数据检测方法、装置及电子设备制造方法及图纸

本申请实施例公开了一种数据检测方法、装置及电子设备，其中，数据检测方法包括：获取待检测数据包的集合，然后根据第一抽样方式对其进行抽样，获得由抽样出的待检测数据包组成的第一样本集，接着根据预设的第一检测规则进行检测并获得所述第一样本集中各待检测数据包的威胁等级；根据所述第一样本集中的待检测数据包的威胁等级确定第二抽样方式，抽样并获得由抽样出的待检测数据包组成的第二样本集，最后根据预设的第二检测规则对所述第二样本集中的待检测数据包进行检测，获得检测结果，并且进行二次抽样处理，有针对性和高效地完成了对网络数据的安全检测。

【技术实现步骤摘要】
数据检测方法、装置及电子设备
本申请涉及数据处理
，尤其涉及一种数据检测方法、装置及电子设备。
技术介绍
随着网络科技的飞速发展，人们正踏入一个万物互联的时代，但是如网络病毒、数据泄露等网络安全事件层出不穷，网络安全事件的规模也越来越大，涉及了金融、教育、科技等各个领域，恶意程序及安全漏洞数量持续走高，安全态势日益严重。并且根据互联网一些安全调查报告，在疫情肆虐全球的上半年，网络钓鱼攻击增加了600％，勒索软件攻击增加了148％，FBI报告的网络犯罪暴增了300％，而企业的检测与响应能力和速度却并没有相应地增加。基于这些安全威胁，各种网络威胁检测及响应解决方案成为当下企业的安全投资热点，NDR解决方案应当支持多种形式的安全操作和行动，检测事件必须区分为不同的优先级类别。但是现有技术中已存在的DPI安全检测设备，有基于协议的定制化检测，却没有基于流量进行合理的抽样检测，并未定制出较为合理的抽样方式，无法针对性且高效地完成对网络数据的安全检测。
技术实现思路
有鉴于此，本申请的目的之一在于提供一种数据检测方法、装置及电子设备，能够实现对流量进行合理的抽样及检测，有针对性且高效地完成对网络流量的安全检测。第一方面，本申请实施例提供了一种数据检测方法，包括：获取待检测数据包的集合；根据由数据包的协议类型、发送时间、所属会话、加密类型及发送终端的位置中一项和/或多项的组合确定的第一抽样方式，对所述待检测数据包的集合进行抽样处理，获得由抽样出的待检测数据包组成的第一样本集；根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级；根据所述第一样本集中的待检测数据包的威胁等级确定第二抽样方式，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集；根据预设的第二检测规则对所述第二样本集中的待检测数据包进行检测，获得检测结果。在一种可能实现的方式中，所述电子设备预存一威胁等级表，所述等级表中记录有数据包不同的通信特征信息对应威胁等级；所述根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级的步骤，包括：获取所述第一样本集中各待检测数据包的通信特征信息，所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息；根据所述威胁等级表及所述第一样本集中各待检测数据包的通信特征信息，查找确定所述第一样本集中各待检测数据包对应的威胁等级。在一种可能实现的方式中，所述获取待检测数据包的集合的步骤，包括：根据数据包的通信特征信息，获取属于同一数据流的数据包组成所述待检测数据包的集合；所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息中的一项或多项。在一种可能实现的方式中，所述根据所述第一样本集中的待检测数据包的威胁等级，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集的步骤之后，所述方法还包括：根据所述第二样本集中各待检测数据包的数据包类型、发送时间及通信特征中的一项或多项，采用相似度检测模型从所述第一样本集中获取与所述第二样本集中各待检测数据包类型相同的相似数据包加入所述第二样本。在一种可能实现的方式中，所述方法还包括：响应于用户的配置操作，获取用户配置的所述第一抽样方式及第二抽样方式。第二方面，本申请实施例提供了一种数据检测装置，所述装置包括获取模块、第一抽样模块、第二抽样模块、第一检测模块和第二检测模块：所述获取模块，用于获取待检测数据包的集合；所述第一抽样模块，用于根据由数据包的协议类型、发送时间、所属会话、加密类型及发送终端的位置中一项和/或多项的组合确定的第一抽样方式，对所述待检测数据包的集合进行抽样处理，获得由抽样出的待检测数据包组成的第一样本集；所述第一检测模块，用于根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级；所述第二抽样模块，用于根据所述第一样本集中的待检测数据包的威胁等级确定第二抽样方式，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集；所述第二检测模块，用于根据预设的第二检测规则对所述第二样本集中的待检测数据包进行检测，获得检测结果。在一种可能实现的方式中，所述第一检测模块，具体用于：获取所述第一样本集中各待检测数据包的通信特征信息，所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息；根据所述威胁等级表及所述第一样本集中各待检测数据包的通信特征信息，查找确定所述第一样本集中各待检测数据包对应的威胁等级。在一种可能实现的方式中，所述获取模块，还用于根据数据包的通信特征信息，获取属于同一数据流的数据包组成所述待检测数据包的集合；所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息中的一项或多项。第三方面，本申请实施例提供了一种电子设备，所述电子设备包括机器可读存储介质及处理器，所述机器可读存储介质上存储有指令，所述电子设备包括第二方面的数据检测装置。第四方面，本申请实施例提供了一种机器可读存储介质，所述机器可读存储介质上存储有指令，该指令用于执行第一方面的方法。相对于现有技术而言，本申请具有以下有益效果：本实施例提供的数据检测方法，通过确定出的第一抽样方式对待检测数据包的集合进行抽样处理，获得第一样本集，然后根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级，并根据威胁等级对第一样本集进行抽样，获得由抽样出的待检测数据包组成的第二样本集，最后根据预设的第二检测规则对第二样本集中的待检测数据包进行检测，获得检测结果。本申请通过多样化的抽样方式及检测规则，并且进行二次抽样处理，有针对性和高效地完成了对网络数据的安全检测。附图说明为了更清楚地说明本申请的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对本申请保护范围的限定。在各个附图中，类似的构成部分采用类似的编号，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。图1示出了本申请实施例提供的一种电子设备的结构示意图；图2示出了本申请实施例提供的一种数据检测方法流程图；图3示出了本申请实施例提供的一种获取待检测数据包威胁等级的方法流程图；图4示出了本申请实施例提供的一种数据检测装置的功能模块示意图。图标：电子设备-100；数据检测装置-110；存储器-120；处理器-130；获取模块-111；第一抽样模块-112；第二抽样模块-113；第一检测模块-114；第二检测模块-115。具体实施方本文档来自技高网...

