[发明专利]一种恶意机器流量识别方法及系统

权利要求书

1.一种恶意机器流量识别方法，其特征在于，包括以下步骤:

步骤1，采集全量的历史流量数据，分解流量数据，形成训练样本；

步骤2，基于训练样本进行数据训练，得到流量行为模型；

步骤3，基于用户访问行为特征进行深度学习，利用所述流量行为模型对实时网络流量进行检测,识别出异常用户；

步骤4，对所述异常用户访问操作流量进行持续追踪；

步骤5，对恶意机器流量进行识别。

2.根据权利要求1所述的方法，其中，所述步骤1，采集全量的历史流量数据，分解流量数据，形成训练样本，具体包括：

步骤1-1，网络探针提取全量的历史流量数据，所述流量数据是所有访问用户的流量数据总集合；

步骤1-2，流量分析器对比不同时间段的访问用户，去除偶发的用户访问流量；

步骤1-3，流量分析器统计所有数据中相同的访问用户。

3.根据权利要求2所述的方法，其中，所述网络探针部署在网关入口的中间件服务器上，以插件形式按照旁路方式部署。

4.根据权利要求2所述的方法，其中，所述流量数据总集合包括用户访问终端的IP、访问时间、访问页面、页面停留时间；所述访问页面为网页url地址；所述页面停留时间为用户从访问到关闭网站页面/访问下一个网站页面的时间。

5.根据权利要求1所述的方法，其中，所述步骤2，基于训练样本进行数据训练，得到流量行为模型，具体包括：

步骤2-1，生成业务所有访问操作集合；

步骤2-2，统计流量训练样本中用户前N个操作；

步骤2-3，生成隐性马尔科夫链，构建流量行为模型结构及估计模型参数；

步骤2-4，对用户N+1步的操作进行预测，并与训练样本中用户实际N+1步操作比较，修正所述的模型结构及模型参数；

步骤2-5，得到训练后的流量行为模型。

6.根据权利要求1所述的方法，其中，所述步骤4，对所述异常用户访问操作流量进行持续追踪，具体包括：

步骤4-1，将所述异常用户标记到负面清单；

步骤4-2，对于标记到负面清单的用户，持续记录其访问流量和访问操作间隔。

7.根据权利要求1所述的方法，其中，所述步骤5，对恶意机器流量进行识别，具体包括：识别所述访问流量是否异常，并判断所述访问操作间隔是否呈现正态分布，若所述访问流量异常且所述访问操作间隔未呈现正态分布，标记该用户的访问流量为恶意机器流量。

8.一种恶意机器流量识别系统，其特征在于，包括:

采集单元，用于采集全量的历史流量数据，分解流量数据，形成训练样本；

训练单元，用于基于训练样本进行数据训练，得到流量行为模型；

学习单元，用于基于用户访问行为特征进行深度学习，利用所述流量行为模型对实时网络流量进行检测,识别出异常用户；

追踪单元，用于对所述异常用户访问操作流量进行持续追踪；

识别单元，用于对恶意机器流量进行识别。

9.根据权利要求8所述的系统，其中，所述采集单元，用于采集全量的历史流量数据，分解流量数据，形成训练样本，具体包括：

提取子单元，用于网络探针提取全量的历史流量数据，所述流量数据是所有访问用户的流量数据总集合；

预处理单元，用于流量分析器对比不同时间段的访问用户，去除偶发的用户访问流量；

统计单元，用于流量分析器统计所有数据中相同的访问用户。

10.根据权利要求8所述的系统，其中，所述识别单元，用于对恶意机器流量进行识别，具体包括：识别所述访问流量是否异常，并判断所述访问操作间隔是否呈现正态分布，若所述访问流量异常且所述访问操作间隔未呈现正态分布，标记该用户的访问流量为恶意机器流量。