数进行参数拆解处理，得到对应的键值对，并对所述键值对进行保存；

对所述键值对中经过编码的字符参数进行解码处理；

对经过解码处理的键值对中属于非规范编码类型的字符参数进行编码类型转化处理；

将经过编码类型转化处理的键值对与所述待检测Web请求的路径进行合并处理，得到字符串；

根据预设分词规则对所述字符串进行分词处理，得到目标字符串。

2.根据权利要求1所述的方法，其特征在于，所述对所述目标字符串进行向量化处理，得到对应的目标向量的步骤包括：

根据向量空间模型及预设向量算法对所述目标字符串进行向量化处理，得到对应的目标向量。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

构建机器学习的训练集；

根据异常检测算法对所述训练集进行训练运算，得到所述检测模型。

4.根据权利要求3所述的方法，其特征在于，所述构建机器学习的训练集的步骤包括：

获得多个Web样本，其中，所述Web样本包括Web请求和/或Web日志；

对获得的多个Web样本进行预处理，得到字符串样本集，其中，所述预处理包括：参数拆解处理、解码处理、编码类型转化处理、合并处理及分词处理；

对字符串样本集中的每个字符串进行向量化处理，得到对应的训练集。

5.根据权利要求1-4任意一项所述的方法，其特征在于，所述根据检测模型对所述目标向量进行检测，并判断所述待检测Web请求是否为攻击请求的步骤包括：

使用检测模型对所述目标向量进行检测；

当检测结果异常时，判定所述待检测Web请求为攻击请求，记录所述待检测Web请求，并进行预警处理；

当检测结果正常时，判定所述待检测Web请求为非攻击请求，不进行预警处理。

6.一种Web攻击检测装置，其特征在于，所述装置包括：

预处理模块，用于获得待检测Web请求，对所述待检测Web请求进行预处理得到对应的目标字符串；

向量化处理模块，用于对所述目标字符串进行向量化处理，得到对应的目标向量；

检测模块，用于根据检测模型对所述目标向量进行检测，并判断所述待检测Web请求是否为攻击请求；

所述预处理模块获得待检测Web请求，对所述待检测Web请求进行预处理得到对应的目标字符串的方式包括：

获得待检测Web请求的路径及参数；

对获得的待检测Web请求的参数进行参数拆解处理，得到对应的键值对，并对所述键值对进行保存；

对所述键值对中经过编码的字符参数进行解码处理；

对经过解码处理的键值对中属于非规范编码类型的字符参数进行编码类型转化处理；

将经过编码类型转化处理的键值对与所述待检测Web请求的路径进行合并处理，得到字符串；

根据预设分词规则对所述字符串进行分词处理，得到目标字符串。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

构建模块，用于构建机器学习的训练集；

训练模块，用于根据异常检测算法对所述训练集进行训练运算，得到所述检测模型。

8.根据权利要求7所述的装置，其特征在于，所述构建模块构建机器学习的训练集的方式包括：

获得多个Web样本，其中，所述Web样本包括Web请求和/或Web日志；

对获得的多个Web样本进行预处理，得到字符串样本集，其中，所述预处理包括：参数拆解处理、解码处理、编码类型转化处理、合并处理及分词处理；

对字符串样本集中的每个字符串进行向量化处理，得到对应的训练集。