[发明专利]一种流量安全性检测方法、系统、设备及计算机存储介质

权利要求书

1.一种流量安全性检测方法，其特征在于，包括：

按照流量数据的信息类型对待分析流量数据进行聚类，得到聚类结果，所述聚类结果包括url聚类结果；在所述url聚类结果中，统计出属于相同host路径的所述待分析流量数据；对于属于相同host路径的所述待分析流量数据，判断文件类型是否相同；若文件类型相同，则判断路径长度超过预设级别的所述待分析流量数据的数量是否超过预设数量；若路径长度超过预设级别的所述待分析流量数据的数量超过所述预设数量，则判定属于相同host路径的所述待分析流量数据安全；在所述聚类结果中，删除掉安全性判定结果为安全的所述待分析流量数据；

获取剩余的所述待分析流量数据；

获取与所述待分析流量数据对应的已有流量信息，所述已有流量信息为已收集的与所述待分析流量数据对应的、表征所述待分析流量数据本身之外的其他信息的流量信息；

基于各个所述待分析流量数据间的相似性和各个所述已有流量信息间的相似性，对所述待分析流量数据进行聚类，得到相似流量聚类结果；判断所述相似流量聚类结果是否构成恶意场景，若是，则判定所述相似流量聚类结果对应的所述待分析流量数据危险。

2.根据权利要求1所述的方法，其特征在于，所述已有流量信息包括注册信息；

所述获取与所述待分析流量数据对应的已有流量信息，包括：

基于所述待分析流量数据的域名，获取所述注册信息，所述注册信息包括注册机构、注册时间、过期时间和分类信息。

3.根据权利要求1所述的方法，其特征在于，所述已有流量信息包括已有ip信息和/或已有url信息；

其中，所述已有ip信息包括地理位置信息和ip标签；所述url信息包括MD5信息和标签信息。

4.根据权利要求1所述的方法，其特征在于，所述判断所述相似流量聚类结果是否构成恶意场景，包括：

判断所述相似流量聚类结果是否构成扫描场景或僵尸网络通信场景或垃圾邮件场景。

5.一种流量安全性检测系统，其特征在于，包括：

第一过滤模块，用于按照流量数据的信息类型对待分析流量数据进行聚类，得到聚类结果，所述聚类结果包括url聚类结果；在所述url聚类结果中，统计出属于相同host路径的所述待分析流量数据；对于属于相同host路径的所述待分析流量数据，判断文件类型是否相同；若文件类型相同，则判断路径长度超过预设级别的所述待分析流量数据的数量是否超过预设数量；若路径长度超过预设级别的所述待分析流量数据的数量超过所述预设数量，则判定属于相同host路径的所述待分析流量数据安全；在所述聚类结果中，删除掉安全性判定结果为安全的所述待分析流量数据；

第一获取模块，用于获取剩余的所述待分析流量数据；

第二获取模块，用于获取与所述待分析流量数据对应的已有流量信息，所述已有流量信息为已收集的与所述待分析流量数据对应的、表征所述待分析流量数据本身之外的其他信息的流量信息；

第一确定模块，用于基于各个所述待分析流量数据间的相似性和各个所述已有流量信息间的相似性，对所述待分析流量数据进行聚类，得到相似流量聚类结果；判断所述相似流量聚类结果是否构成恶意场景，若是，则判定所述相似流量聚类结果对应的所述待分析流量数据危险。

6.一种流量安全性检测设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至4任一项所述流量安全性检测方法的步骤。

7.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至4任一项所述流量安全性检测方法的步骤。