[发明专利]一种深度追踪团伙攻击行为的AI检测方法和装置

说明书

本发明公开了一种深度追踪团伙攻击行为的AI检测方法和装置，此方法包括：从网络访问日志中提取各用户IP的第一信息、第二信息和第三信息；基于第一信息获取各用户IP的第一统计特征，基于第一统计特征对用户IP进行主题聚类，获得分别对应不同主题的大簇；基于第二信息获取各用户IP的第二统计特征，基于第二统计特征对每个大簇中的用户IP进行行为聚类，获得分别对应不同行为的多个小簇；基于第三信息获取各小簇的第三统计特征；当小簇的第三统计特征与团伙攻击行为模型的攻击特征匹配时，确定该小簇中的各用户IP存在团伙攻击行为。本发明提高了检测团伙攻击行为的准确率。

技术领域

本发明涉及互联网安全技术领域，尤其涉及一种深度追踪团伙攻击行为的AI检测方法和装置。

背景技术

随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存增加，网络带宽的提升，这使得之前一对一的网络攻击形式所造成的危害大大减弱了，互联网的团伙攻击形式就出现了。

互联网上的团伙攻击是指黑客将代理程序安装在网络上的许多计算机上，这些被安装了代理程序的计算机作为代理服务器，黑客使用这些代理服务器作为跳板对目标服务器发起攻击，代理服务器发出的攻击行为和正常用户的访问行为非常相似，发送的攻击报文的频率也非常低，但是由于代理服务器的数量很多，大量的对目标服务器的请求访问，导致目标服务器拒绝服务或者死机等，为了对团伙攻击行为进行有效检测，需要提出新的技术方案。

发明内容

为了解决上述技术问题，本发明提供了一种深度追踪团伙攻击行为的AI检测方法和装置。

本发明提供了一种深度追踪团伙攻击行为的AI检测方法，包括：

从网络访问日志中提取各用户IP的第一信息、第二信息和第三信息；

基于所述第一信息获取各用户IP的第一统计特征，基于所述第一统计特征对用户IP进行主题聚类，获得分别对应不同主题的大簇；

基于所述第二信息获取各用户IP的第二统计特征，基于所述第二统计特征对每个大簇中的用户IP进行行为聚类，获得分别对应不同行为的多个小簇；

基于所述第三信息获取所述各小簇的第三统计特征；

当所述小簇的第三统计特征与团伙攻击行为模型的攻击特征匹配时，确定该小簇中的各用户IP存在团伙攻击行为。

上述方法还具有以下特征：

所述第一信息包括：各用户IP的网络访问日志中的URL；

所述第一统计特征包括：基于各用户IP按照URL语法对URL进行分词所提取的分词的信息。

上述方法还具有以下特征：

所述第二信息包括下列中的至少一项：各用户IP网络访问日志中的URL、GET请求报文、HEAD请求报文、POST请求报文、PUT请求报文、DELETE请求报文、OPTIONS请求报文、TRACE请求报文、CONNECT请求报文、1XX响应报文、2XX响应报文、3XX响应报文、4XX响应报文、5XX响应报文；

所述第二统计特征包括对应于所述第二信息的以下特征中的至少一项：各用户IP的平均URI数、平均GET请求报文数、平均HEAD请求报文数、平均POST请求报文数、平均PUT请求报文数、平均DELETE请求报文数、平均OPTIONS请求报文数、平均TRACE请求报文数、平均CONNECT请求报文数、平均1XX响应报文数、平均2XX响应报文数、平均3XX响应报文数、平均4XX响应报文数、平均5XX响应报文数、平均URL PATTERN数、平均REFER数、平均user agent数。

上述方法还具有以下特征：

所述第三信息包括下列中的至少一项：每个小簇中各用户IP的网段信息、各用户IP网络访问日志中的URL；