[发明专利]一种在网关上的实时恶意网页识别方法及系统

权利要求书

1.一种在网关上的实时恶意网页识别方法，包括：

1)采集用户访问网页的流量，从中提取轻量级的恶意网页分类特征，其中所述轻量级的恶意网页分类特征包括基于服务器的分类特征、基于用户的分类特征、基于URL的分类特征以及基于Referer的分类特征，所述基于服务器的分类特征包括目的IP第一个字节、目的IP第二个字节、目的IP第三个字节、目的IP第四个字节和服务器端口；所述基于用户的分类特征包括源IP第一个字节、源IP第二个字节、源IP第三个字节、源IP第四个字节和用户访问时间；

2)基于上述轻量级的恶意网页分类特征，构建实时恶意网页分类模型；

3)将上述模型部署到核心网络设备上，以实时预测网页是否为恶意网页，过滤掉非恶意网页，拦截恶意网页。

2.如权利要求1所述的在网关上的实时恶意网页识别方法，其特征在于，采用点分十进制来处理目的IP地址和源IP地址，以每个IP地址字节作为一项分类特征。

3.如权利要求1所述的在网关上的实时恶意网页识别方法，其特征在于，所述基于URL的分类特征包括URL长度、域名长度、域名是否为IP、URL中路径的长度、URL中路径的深度、URL中参数的长度和URL中参数的个数；所述基于Referer的分类特征包括Referer长度、域名长度、域名是否为IP、Referer中路径的长度、Referer中路径的深度、Referer中参数的长度和Referer中参数的个数。

4.如权利要求1所述的在网关上的实时恶意网页识别方法，其特征在于，所述核心网络设备包括路由器和前端机。

5.如权利要求1所述的在网关上的实时恶意网页识别方法，其特征在于，所述方法还包括采用非参数秩和检验检验是否发生概念漂移。

6.一种在网关上的实时恶意网页识别系统，包括：

1)流量采集模块：采集网络流量，从每一条流量数据的数据包的请求头部字段中筛选出轻量级的恶意网页分类特征，根据现有的恶意网页黑名单数据库，对每一行特征向量进行标记，形成训练集，其中所述轻量级的恶意网页分类特征包括基于服务器的分类特征、基于用户的分类特征、基于URL的分类特征以及基于Referer的分类特征，所述基于服务器的分类特征包括目的IP第一个字节、目的IP第二个字节、目的IP第三个字节、目的IP第四个字节和服务器端口；所述基于用户的分类特征包括源IP第一个字节、源IP第二个字节、源IP第三个字节、源IP第四个字节和用户访问时间；

2)分类模型训练模块：部署于核心网络设备上，从上述训练集中训练分类器模型；

3)预测模块：根据上述模型实时预测网页是否为恶意网页，过滤掉非恶意网页，拦截恶意网页。

7.如权利要求6所述的在网关上的实时恶意网页识别系统，其特征在于，所述系统还包括概念漂移检测模块。

8.如权利要求7所述的在网关上的实时恶意网页识别系统，其特征在于，采用非参数秩和检验检验是否发生概念漂移。

9.如权利要求6所述的在网关上的实时恶意网页识别系统，其特征在于，所述恶意网页黑名单数据库包括互联网上用户举报的恶意URL数据库、公开的恶意网页黑名单数据库以及自研的恶意网页检测系统发现的恶意URL数据库。