[发明专利]一种基于机器学习的WEB应用防火墙的实现方法

说明书

本发明公开了一种基于机器学习的WEB应用防火墙的实现方法，所述方法采用单分类模型建立规则的机器学习方法，构造能充分表达白样本的最小模型作为Profile，从而实现异常检测，该方法包括训练阶段和测试阶段；其中，所述训练阶段用于建立单分类模型，所述的测试阶段，对测试样本向量化，再通过计算重建误差作为异常检测的标准。本发明针对当前WEB防火墙规则集合建立的不足问题，采用了单分类的机器学习方法建立模型，动态更新规则库，使得WEB应用防火墙更加智能。

技术领域

本发明涉及WEB应用安全技术领域，特别是一种基于机器学习的WEB应用防火墙的实现方法。

背景技术

WEB应用防火墙是信息安全的第一道防线。随着网络技术的快速更新，新的黑客技术也层出不穷，为传统规则防火墙带来了挑战。传统WEB入侵检测技术通过维护规则集对入侵访问进行拦截。一方面，硬规则在灵活的黑客面前，很容易被绕过，且基于以往知识的规则集难以应对0day攻击；另一方面，攻防对抗水涨船高，防守方规则的构造和维护门槛高、成本大。基于机器学习技术的新一代WEB入侵检测技术有望弥补传统规则集方法的不足，为WEB对抗的防守端带来新的发展和突破。机器学习方法能够基于大量数据进行自动化学习和训练，已经在图像、语音、自然语言处理等方面广泛应用。然而，机器学习应用于WEB入侵检测也存在挑战，其中最大的困难就是标签数据的缺乏。尽管有大量的正常访问流量数据，但WEB入侵样本稀少，且变化多样，对模型的学习和训练造成困难。

发明内容

为解决现有技术中存在的问题，本发明的目的是提供一种基于机器学习的WEB应用防火墙的实现方法，本发明针对当前WEB防火墙规则集合建立的不足问题，采用了单分类的机器学习方法建立模型，动态更新规则库，使得WEB应用防火墙更加智能。

为实现上述目的，本发明采用的技术方案是：一种基于机器学习的WEB应用防火墙的实现方法，所述方法采用单分类模型建立规则的机器学习方法，构造能充分表达白样本的最小模型作为Profile，从而实现异常检测，该方法包括训练阶段和测试阶段；其中，所述训练阶段用于建立单分类模型，具体包括以下步骤：

S1、通过N-Gram模型将训练样本的文本数据向量化，得到文本数据训的向量集；

S2、降低向量集的维度，对N-Gram的向量进行聚类，指定的类别数K即为约减后的特征维数，并将约减后的特征向量投入单分类SVM模型中进行Profile训练；

S3、采用深度学习中的深度自编码网络模型进行非线性特征约减，通过给定输入的重建误差，判断输入样本是否与Profile相符；

所述的测试阶段，对测试样本向量化，再通过计算重建误差作为异常检测的标准。

作为一种优选的实施方式，所述步骤S1包括以下步骤：

S11、通过长度为N的滑动窗口算法将文本数据分割为N-Gram序列；

S12、将N-Gram序列转化成向量。

作为另一种优选的实施方式，所述步骤S12具体如下：

假设共有m种不同的字符，则会得到m*m种N-Gram的组合，用一个m*m长的向量，每一位独热码表示文本数据中是否出现了该N-Gram，其中有独热码则置1，没有则置0，从而可得到一个m*m长的0/1向量，对于每个出现的N-Gram，用该N-Gram在文本数据中出现的频率来代替单调的“1”，以表示更多的信息，则每个文本数据都可以通过一个m*m长的向量表示。

本发明的有益效果是：本发明在WEB应用防火墙基础上，采用了单分类建立模型的机器学习方法，使得WEB应用防火墙更加智能，更加准确的防御攻击，大大提升了用户体验；采用了单分类建立模型的机器学习方法，该模型更加准确高效，集成机器学习建立规则，不断更新规则集。

附图说明