[发明专利]一种网络访问异常检测方法及装置

权利要求书

1.一种网络访问异常检测方法，其特征在于，包括：

获取被监测用户网络访问的第一日志信息，所述第一日志信息包括第一源IP地址和第一获取时间；所述第一获取时间为获取到所述第一日志信息的时间，或所述第一日志信息产生的时间；

若判断获知所述第一源IP地址与上一次获取到的第二日志信息中的第二源IP地址不同，且所述被监测用户没有利用虚拟专用网络(简称VPN)代理，则获取所述第一源IP地址对应的第一位置信息和所述第二源IP地址对应的第二位置信息；

根据所述第一位置信息、所述第二位置信息、所述第一获取时间和所述第二源IP地址对应的第二获取时间计算获得到达速度；所述第二获取时间为获取到所述第二日志信息的时间，或所述第二日志信息产生的时间；

若判断获知所述到达速度大于预设阈值，则所述被监测用户网络访问异常。

2.根据权利要求1所述的方法，其特征在于，所述根据所述第一位置信息、所述第二位置信息、所述第一获取时间和所述第二源IP地址对应的第二获取时间计算获得到达速度，包括：

根据所述第一位置信息和所述第二位置信息计算获得物理距离；

根据所述第一获取时间和所述第二获取时间计算获得时间差；

根据所述物理距离和所述时间差计算获得到达速度。

3.根据权利要求1所述的方法，其特征在于，所述第一日志信息还包括第一端口号和第一用户代理信息，所述第二日志信息包括第二用户代理信息，相应的，判断所述被监测用户没有利用VPN代理，包括：

若所述第一源IP地址和所述第一端口号构成的对应关系没有在VPN代理库中，且所述第一用户代理信息与所述第二用户代理信息不同，则所述被监测用户没有利用VPN代理。

4.根据权利要求1所述的方法，其特征在于，所述方法，还包括：

若所述第一源IP地址与第二源IP地址不同，且所述被监测用户没有利用VPN代理，且所述第一源IP地址和所述第二源IP地址不都是公网IP，则判断所述第一源IP地址是否在所述被监测用户的常用IP列表中；

若判断获知所述第一源IP地址没有在所述常用IP列表中，则所述被监测用户网络访问异常。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述方法，还包括：

将所述被监测用户的异常信息进行告警。

6.一种网络访问异常检测装置，其特征在于，包括：

获取模块，用于获取被监测用户网络访问的第一日志信息，所述第一日志信息包括第一源IP地址和第一获取时间；所述第一获取时间为获取到所述第一日志信息的时间，或所述第一日志信息产生的时间；

第一判断模块，用于若判断获知所述第一源IP地址与上一次获取到的第二日志信息中的第二源IP地址不同，且所述被监测用户没有利用VPN代理，则获取所述第一源IP地址对应的第一位置信息和所述第二源IP地址对应的第二位置信息；

计算模块，用于根据所述第一位置信息、所述第二位置信息、所述第一获取时间和所述第二源IP地址对应的第二获取时间计算获得到达速度；所述第二获取时间为获取到所述第二日志信息的时间，或所述第二日志信息产生的时间；

第一检测模块，用于若判断获知所述到达速度大于预设阈值，则所述被监测用户网络访问异常。

7.根据权利要求6所述的装置，其特征在于，所述判断模块，具体用于：

根据所述第一位置信息和所述第二位置信息计算获得物理距离；

根据所述第一获取时间和所述第二获取时间计算获得时间差；

根据所述物理距离和所述时间差计算获得到达速度。

8.根据权利要求6所述的装置，其特征在于，所述第一日志信息还包括第一端口号和第一用户代理信息，所述第二日志信息包括第二用户代理信息，相应的，所述判断模块，具体用于：

若所述第一源IP地址和所述第一端口号构成的对应关系没有在VPN代理库中，且所述第一用户代理信息与所述第二用户代理信息不同，则所述被监测用户没有利用VPN代理。