[发明专利]一种异常检测方法、装置及设备

权利要求书

1.一种异常检测方法，针对每个请求消息，预先保存历史字符串，该历史字符串用于表示处理该请求消息的各应用程序编程接口API在过去指定时间段内的历史调用关系，所述方法包括：

针对每个请求消息，确定用于处理该请求消息的各应用程序编程接口API；

根据所述各API之间的当前调用关系，生成用于表示所述当前调用关系的字符串，作为当前字符串；

在预先保存的各历史字符串中，确定与所述当前字符串的相似度最高的历史字符串；

确定所述当前字符串与确定出的历史字符串的差异度，并根据所述差异度对所述各API进行异常检测。

2.如权利要求1所述的方法，根据所述各API之间的当前调用关系，生成用于表示所述当前调用关系的字符串，具体包括：

根据所述各API之间的当前调用关系，生成用于表示所述当前调用关系的拓扑图；

根据所述拓扑图，生成用于表示所述拓扑图的字符串。

3.如权利要求2所述的方法，根据所述拓扑图，生成用于表示所述拓扑图的字符串，具体包括：

根据所述拓扑图和所述各API的参数，生成用于表示所述拓扑图和所述各API的参数的字符串。

4.如权利要求2所述的方法，所述拓扑图包括有向无环图DAG。

5.如权利要求1所述的方法，在预先保存的各历史字符串中，确定与所述当前字符串的相似度最高的历史字符串，具体包括：

采用局部敏感哈希算法，在预先保存的各历史字符串中，确定与所述当前字符串的相似度最高的历史字符串。

6.如权利要求1所述的方法，确定所述当前字符串与确定出的历史字符串的差异度，具体包括：

确定所述当前字符串与确定出的历史字符串的编辑距离；

根据所述编辑距离确定所述当前字符串与确定出的历史字符串的差异度。

7.一种异常检测装置，包括：

存储模块，针对每个请求消息，预先保存历史字符串，该历史字符串用于表示处理该请求消息的各应用程序编程接口API在过去指定时间段内的历史调用关系；

确定模块，针对每个请求消息，确定用于处理该请求消息的各应用程序编程接口API；

生成模块，根据所述各API之间的当前调用关系，生成用于表示所述当前调用关系的字符串，作为当前字符串；

对比模块，在所述存储模块保存的各历史字符串中，确定与所述当前字符串的相似度最高的历史字符串；

检测模块，确定所述当前字符串与确定出的历史字符串的差异度，并根据所述差异度对所述各API进行异常检测。

8.如权利要求7所述的装置，所述生成模块，根据所述各API之间的当前调用关系，生成用于表示所述当前调用关系的拓扑图；根据所述拓扑图，生成用于表示所述拓扑图的字符串。

9.如权利要求8所述的装置，所述生成模块，根据所述拓扑图和所述各API的参数，生成用于表示所述拓扑图和所述各API的参数的字符串。

10.如权利要求8所述的装置，所述拓扑图包括有向无环图DAG。

11.如权利要求7所述的装置，所述对比模块，采用局部敏感哈希算法，在所述存储模块保存的各历史字符串中，确定与所述当前字符串的相似度最高的历史字符串。

12.如权利要求7所述的装置，所述检测模块，确定所述当前字符串与确定出的历史字符串的编辑距离；根据所述编辑距离确定所述当前字符串与确定出的历史字符串的差异度。

13.一种异常检测设备，设备包括一个或多个存储器以及处理器，针对每个请求消息，所述存储器预先保存历史字符串，该历史字符串用于表示处理该请求消息的各应用程序编程接口API在过去指定时间段内的历史调用关系；

所述存储器存储程序，并且被配置成由所述一个或多个处理器执行以下步骤：

针对每个请求消息，确定用于处理该请求消息的各应用程序编程接口API；

根据所述各API之间的当前调用关系，生成用于表示所述当前调用关系的字符串，作为当前字符串；

在预先保存的各历史字符串中，确定与所述当前字符串的相似度最高的历史字符串；

确定所述当前字符串与确定出的历史字符串的差异度，并根据所述差异度对所述各API进行异常检测。