【技术保护点】
1.一种数据检测方法，其特征在于，应用于电子设备，所述方法包括：/n获取待检测数据包的集合；/n根据由数据包的协议类型、发送时间、所属会话、加密类型及发送终端的位置中一项和/或多项的组合确定的第一抽样方式，对所述待检测数据包的集合进行抽样处理，获得由抽样出的待检测数据包组成的第一样本集；/n根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级；/n根据所述第一样本集中的待检测数据包的威胁等级确定第二抽样方式，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集；/n根据预设的第二检测规则对所述第二样本集中的待检测数据包进行检测，获得检测结果。/n

【技术特征摘要】
1.一种数据检测方法，其特征在于，应用于电子设备，所述方法包括：
获取待检测数据包的集合；
根据由数据包的协议类型、发送时间、所属会话、加密类型及发送终端的位置中一项和/或多项的组合确定的第一抽样方式，对所述待检测数据包的集合进行抽样处理，获得由抽样出的待检测数据包组成的第一样本集；
根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级；
根据所述第一样本集中的待检测数据包的威胁等级确定第二抽样方式，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集；
根据预设的第二检测规则对所述第二样本集中的待检测数据包进行检测，获得检测结果。


2.根据权利要求1所述的方法，其特征在于，所述电子设备预存一威胁等级表，所述等级表中记录有数据包不同的通信特征信息对应威胁等级；所述根据预设的第一检测规则对所述第一样本集中的待检测数据包进行检测，获得所述第一样本集中各待检测数据包的威胁等级的步骤，包括：
获取所述第一样本集中各待检测数据包的通信特征信息，所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息；
根据所述威胁等级表及所述第一样本集中各待检测数据包的通信特征信息，查找确定所述第一样本集中各待检测数据包对应的威胁等级。


3.根据权利要求1所述的方法，其特征在于，所述获取待检测数据包的集合的步骤，包括：
根据数据包的通信特征信息，获取属于同一数据流的数据包组成所述待检测数据包的集合；所述通信特征信息包括协议类型、源IP地址、端口号、报文长度、报文内容及会话信息中的一项或多项。


4.根据权利要求1所述的方法，其特征在于，所述根据所述第一样本集中的待检测数据包的威胁等级，对所述第一样本进行抽样，获得由抽样出的待检测数据包组成的第二样本集的步骤之后，所述方法还包括：
根据所述第二样本集中各待检测数据包的数据包类型、发送时间及通信特征中的一项或多项，采用相似度检测模型从所述第一样本集中获取与所述第二样本集中各待检测数据包类型相同的相似数据包加入所述第二样本。


5.根据权利要求1所述的方法，其...

【专利技术属性】
技术研发人员：田清武，
申请(专利权)人：北京知道创宇信息技术股份有限公司，
类型：发明
国别省市：北京;11