[发明专利]一种web异常流量检测方法、装置、设备及存储介质

说明书

本发明公开了一种web异常流量检测方法、装置、设备及存储介质，所述方法包括：将获取的待测流量数据输入预先训练好的检测模型，以获取待测流量数据对应的评分值，若评分值小于预设阈值，则判定为异常流量；所述检测模型包括集成学习模型和评分卡模型，所述待测流量数据经所述集成学习模型处理后输入评分卡模型，所述评分卡模型输出评分值。本发明用于实现快速准确地检测网络中的异常流量数据。

技术领域

本发明涉及一种web异常流量检测方法、装置、设备及存储介质，属于网络异常流量检测与防御技术领域。

背景技术

随着网络技术的迅猛发展，网络每天都会产生数亿兆级别的流量，现在绝大多数的网络攻击行为都会或多或少的产生网络流量，所以对网络中流量的进行检测可以定位出异常流量，阻断攻击，因此，网络流量检测关系着网络安全和用户隐私等诸多安全。

现有的防护手段是在WAF(Web Application Firewall)上依靠正则匹配，匹配准确率和效率很高，但需要人为指定每一类攻击的规则，攻击的特征改变，检测规则也需要及时改变，所需人力成本高。

发明内容

本发明的目的在于克服现有技术中的不足，提供一种web异常流量检测方法、装置、设备及存储介质，用于实现快速准确地检测网络中的异常流量数据。

第一方面，本发明了提供一种web异常流量检测方法，包括：

将获取的待测流量数据输入预先训练好的检测模型，以获取待测流量数据对应的评分值，若评分值小于预设阈值，则判定为异常流量；其特征在于，所述检测模型包括集成学习模型和评分卡模型，所述待测流量数据经所述集成学习模型处理后输入评分卡模型，所述评分卡模型输出评分值。

可选的，所述集成学习模型的训练包括：

获取历史流量数据，提取数据特征集；

基于数据特征集对神经网络模型进行训练，获得所述集成学习模型。

可选的，所述集成学习模型的包括随机森林模型和XGBOOST模型。

可选的，所述评分卡模型输出的评分值表示为：

Score＝S₀-kln(o)＝S₀-k(β₀+β₁x₁+...+β_nx_n)

其中，S₀表示初始分数，k为系数，o表示事件发生概率和不发生概率比值，x_i(1≤i≤n)表示每个样本，β_i(1≤i≤n)表示激活函数的参数。

第二方面，一种web异常流量检测装置，包括：

数据获取单元，用于获取流量数据包；

数据评分单元，用于输出数据评分值；

数据处理单元，用于判定并处理流量数据包；

其中，所述数据评分单元包括集成学习模型和评分卡模型，所述待测流量数据经所述集成学习模型处理后输入评分卡模型，所述评分卡模型输出评分值。

可选的，所述数据获取单元的数据获取包括以下步骤：

从配置中心获取配置，提取流量特征；

根据流量特征，从网络中抓取流量数据包；

将抓取的流量数据包镜像传输给数据评分单元。

可选的，所述数据处理单元处理数据包括以下步骤：