[发明专利]一种深度追踪团伙攻击行为的AI检测方法和装置

权利要求书

1.一种深度追踪团伙攻击行为的AI检测方法，其特征在于，包括：

从网络访问日志中提取各用户IP的第一信息、第二信息和第三信息；

基于所述第一信息获取各用户IP的第一统计特征，基于所述第一统计特征对用户IP进行主题聚类，获得分别对应不同主题的大簇；

基于所述第二信息获取各用户IP的第二统计特征，基于所述第二统计特征对每个大簇中的用户IP进行行为聚类，获得分别对应不同行为的多个小簇；

基于所述第三信息获取所述各小簇的第三统计特征；

当所述小簇的第三统计特征与团伙攻击行为模型的攻击特征匹配时，确定该小簇中的各用户IP存在团伙攻击行为。

2.如权利要求1所述的AI检测方法，其特征在于：

所述第一信息包括：各用户IP的网络访问日志中的URL；

所述第一统计特征包括：基于各用户IP按照URL语法对URL进行分词所提取的分词的信息。

3.如权利要求1所述的AI检测方法，其特征在于：

所述第二信息包括下列中的至少一项：各用户IP网络访问日志中的URL、GET请求报文、HEAD请求报文、POST请求报文、PUT请求报文、DELETE请求报文、OPTIONS请求报文、TRACE请求报文、CONNECT请求报文、1XX响应报文、2XX响应报文、3XX响应报文、4XX响应报文、5XX响应报文；

所述第二统计特征包括对应于所述第二信息的以下特征中的至少一项：各用户IP的平均URI数、平均GET请求报文数、平均HEAD请求报文数、平均POST请求报文数、平均PUT请求报文数、平均DELETE请求报文数、平均OPTIONS请求报文数、平均TRACE请求报文数、平均CONNECT请求报文数、平均1XX响应报文数、平均2XX响应报文数、平均3XX响应报文数、平均4XX响应报文数、平均5XX响应报文数、平均URL PATTERN数、平均REFER数、平均user agent数。

4.如权利要求1所述的AI检测方法，其特征在于：

所述第三信息包括下列中的至少一项：每个小簇中各用户IP的网段信息、各用户IP网络访问日志中的URL；

所述第三统计特征包括对应于所述第三信息的以下特征中的至少一项：每个小簇的总IP数、B类IP网段数、C类IP网段数、各用户IP进行URL访问的时间窗口数、各用户IP访问的URL数。

5.如权利要求1所述的AI检测方法，其特征在于，还包括：

基于已检测到的具有团伙攻击行为的历史数据预先提取所述团伙攻击行为模型的所述攻击特征。

6.如权利要求1所述的AI检测方法，其特征在于，还包括：

当确定当前小簇中的所有特征均满足所述团伙攻击行为模型的攻击特征中相应的阈值和攻击判断逻辑时，确定所述小簇的第三统计特征与团伙攻击行为模型的攻击特征匹配。

7.如权利要求1所述的AI检测方法，其特征在于：

每个小簇至少两个用户IP。

8.一种深度追踪团伙攻击行为的AI检测装置，其特征在于，包括：

信息提取模块，用于从网络访问日志中提取各用户IP的第一信息、第二信息和第三信息；

第一统计特征提取及主题聚类模块，用于基于所述第一信息获取各用户IP的第一统计特征，基于所述第一统计特征对用户IP进行主题聚类，获得分别对应不同主题的大簇；

第二统计特征提取及行为聚类模块，用于基于所述第二信息获取各用户IP的第二统计特征，基于所述第二统计特征对每个大簇中的用户IP进行行为聚类，获得分别对应不同行为的多个小簇；

第三统计特征提取模块，用于基于所述第三信息获取所述各小簇的第三统计特征；

识别模块，当所述小簇的第三统计特征与团伙攻击行为模型的攻击特征匹配时，确定该小簇的用户IP存在团伙攻击行为。