[发明专利]网络恶意攻击的检测方法和装置

权利要求书

1.一种网络恶意攻击的检测方法，其特征在于，包括：

采集正常业务web服务请求数据及含有网络恶意攻击代码的web服务请求数据作为样本数据；

对每条样本数据，进行特征提取并构建无向特征图，根据所述样本数据是否含有恶意攻击代码对所述样本数据对应的无向特征图进行打标；

将打标后的无向特征图作为训练数据，采用图神经网络算法对所述训练数据进行训练以构建检测模型；

使用所述检测模型进行网络恶意攻击检测；

其中，进行特征提取并构建无向特征图包括：对所述样本数据进行分词并获取分词后得到的每个单词的词向量以进行特征提取；根据所述每个单词的词向量构建无向特征图；

对所述样本数据进行分词之前，还包括：根据所述网络恶意攻击代码的脚本类型对所述样本数据进行分类，得到所述样本数据的类别标签。

2.根据权利要求1所述的方法，其特征在于，对所述样本数据进行分词包括：

基于N-gram语言模型算法对所述样本数据进行分词。

3.根据权利要求2所述的方法，其特征在于，基于N-gram语言模型算法对所述样本数据进行分词包括：

根据所述样本数据的类别标签，从N-gram语言模型算法中获取所述类别标签对应的分词规则；

基于所述分词规则对所述样本数据进行分词。

4.根据权利要求1所述的方法，其特征在于，对所述样本数据进行分词之后，获取分词后得到的每个单词的词向量之前，还包括：

对分词后得到的每个单词，根据预设的分类规则确定所述单词的分类标签，所述分类标签包括：http请求参数字段字符、网络恶意攻击代码常用函数字符、特殊字符和中文字符。

5.根据权利要求1或4所述的方法，其特征在于，根据所述每个单词的词向量构建无向特征图包括：

将所述每个单词的词向量作为图的节点，节点之间通过边进行连接；

将每个单词对应的分类标签作为边的权重，以构建无向特征图。

6.根据权利要求1所述的方法，其特征在于，采用图神经网络算法对所述训练数据进行训练以构建检测模型包括：

采用图神经网络算法，通过自学习的训练方式，传播过程使用基于文本的长短期记忆网络，以对所述训练数据进行训练，构建检测模型。

7.根据权利要求1或6所述的方法，其特征在于，所述图神经网络为二层图卷积网络，且第一层使用ReLU为激活函数，第二层使用sof tmax函数进行分类，使用交叉熵作为损失函数。

8.一种网络恶意攻击的检测装置，其特征在于，包括：

样本采集模块，用于采集正常业务web服务请求数据及含有网络恶意攻击代码的web服务请求数据作为样本数据；

样本处理模块，用于对每条样本数据，进行特征提取并构建无向特征图，根据所述样本数据是否含有恶意攻击代码对所述样本数据对应的无向特征图进行打标；

模型训练模块，用于将打标后的无向特征图作为训练数据，采用图神经网络算法对所述训练数据进行训练以构建检测模型；

攻击检测模块，用于使用所述检测模型进行网络恶意攻击检测；

所述样本处理模还用于：对所述样本数据进行分词并获取分词后得到的每个单词的词向量以进行特征提取；根据所述每个单词的词向量构建无向特征图；

所述装置还包括样本分类模块，用于：在对所述样本数据进行分词之前，根据所述网络恶意攻击代码的脚本类型对所述样本数据进行分类，得到所述样本数据的类别标签。

9.一种网络恶意攻击的检测电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-7中任一所述的方法。

10.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-7中任一所述的方法。