[发明专利]一种恶意探测行为的检测方法和装置

权利要求书

1.一种恶意探测行为的检测方法，其特征在于，包括：

获取客户端发送给网络服务器的探测行为集合，所述探测行为集合包括：在预置的检测时间段内收集到的至少一个探测行为，其中每个探测行为携带有一个待检测统一资源定位符URL；

分别判断每个待检测URL是否与非恶意URL画像集合中的非恶意URL画像相同，若所述待检测URL与所述非恶意URL画像集合中的非恶意URL画像相同，确定所述待检测URL与所述非恶意URL画像集合不存在偏移，若所述待检测URL与所述非恶意URL画像集合中的所有非恶意URL画像都不相同，确定所述待检测URL与所述非恶意URL画像集合存在偏移，所述非恶意URL画像通过对所述网络服务器记录的历史访问数据进行统计得到；

对与所述非恶意URL画像集合存在偏移的待检测URL的个数进行求和计算，得到所述客户端在所述检测时间段内的偏移总量；

当所述客户端在所述检测时间段内的偏移总量超过预置的偏移阈值时，确定所述客户端在执行恶意探测行为。

2.根据权利要求1所述的方法，其特征在于，所述非恶意URL画像集合，包括：常用访问URL画像子集合、临时访问URL画像子集合、特殊权限URL画像子集合和空URL画像子集合中的至少一种；

所述分别判断每个待检测URL是否与非恶意URL画像集合中的非恶意URL画像相同，包括：

分别判断每个待检测URL是否与所述常用访问URL画像子集合中的常用访问URL画像相同，若所述待检测URL与所述常用访问URL画像子集合中的常用访问URL画像相同，确定所述待检测URL与所述常用访问URL画像子集合不存在偏移，若所述待检测URL与所述常用访问URL画像子集合中的所有常用访问URL画像都不相同，确定所述待检测URL与所述常用访问URL画像子集合存在偏移；

分别判断每个待检测URL是否与所述临时访问URL画像子集合中的临时访问URL画像相同，若所述待检测URL与所述临时访问URL画像子集合中的临时访问URL画像相同，确定所述待检测URL与所述临时访问URL画像子集合不存在偏移，若所述待检测URL与所述临时访问URL画像子集合中的所有临时访问URL画像都不相同，确定所述待检测URL与所述临时访问URL画像子集合存在偏移；

分别判断每个待检测URL是否与所述特殊权限URL画像子集合中的特殊权限URL画像相同，若所述待检测URL与所述特殊权限URL画像子集合中的特殊权限URL画像相同，确定所述待检测URL与所述特殊权限URL画像子集合不存在偏移，若所述待检测URL与所述特殊权限URL画像子集合中的所有特殊权限URL画像都不相同，确定所述待检测URL与所述特殊权限URL画像子集合存在偏移；

分别判断每个待检测URL是否与所述空URL画像子集合中的空URL画像相同，若所述待检测URL与所述空URL画像子集合中的空URL画像相同，确定所述待检测URL与所述空URL画像子集合不存在偏移，若所述待检测URL与所述空URL画像子集合中的所有空URL画像都不相同，确定所述待检测URL与所述空URL画像子集合存在偏移。

3.根据权利要求2所述的方法，其特征在于，所述对与所述非恶意URL画像集合存在偏移的待检测URL的个数进行求和计算，得到所述客户端在所述检测时间段内的偏移总量，包括：

对与所述常用访问URL画像子集合存在偏移的待检测URL的个数进行求和计算，得到第一偏移量；

对与所述临时访问URL画像子集合存在偏移的待检测URL的个数进行求和计算，得到第二偏移量；

对与所述特殊权限URL画像子集合存在偏移的待检测URL的个数进行求和计算，得到第三偏移量；

对与所述空URL画像子集合存在偏移的待检测URL的个数进行求和计算，得到第四偏移量；

将所述第一偏移量、所述第二偏移量、所述第三偏移量和所述第四偏移量进行相加计算，得到所述客户端在所述检测时间段内的偏移总量。