[发明专利]一种异常网络访问检测方法、装置、存储介质及终端

权利要求书

1.一种异常网络访问检测方法，应用于用户终端，其特征在于，所述方法包括：

从交换机的端口镜像产生的数据流量中实时获取流量报文；

接收流量会话日志，所述流量会话日志为流量探针对所述流量报文进行预处理后所生成；

将所述流量会话日志输入预先训练的异常网络访问检测模型中，生成异常网络分类结果；

基于所述异常网络分类结果确定是否出现异常网络访问。

2.根据权利要求1所述的方法，其特征在于，所述预先训练的异常网络访问检测模型的训练过程，包括：

从知识库中采集训练数据；

创建异常网络访问检测模型，将所述训练数据输入所述异常网络访问检测模型中进行训练，训练结束后生成训练后的异常网络访问检测模型；

将所述训练后的异常网络访问检测模型确定为预先训练的异常网络访问检测模型。

3.根据权利要求2所述的方法，其特征在于，所述知识库的生成过程，包括：

获取异常网络访问产生的历史流量报文；

对所述历史流量报文进行预处理，生成历史流量会话日志；

从所述历史流量会话日志中提取预设时间段内的历史流量会话日志；

通过所述预设时间段内的历史流量会话日志进行特征学习后生成知识库。

4.根据权利要求1所述的方法，其特征在于，所述基于所述异常网络分类结果确定是否出现异常网络访问，包括：

获取所述异常网络分类结果中各异常网络对应的分值；其中，所述分值为所述预先训练的异常网络访问检测模型处理后所生成；

根据所述各异常网络对应的分值确定是否出现异常网络访问。

5.根据权利要求4所述的方法，其特征在于，所述根据所述各异常网络对应的分值确定是否出现异常网络访问，包括：

当所述各异常网络对应的分值大于等于预设阈值时，确定出现异常网络访问；以及

当所述各异常网络对应的分值小于预设阈值时，确定无异常网络访问。

6.根据权利要求1所述的方法，其特征在于，所述基于所述异常网络分类结果确定是否出现异常网络访问之后，还包括：

当出现异常网络访问时，获取所述异常网络访问的IP地址；

基于所述IP地址从网络运营商的数据库匹配所述IP地址对应的开户信息；

根据所述开户信息确定出所述异常网络访问的物理位置信息，并发送至预警服务器。

7.根据权利要求3所述的方法，其特征在于，所述流量探针对所述流量报文进行预处理具体为采用流量探针对所述流量报文进行拆分和重组。

8.一种异常网络访问检测装置，应用于用户终端，其特征在于，所述装置包括：

报文获取模块，用于从交换机的端口镜像产生的数据流量中实时获取流量报文；

日志接收模块，用于接收流量会话日志，所述流量会话日志为流量探针对所述流量报文进行预处理后所生成；

分类结果生成模块，用于将所述流量会话日志输入预先训练的异常网络访问检测模型中，生成异常网络分类结果；

异常网络访问确定模块，用于基于所述异常网络分类结果确定是否出现异常网络访问。

9.一种计算机存储介质，其特征在于，所述计算机存储介质存储有多条指令，所述指令适于由处理器加载并执行如权利要求1～7任意一项的方法步骤。

10.一种终端，其特征在于，包括：处理器和存储器；其中，所述存储器存储有计算机程序，所述计算机程序适于由所述处理器加载并执行如权利要求1～7任意一项的方法步骤。