[发明专利]一种异常网络访问检测方法、装置、存储介质及终端

说明书

本发明公开了一种异常网络访问检测方法、装置、存储介质及终端，应用于用户终端，该方法包括：从交换机的端口镜像产生的数据流量中实时获取流量报文；接收流量会话日志，所述流量会话日志为流量探针对所述流量报文进行预处理后所生成；将所述流量会话日志输入预先训练的异常网络访问检测模型中，生成异常网络分类结果；基于所述异常网络分类结果确定是否出现异常网络访问。因此，采用本申请实施例，由于通过流量探针识别流量会话并提取异常网络的行为特征，并利用异常网络的行为特征训练异常网络访问检测模型，最后通过模型实时识别异常网络访问行为，从而提升了异常网络访问检测的准确度，加强了有关部门对网络管理的效率。

技术领域

本发明涉及计算机技术领域，特别涉及一种异常网络访问检测方法、装置、存储介质及终端。

背景技术

随着互联网的快速发展，信息的传递更加的快速和广泛。但是互联网的发展在不同的国家要按照不同国家的法律法规进行监管。异常网络访问是把被法律禁止传播的信息通过一种方式得到传播。因此对异常网络访问进行检测成为了有关部门的重点工作。

当前对异常网络访问行为进行检测中，目前针对异常网络访问行为进行检测例如图1所示，其特征查找模块主要是查找异常网络访问工具的PCAP包中的相同字段，包括固定位置相同字段以及浮动位置相同字段，并将匹配特征相应的写入特征文件。上线检测模块主要是根据特征查找模块所查找的特征扫描特征XML文件，通过直接匹配检测异常网络访问行为。由于该方案特征点在于对异常网络访问工具第一次DNS请求进行抓包，并根据抓包内容的特征字符串进行查找匹配，然后通过与制定好的特征字符串进行匹配，该方法适用性差，只能在第一次请求DNS的时候进行捕捉检测，误报率很高，其特征字符串比较难定义，同时在大量的PCAP报文中进行字符串匹配，其检测效率也是低下的，其检测具备局限性，即异常网络访问工具特有的DNS请求的特征不具备扩展性，从而降低了异常网络访问行为检测的准确度。

发明内容

本申请实施例提供了一种异常网络访问检测方法、装置、存储介质及终端。为了对披露的实施例的一些方面有一个基本的理解，下面给出了简单的概括。该概括部分不是泛泛评述，也不是要确定关键/重要组成元素或描绘这些实施例的保护范围。其唯一目的是用简单的形式呈现一些概念，以此作为后面的详细说明的序言。

第一方面，本申请实施例提供了一种异常网络访问检测方法，应用于用户终端，该方法包括：

从交换机的端口镜像产生的数据流量中实时获取流量报文；

接收流量会话日志，所述流量会话日志为流量探针对所述流量报文进行预处理后所生成；

将所述流量会话日志输入预先训练的异常网络访问检测模型中，生成异常网络分类结果；

基于所述异常网络分类结果确定是否出现异常网络访问。

可选的，所述预先训练的异常网络访问检测模型的训练过程，包括：

从知识库中采集训练数据；

创建异常网络访问检测模型，将所述训练数据输入所述异常网络访问检测模型中进行训练，训练结束后生成训练后的异常网络访问检测模型；

将所述训练后的异常网络访问检测模型确定为预先训练的异常网络访问检测模型。

可选的，所述知识库的生成过程，包括：

获取异常网络访问产生的历史流量报文；

通过流量探针对所述历史流量报文进行预处理，生成历史流量会话日志；

从所述历史流量会话日志中提取预设时间段内的历史流量会话日志；

通过所述预设时间段内的历史流量会话日志进行特征学习后生成知识库。

可选的，所述基于所述异常网络分类结果确定是否出现异常网络访问，包括：