[发明专利]一种Web异常流量检测方法、装置、设备及介质

权利要求书

1.一种Web异常流量检测方法，其特征在于，包括：

获取特征模型；

利用所述特征模型计算待测协议请求与Web正常流量的协议请求之间的特征偏差值；

当所述特征偏差值大于预设阈值时，将所述待测协议请求对应的Web流量标记为Web异常流量。

2.根据权利要求1所述的Web异常流量检测方法，其特征在于，所述获取特征模型包括：

获取Web正常流量的协议请求样本的样本特征；

对所述样本特征进行提取，生成所述特征模型。

3.根据权利要求2所述的Web异常流量检测方法，其特征在于，所述协议请求样本的样本特征至少包括所述协议请求样本的参数值字符长度、所述协议请求样本的参数值中各类字符出现频率、所述协议请求样本的参数完整性、所述协议请求样本的各样本参数间的相对位置关系以及所述协议请求样本受单一IP地址发起的频率中的至少一中类型的特征。

4.根据权利要求3所述的Web异常流量检测方法，其特征在于，当所述协议请求样本的样本特征包括所述协议请求样本的参数值字符长度，和/或所述协议请求样本的参数值中各类字符出现频率，和/或所述协议请求样本受单一IP地址发起的频率时，所述对所述样本特征进行提取，生成所述特征模型，包括：

通过模型公式对所述协议请求样本的参数值字符长度进行提取，生成所述特征模型，和/或通过模型公式对所述协议请求样本的参数值中各类字符出现频率进行提取，生成所述特征模型，和/或通过模型公式对所述协议请求样本受单一IP地址发起的频率进行提取，生成所述特征模型。

5.根据权利要求4所述的Web异常流量检测方法，其特征在于，当所述协议请求样本的样本特征具体为所述协议请求样本的参数值字符长度时，所述通过模型公式对所述协议请求样本的参数值字符长度进行提取，生成所述特征模型包括：

计算所述协议请求样本的参数值字符长度的样本长度均值以及所述协议请求样本的参数值字符长度的样本长度方差；

将所述样本长度均值以及所述样本长度方差代入切比雪夫公式，生成所述特征模型；

相应的，所述利用所述特征模型计算待测协议请求与Web正常流量的协议请求之间的特征偏差值，包括：

计算所述待测协议请求的参数值字符长度的待测长度均值以及所述待测协议请求的参数值字符长度的待测长度方差；

将所述待测长度均值以及所述待测长度方差代入所述特征模型并计算所述特征偏差值。

6.根据权利要求4所述的Web异常流量检测方法，其特征在于，当所述协议请求样本的样本特征具体为所述协议请求样本的参数值中各类字符出现频率时，所述通过模型公式对所述协议请求样本的参数值中各类字符出现频率进行提取，生成所述特征模型包括：

计算所述协议请求样本的参数值中各类字符出现频率的样本期望频率；

将所述样本期望频率代入卡方检验公式，生成所述特征模型；

相应的，所述利用所述特征模型计算待测协议请求与Web正常流量的协议请求之间的特征偏差值，包括：

计算所述待测协议请求的参数值中各类字符出现频率的待测期望频率；

将所述待测期望频率代入所述特征模型并计算所述特征偏差值。

7.根据权利要求4所述的Web异常流量检测方法，其特征在于，当所述协议请求样本的样本特征具体为所述协议请求样本受单一IP地址发起的频率时，所述通过模型公式对所述协议请求样本受单一IP地址发起的频率进行提取，生成所述特征模型包括：

计算所述协议请求样本受单一IP地址发起的频率的样本频率均值以及所述协议请求样本受单一IP地址发起的频率的样本频率方差；

将所述样本频率均值以及所述样本频率方差代入切比雪夫公式，生成所述特征模型；

相应的，所述利用所述特征模型计算待测协议请求与Web正常流量的协议请求之间的特征偏差值，包括：

计算所述待测协议请求受单一IP地址发起的频率的待测频率均值以及所述待测协议请求受单一IP地址发起的频率的待测频率方差；

将所述待测频率均值以及所述待测频率方差代入所述特征模型并计算所述特征偏差值。