[发明专利]一种基于深度学习的异常流量检测方法及系统

权利要求书

1.一种基于深度学习的异常流量检测方法，其特征在于，包括：

步骤S100：设备源向目标服务器发起HTTP请求；

步骤S200：Web应用防护系统通过执行针对HTTP/HTTPS的安全活动规则对HTTP的请求进行异常检测，拒绝不符合安全活动规则的请求并发送至安全团队；将符合安全活动规则的请求向下一级转发；

步骤S300：AI WAF对通过WEB应用防护系统检测的请求再次检测，对其中的异常请求进行检测、标记并可视化传送至安全团队；

所述步骤S300具体包括：

步骤S310：对每条请求数据进行数据清洗、去重；

步骤S320：用所有请求数据构建特征矩阵，特征矩阵包括字符级HTTP请求矩阵和单词级HTTP请求矩阵；

步骤S330：将特征矩阵输入恶意流量检测模型，输出得到预测每条请求数据正常的概率、每条请求数据异常的概率以及词向量中每个元素异常的概率：

如果预测一条请求数据是正常的概率比是异常的概率高，则判断为是正常请求数据，直接通过；

如果预测一条请求数据是异常的概率比是正常的概率的高，则判断为是异常请求数据并拦截该条请求数据；

根据词向量中每个元素异常的概率进行异常等级划分，用不同颜色对词汇进行标记并输出至安全团队。

2.根据权利要求1所述的一种基于深度学习的异常流量检测方法，其特征在于，所述恶意流量检测模型的训练方法为：

步骤A：通过流量镜像获取通过Web应用防护系统的真实数据，由WAF强规则进行流量标记；

步骤B：对标记的数据进行数据清洗、去重；

步骤C：选取一部分数据作为训练数据集构建特征矩阵，其余数据作为测试数据集，用于检测和评价恶意流量检测模型；

步骤D：利用特征矩阵训练深度网络模型，训练得到恶意流量检测模型。

3.根据权利要求1或2所述的一种基于深度学习的异常流量检测方法，其特征在于，所述构建特征矩阵的方法包括构建字符级HTTP请求矩阵的方法和构建单词级HTTP请求矩阵的方法；所述构建字符级HTTP请求矩阵的方法为：将数据按字符分词得到字符ID序列，将字符ID序列输入到嵌入层得到字符级HTTP请求矩阵；

所述构建单词级HTTP请求矩阵的方法为：

按单词分词，分别得到单词ID序列和以字符ID形式的单词序列，所述单词ID序列输入嵌入层得到第一单词级HTTP请求矩阵；以字符ID形式的单词序列依次输入嵌入层和求和池化层，得到第二单词级HTTP请求矩阵，将第一单词级HTTP请求矩阵和第二单词级HTTP请求矩阵通过元素加法的方法合成单词级HTTP请求矩阵。

4.一种基于深度学习的异常流量检测系统，其特征在于，包括：

设备源，用于向目标服务器发起HTTP请求；

Web应用防护系统，用于对HTTP请求执行安全活动规则的检测，拒绝不符合安全活动规则的HTTP请求，并发送检测结果至安全团队，将通过检测的HTTP请求向后一级传送；

AI WAF，用于检测Web应用防护系统遗漏的异常攻击，并输出至安全团队，并将通过检测的HTTP请求传送至目标服务器；

目标服务器，用于执行设备源的HTTP请求；

所述AI WAF具体包括：

数据收集标记模块，将WAF规则限制调至最高，在网络的核心层或汇聚层交换机上设置端口，用网络流量镜像收集通过Web应用防护系统后的真实数据；

预处理模块，进行数据清洗和去重；

特征提取模块，进行数据分词和提取词汇特征，构建特征矩阵；

深度神经网络模块，由训练数据集提取的特征矩阵中的数据训练和优化预设的深度网络模型得到，用于检测恶意流量；

输出模型，输出正常域异常的概率以及词向量中每个元素的异常概率，并对异常程度进行分级，用不同颜色对词汇进行标出。