[发明专利]基于流量的挖矿脚本检测方法和装置

权利要求书

1.一种基于流量的挖矿脚本检测方法，其特征在于，包括：

响应于流量数据产生下载脚本文件的操作，通过预设的威胁情报数据与所述流量数据进行匹配处理，获得匹配结果，所述预设的威胁情报数据记载已知的具有威胁的域名或IP地址；

在匹配结果为匹配成功的情况下，通过挖矿识别模型确定所述脚本文件中与特征词集合匹配的第一词语，以及与特有词集合匹配的第二词语，其中，所述特征词集合为与挖矿脚本样本中出现频率大于第一阈值的词语集合，所述特有词集合为在挖矿脚本样本中出现，且不在正常脚本样本中出现的词语集合；

根据所述第一词语和所述第二词语，确定所述脚本文件是否为挖矿脚本；

在所述脚本文件为挖矿脚本的情况下，生成告警信息；

所述通过挖矿识别模型确定所述脚本文件中与特征词集合匹配的第一词语，包括：

对所述脚本文件进行分词和去噪处理，获得所述脚本文件的词语集合；

在所述词语集合中确定出现频率大于第二阈值的待定词语；

在所述待定词语中，确定出现在所述特征词集合中的所述第一词语；

所述通过挖矿识别模型确定所述脚本文件中与特有词集合匹配的第二词语，包括：

对所述脚本文件进行分词和去噪处理，获得所述脚本文件的词语集合；

在所述词语集合中，确定出现在所述特有词集合中的所述第二词语；

所述方法还包括：

在匹配结果为匹配成功，且脚本文件识别为不是挖矿脚本的情况下，获取所述脚本文件中出现，且不在正常脚本样本中出现的特有词，并将所述特有词添加至所述特有词集合；

生成告警信息；

所述方法还包括：

在匹配结果为未匹配的情况下，通过所述挖矿识别模型确定所述脚本文件是否为挖矿脚本；

在所述脚本文件识别为挖矿脚本的情况下，获取所述流量数据的IP地址和域名信息；

通过所述IP地址和所述域名信息，更新所述威胁情报数据；

生成告警信息；

所述方法还包括：

在匹配结果为未匹配，且所述脚本文件识别为不是挖矿脚本的情况下，将所述脚本文件确定为正常脚本。

2.根据权利要求1所述的基于流量的挖矿脚本检测方法，其特征在于，根据所述第一词语和所述第二词语，确定所述脚本文件是否为挖矿脚本，包括：

在所述第一词语和所述第二词语的总数大于第三阈值的情况下，确定所述脚本文件为挖矿脚本。