【技术实现步骤摘要】
一种深度追踪团伙攻击行为的AI检测方法和装置
本专利技术涉及互联网安全
，尤其涉及一种深度追踪团伙攻击行为的AI检测方法和装置。
技术介绍
随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存增加，网络带宽的提升，这使得之前一对一的网络攻击形式所造成的危害大大减弱了，互联网的团伙攻击形式就出现了。互联网上的团伙攻击是指黑客将代理程序安装在网络上的许多计算机上，这些被安装了代理程序的计算机作为代理服务器，黑客使用这些代理服务器作为跳板对目标服务器发起攻击，代理服务器发出的攻击行为和正常用户的访问行为非常相似，发送的攻击报文的频率也非常低，但是由于代理服务器的数量很多，大量的对目标服务器的请求访问，导致目标服务器拒绝服务或者死机等，为了对团伙攻击行为进行有效检测，需要提出新的技术方案。
技术实现思路
为了解决上述技术问题，本专利技术提供了一种深度追踪团伙攻击行为的AI检测方法和装置。本专利技术提供了一种深度追踪团伙攻击行为的AI检测方法，包括：从网络访问日志中提取各用户IP...
【技术保护点】
1.一种深度追踪团伙攻击行为的AI检测方法，其特征在于，包括：/n从网络访问日志中提取各用户IP的第一信息、第二信息和第三信息；/n基于所述第一信息获取各用户IP的第一统计特征，基于所述第一统计特征对用户IP进行主题聚类，获得分别对应不同主题的大簇；/n基于所述第二信息获取各用户IP的第二统计特征，基于所述第二统计特征对每个大簇中的用户IP进行行为聚类，获得分别对应不同行为的多个小簇；/n基于所述第三信息获取所述各小簇的第三统计特征；/n当所述小簇的第三统计特征与团伙攻击行为模型的攻击特征匹配时，确定该小簇中的各用户IP存在团伙攻击行为。/n
【技术特征摘要】
1.一种深度追踪团伙攻击行为的AI检测方法，其特征在于，包括：
从网络访问日志中提取各用户IP的第一信息、第二信息和第三信息；
基于所述第一信息获取各用户IP的第一统计特征，基于所述第一统计特征对用户IP进行主题聚类，获得分别对应不同主题的大簇；
基于所述第二信息获取各用户IP的第二统计特征，基于所述第二统计特征对每个大簇中的用户IP进行行为聚类，获得分别对应不同行为的多个小簇；
基于所述第三信息获取所述各小簇的第三统计特征；
当所述小簇的第三统计特征与团伙攻击行为模型的攻击特征匹配时，确定该小簇中的各用户IP存在团伙攻击行为。
2.如权利要求1所述的AI检测方法，其特征在于：
所述第一信息包括：各用户IP的网络访问日志中的URL；
所述第一统计特征包括：基于各用户IP按照URL语法对URL进行分词所提取的分词的信息。
3.如权利要求1所述的AI检测方法，其特征在于：
所述第二信息包括下列中的至少一项：各用户IP网络访问日志中的URL、GET请求报文、HEAD请求报文、POST请求报文、PUT请求报文、DELETE请求报文、OPTIONS请求报文、TRACE请求报文、CONNECT请求报文、1XX响应报文、2XX响应报文、3XX响应报文、4XX响应报文、5XX响应报文；
所述第二统计特征包括对应于所述第二信息的以下特征中的至少一项：各用户IP的平均URI数、平均GET请求报文数、平均HEAD请求报文数、平均POST请求报文数、平均PUT请求报文数、平均DELETE请求报文数、平均OPTIONS请求报文数、平均TRACE请求报文数、平均CONNECT请求报文数、平均1XX响应报文数、平均2XX响应报文数、平均3XX响应报文数、平均4XX响应报文数、平均5XX响应报文数、平均URLPATTERN数、平均REFER数、平均useragent数。
4.如权利要求1所述的AI检测方法，其特征在于：
所述第三信息包括下列中的至少一项：每个小簇中各用户IP的网段信息、各用户IP网络访问日志中的URL；
所...
【专利技术属性】
技术研发人员：陈峰，丛磊，
申请(专利权)人：北京数安鑫云信息技术有限公司，
类型：发明
国别省市：北京;11
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。