[发明专利]一种识别黑灰产数据的方法、装置及介质

权利要求书

1.一种识别黑灰产数据的方法，其特征在于，包括：

获取当前的流量数据和恶意网址数据库；

根据预设字段比较所述当前的流量数据与所述恶意网址数据库的恶意网址数据；

将与所述恶意网址数据匹配的所述当前的流量数据作为流量数据包；

分析所述流量数据包以提取对应的流量特征；

根据所述流量特征对所述当前的流量数据筛选得到所述黑灰产数据。

2.根据权利要求1所述的识别黑灰产数据的方法，其特征在于，获取所述当前的流量数据，包括：

获取当前的出口流量数据；

将所述当前的出口流量数据输入至流量分光器进行分光得到分光流量数据；

将所述分光流量数据存储为镜像得到所述当前的流量数据。

3.根据权利要求1所述的识别黑灰产数据的方法，其特征在于，获取所述恶意网址数据库，包括：

获取历史报案数据；

将所述历史报案数据进行清洗以获取所述恶意网址数据；

将所述恶意网址数据存储并建立所述恶意网址数据库。

4.根据权利要求3所述的识别黑灰产数据的方法，其特征在于，所述根据预设字段比较所述当前的流量数据与所述恶意网址数据库的恶意网址数据，包括：

获取所述当前的流量数据对应的请求头和当前的目标字段，其中所述预设字段包括多个目标字段；

根据所述当前的目标字段比较所述请求头与所述恶意网址数据。

5.根据权利要求4所述的识别黑灰产数据的方法，其特征在于，所述将与所述恶意网址数据匹配的所述当前的流量数据作为流量数据包，包括：

根据所述当前的目标字段判断所述当前的流量数据是否匹配成功；

若是，则将匹配成功的所述当前的流量数据作为所述流量数据包，并将所述当前的目标字段标记；

若否，则获取所述预设字段内除所述当前的目标字段之外的其他目标字段作为下一个所述当前的目标字段返回至所述根据所述当前的目标字段比较所述当前的流量数据与所述恶意网址数据的步骤。

6.根据权利要求5所述的识别黑灰产数据的方法，其特征在于，所述分析所述流量数据包以提取对应的流量特征，包括：

获取所述流量数据包的请求头和请求体；

将所述请求头的路径数据作为第一特征；

将所述请求体的变量名数据作为第二特征；

将所述第一特征和所述第二特征进行合并得到所述流量特征。

7.根据权利要求6所述的识别黑灰产数据的方法，其特征在于，所述根据所述流量特征对所述当前的流量数据筛选得到所述黑灰产数据，包括：

根据所述流量特征对所述当前的流量数据进行提取得到恶意数据包；

获取所述恶意数据包对应的请求头；

根据所述预设字段对所述恶意数据包对应的请求头提取所述预设字段对应的字段值作为目标恶意网址数据；

将所述目标恶意网址数据进行去重处理得到所述黑灰产数据。

8.一种识别黑灰产数据的装置，其特征在于，包括：

获取模块，用于获取当前的流量数据和恶意网址数据库；

比较模块，用于根据预设字段比较所述当前的流量数据与所述恶意网址数据库的恶意网址数据；

匹配模块，用于将与所述恶意网址数据匹配的所述当前的流量数据作为流量数据包；

分析模块，用于分析所述流量数据包以提取对应的流量特征；

筛选模块，用于根据所述流量特征对所述当前的流量数据筛选得到所述黑灰产数据。

9.一种识别黑灰产数据的装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的识别黑灰产数据的方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的识别黑灰产数据的方法的步骤。