[发明专利]异常访问行为的检测方法、装置、存储介质以及电子设备

权利要求书

1.一种异常访问行为的检测方法，其特征在于，包括：

在网络服务器中获取多个访问日志，并获取每个访问日志中的访问路径和所述访问路径的至少一个路径引用来源，其中，每个所述访问日志中至少包括以下之一：访问路径、路径引用来源以及访问者IP；

根据各个访问路径和每个所述访问路径的路径引用来源生成所述网络服务器的访问路径的有向图，其中，所述有向图中包括多个节点，每个所述节点表征一个所述访问路径；

按照每个节点的节点连接数量从所述有向图中选取候选节点，得到多个候选节点，并根据各个候选节点的节点信息生成目标矩阵，其中，所述节点信息包括：节点对应的访问路径、访问路径的访问者IP，以及每个访问者IP的访问次数；

通过所述目标矩阵从多个候选节点中确定异常节点，并将所述异常节点对应的访问路径确定为异常访问路径，将所述异常访问路径对应的访问行为确定为异常访问行为。

2.根据权利要求1所述的方法，其特征在于，根据各个访问路径和每个所述访问路径的路径引用来源生成所述网络服务器的访问路径的有向图包括：

生成每个所述访问路径的节点，以及每个所述路径引用来源的节点，得到多个节点；

将所述多个节点根据引用关系进行连接，得到所述访问路径的有向图，其中，所述引用关系为所述访问路径与所述路径引用来源之间的引用关系。

3.根据权利要求1所述的方法，其特征在于，按照每个节点的节点连接数量从所述有向图中选取候选节点包括：

判断所述节点是否为孤立节点，其中，所述孤立节点表征所述节点在所述有向图中无连接关系；

在所述节点为所述孤立节点的情况下，将所述节点确定为所述候选节点；和/或

确定所述节点的父节点的数量，并判断所述父节点的数量是否大于第一预设数量；

在所述父节点的数量大于所述第一预设数量的情况下，将所述节点确定为所述候选节点。

4.根据权利要求1所述的方法，其特征在于，所述节点信息还包括第一访问次数和第二访问次数，所述第一访问次数为所述候选节点的访问路径被查找访问的访问次数，所述第二访问次数为所述候选节点的访问路径被跳转访问的访问次数，在根据各个候选节点的节点信息生成目标矩阵之前，所述方法还包括：

判断每个所述候选节点对应的访问者IP的数量是否大于第二预设数量；

在所述候选节点对应的访问者IP的数量大于所述第二预设数量的情况下，删除所述候选节点，得到更新后的多个候选节点，并通过所述更新后的多个候选节点执行所述根据各个所述候选节点的节点信息生成目标矩阵的步骤；和/或

将所述候选节点的所述第一访问次数与所述第二访问次数相除，得到所述候选节点的初次访问率；

判断所述初次访问率是否小于等于访问率阈值；

在所述初次访问率小于等于所述访问率阈值的情况下，删除所述候选节点，得到更新后的多个候选节点，并通过所述更新后的多个候选节点执行所述根据各个候选节点的节点信息生成目标矩阵的步骤。

5.根据权利要求1所述的方法，其特征在于，根据各个候选节点的节点信息生成目标矩阵包括：

以所述访问路径为列，以所述访问者IP为行，构建所述访问路径和所述访问者IP的表格，并将每个所述访问者IP访问每个所述访问路径的访问次数添加至所述表格中，得到初始关系矩阵；

获取所述初始关系矩阵的转置矩阵，得到初始转置矩阵；

将所述初始转置矩阵和所述初始关系矩阵相乘，得到度量矩阵；

将所述度量矩阵中的对角线元素进行归一化，得到所述目标矩阵。