[发明专利]一种网络数据自动获取器攻击检测的方法和装置

权利要求书

1.一种网络数据自动获取器攻击检测的方法，应用于服务器，所述服务器维护有报警阈值，所述方法包括：

获取所述服务器在第一时间段内接收到的第一流量样本集以及在第二时间段内接收到的第二流量样本集；

计算第一流量样本集和第二流量样本集分别在至少一个特征维度下的特征距离，并基于所述至少一个特征维度下的特征距离确定流量异常指数；

生成衰减因子，并按照所述衰减因子对所述流量异常指数进行调整，所述衰减因子正相关于第一流量样本集的样本数和/或第二流量样本集的样本数；

在调整后的流量异常指数超过所述报警阈值的情况下，确定第一时间段或第二时间段内存在网络数据自动获取器攻击。

2.根据权利要求1所述的方法，所述计算第一流量样本集和第二流量样本集分别在至少一个特征维度下的特征距离，包括：

基于所述至少一个特征维度中任一特征维度对应的分类策略，对第一流量样本集包含的流量样本进行分类，获取第一流量样本集包含的流量样本在各类别中所占的比例并以此生成第一流量样本集在所述任一特征维度下的样本比例分布；

基于所述任一特征维度对应的分类策略，对第二流量样本集包含的流量样本进行分类，获取第二流量样本集包含的流量样本在各类别中所占的比例并以此生成第二流量样本集在所述任一特征维度下的样本比例分布；

将第一流量样本集在所述任一特征维度下的样本比例分布与第二流量样本集在所述任一特征维度下的样本比例分布之间的群体稳定性指标，确定为第一流量样本集和第二流量样本集在所述任一特征维度下的特征距离。

3.根据权利要求1所述的方法，所述生成衰减因子，包括：

分别基于第一流量样本集的样本数和第二流量样本集的样本数确定第一衰减因子和第二衰减因子，其中，第一衰减因子正相关于第一流量样本集的样本数，第二衰减因子正相关于第二流量样本集的样本数；

基于第一衰减因子与第二衰减因子生成所述衰减因子。

4.根据权利要求1所述的方法，所述服务器维护有至少两个特征维度下的特征距离对应的截断阈值；所述计算第一流量样本集和第二流量样本集分别在至少一个特征维度下的特征距离，并基于所述至少一个特征维度下的特征距离确定流量异常指数，包括：

计算第一流量样本集和第二流量样本集分别在所述至少两个特征维度下的至少两个特征距离；

在所述至少两个特征距离中任一特征距离超过所述任一特征距离对应的截断阈值的情况下，将所述任一特征距离的数值重新确定为所述任一特征距离对应的截断阈值；

基于重新确定的至少两个特征距离确定所述流量异常指数。

5.根据权利要求1所述的方法，所述确定第一时间段或第二时间段内存在网络数据自动获取器攻击，包括：

在第一流量样本集和第二流量样本集中的任一流量样本集的样本数比另一流量样本集的样本数多预设数量的情况下，确定所述服务器在接收到所述任一流量样本集的时间段内存在网络数据自动获取器攻击。

6.根据权利要求1所述的方法，还包括：

在计算第一流量样本集和第二流量样本集分别在所述至少一个特征维度下的特征距离之前，删除第一流量样本集和第二流量样本集包含的已识别的网络数据自动获取器流量样本。

7.根据权利要求1所述的方法，第一时间段与第二时间段为相同的时间段，第一流量样本集包含的流量样本为匿名态和登录态中的任一态，第二流量样本集包含的流量样本为匿名态和登录态中的另一态；或者，

第一时间段与第二时间段为相邻的时间段，第一流量样本集与第二流量样本集包含的流量样本均为匿名态或登录态。