[发明专利]一种面向海量网络攻击的快速研判方法

权利要求书

1.一种面向海量网络攻击的快速研判方法，其特征在于：其包括以下步骤：

步骤1：通过孤立森林算法获取告警事件中最有价值的样本交于人工研判；

步骤2：通过人工研判，对筛选出的数据进行标注；

步骤3：对已经人工研判后的样本进聚类，自动进行研判；

步骤4：将剩余数据重复1～3步，直至满足设置条件停止迭代。

2.根据权利要求1所述的一种面向海量网络攻击的快速研判方法，其特征在于：所述的步骤1包括以下步骤：

步骤1.1：特征提取，将文本进行切割，拼接生成词向量；

步骤1.2：数据预处理，展示部分原始数据；

步骤1.3样本筛选。

3.根据权利要求1-2中任意一项所述的一种面向海量网络攻击的快速研判方法，其特征在于：所述的告警事件包含着丰富的信息，攻击内容包含在请求url或者payload中；

所述的原始数据包括多种属性，其中一部分直接用来作为入侵检测的分析项，或从数据中挖掘出一些隐藏的网络连接信息直接用来作为入侵检测的分析项，或从数据中挖掘出隐藏的网络连接信息的分析项。

4.根据权利要求3所述的一种面向海量网络攻击的快速研判方法，其特征在于：作为分析项的所述的属性包括：

常规特征属性：源端口号、目的端口号、开始时间、URL触发警报类型、数据传输方式、POST数据内容、响应码、响应长度、响应内容、重定向；以及，

特征属性：最近100个连接中与当前连接的源IP一样的个数，最近100个连接中与当前连接的目的IP相同的个数，最近100个连接中与当前连接的源IP相同且目的端口相同的个数，最近100个连接当中与当前连接的目的IP相同且源端口相同的个数，最近100个连接当中与当前连接的源IP、源端口、目的IP、目的端口相同的个数等5个连接特征。

5.根据权利要求4所述的一种面向海量网络攻击的快速研判方法，其特征在于：所述的常规特征的对应值处理方法如下：

“源端口号”等于原始数据data中“源端口号”的值，并将数据格式从原始的string类型转化为int类型；

“目的端口号”等于原始数据data中“目的端口号”的值，并将数据格式从原始的string类型转化为int类型；

“开始时间”忽略了原始数据data中“开始时间”取值中年、月、日对时间属性的影响，截取了其中的时、分、秒作为参考，将“开始时间”记录为时分秒对应的秒数；

“数据传输方式”对应为原始数据data中“数据传输方式”的类型，将原始数据中“数据传输方式”为“GET”的记录为0，为“POST”的记录为1；

“POST数据内容”对应为原始数据data中“POPST数据内容”的类型，将原始数据中“POST数据内容”为“空值”的记录为0，不为“空值”的记录为1；

“响应码”对原始数据data中“响应码”属性项为“空值”的情况进行了考虑，将原始数据中“响应码”为“空值”的记录为0，不为“空值”的记录为原始值，并将数据格式从string转化为int类型；

“响应长度”等于原始数据data中“响应长度”的值，并将数据格式从string转化为int类型；

“响应内容”对应为原始数据data中“响应内容”的类型，将原始数据中“响应内容”为“空值”的记录为0，不为“空值”的记录为1；

“重定向”对应为原始数据data中“重定向”的类型，将原始数据中“重定向”为“空值”的记录为0，不为“空值”的记录为1；

“url长度”等于原始数据data中“url长度”的值，并将数据格式从string转化为int类型。