[发明专利]一种web异常流量检测方法、装置、设备及存储介质

权利要求书

1.一种web异常流量检测方法，包括：

将获取的待测流量数据输入预先训练好的检测模型，以获取待测流量数据对应的评分值，若评分值小于预设阈值，则判定为异常流量；

其特征在于，所述检测模型包括集成学习模型和评分卡模型，所述待测流量数据经所述集成学习模型处理后输入评分卡模型，所述评分卡模型输出评分值。

2.根据权利要求1所述的web异常流量检测方法，其特征在于，所述集成学习模型的训练包括：

获取历史流量数据，提取数据特征集；

基于数据特征集对神经网络模型进行训练，获得所述集成学习模型。

3.根据权利要求2所述的web异常流量检测方法，其特征在于，所述集成学习模型的包括随机森林模型和XGBOOST模型。

4.根据权利要求1所述的web异常流量检测方法，其特征在于，所述评分卡模型输出的评分值表示为：

Score＝S₀-kln(o)＝S₀-k(β₀+β₁x₁+...+β_nx_n)

其中，S₀表示初始分数，k为系数，o表示事件发生概率和不发生概率比值，x_i(1≤i≤n)表示每个样本，β_i(1≤i≤n)表示激活函数的参数。

5.一种web异常流量检测装置，其特征在于，包括：

数据获取单元，用于获取流量数据包；

数据评分单元，用于输出数据评分值；

数据处理单元，用于判定并处理流量数据包；

其中，所述数据评分单元包括集成学习模型和评分卡模型，所述待测流量数据经所述集成学习模型处理后输入评分卡模型，所述评分卡模型输出评分值。

6.根据权利要求5所述的web异常流量检测装置，其特征在于，所述数据获取单元的数据获取包括以下步骤：

从配置中心获取配置，提取流量特征；

根据流量特征，从网络中抓取流量数据包；

将抓取的流量数据包镜像传输给数据评分单元。

7.根据权利要求5所述的web异常流量检测装置，其特征在于，所述数据处理处理数据单元包括以下步骤：

接收数据评分单元反馈的评分值，若反馈的评分值小于预设阈值，则拦截流量数据包，若反馈的评分值大于或等于预设阈值，则放行。

8.根据权利要求5所述的web异常流量检测装置，其特征在于，所述web异常流量检测装置还包括数据存储单元，用于存储数据评分单元和数据处理单元反馈的评分值。

9.一种web异常流量检测设备，其特征在于，所述设备包括：

处理器；

用于存储所述处理可执行指令的存储器；

其中，所述处理器被配置为执行所述指令以实现执行如权利要求1至4任一项所述的web异常流量的检测方法。

10.一种存储介质，其特征在于，当所述存储介质中的指令由电子设备的处理器执行时，使得所述电子设备能够执行如权利要求1至4任一项所述的web异常流量的检测方法。