[发明专利]一种异常流量检测方法、装置、电子设备及存储介质

说明书

本申请实施例提供一种异常流量检测方法、装置、电子设备及存储介质，涉及威胁检测技术领域。该方法包括基于当前应用场景获取第一流量的第一首部字段顺序；获取第二流量的第二首部字段顺序；基于所述第一首部字段顺序和所述第二首部字段顺序计算秩顺序相关系数；将所述秩顺序相关系数与预设阈值比较，以确定所述未知流量的异常程度。该方法根据HTTP首部字段之间的差异来检测异常行为，可简单、快速过滤掉异常流量，解决了现有方法程序较为复杂的问题。

技术领域

本申请涉及威胁检测技术领域，具体而言，涉及一种异常流量检测方法、装置、电子设备及存储介质。

背景技术

近年来，越来越多的入侵检测系统和防火墙被用于检测和阻止恶意应用程序或未知协议，以增加系统的安全性。一些恶意应用程序开始将自己塑造成普通应用程序，以逃避恶意协议检测。作为许多互联网服务的重要协议，超文本传输协议(HTTP)占据了互联网上近10％的流量。许多恶意应用程序将其流量伪装成HTTP协议，以隐藏其恶意行为。

现有的检测方法如使用异常检测模型，需要进行模型训练等一系列处理过程，较为复杂。

发明内容

本申请实施例的目的在于提供一种异常流量检测方法、装置、电子设备及存储介质，根据HTTP首部字段之间的差异来检测异常行为，可简单、快速过滤掉异常流量，解决了现有方法程序较为复杂的问题。

本申请实施例提供了一种异常流量检测方法，所述方法包括：

基于当前应用场景获取第一流量的第一首部字段顺序；

获取第二流量的第二首部字段顺序；

基于所述第一首部字段顺序和所述第二首部字段顺序计算秩顺序相关系数；

将所述秩顺序相关系数与预设阈值比较，以确定所述第一流量或所述第二流量的异常程度。

在上述实现过程中，针对不同的应用场景，通过生成首部字段顺序并比对首部字段顺序的秩顺序相关系数来判断异常程度，通过将异常程度量化的方式，可简单、快速的进行异常流量的过滤，该方法根据HTTP首部字段之间的差异来检测异常行为，解决了现有方法程序较为复杂的问题。

进一步地，所述基于当前应用场景获取第一流量的第一首部字段顺序，包括：

获取多条正常HTTP流量的首部字段数据；

基于所述首部字段数据统计每条正常HTTP流量的首部字段排序；

基于每个首部字段出现的频率生成首部字段顺序模板。

在上述实现过程中，正常流量的首部字段通常是恒定的、实质性的和常规的，根据该特点可获得正常流量的首部字段顺序模板。

进一步地，所述获取第二流量的第二首部字段顺序，包括：

获取未知流量的首部字段数据；

基于所述首部字段数据获取所述未知流量的第二首部字段顺序。

在上述实现过程中，获取需要检测的未知流量的首部字段顺序，可根正常流量的首部字段顺序模板进行比较，从而快速确定未知流量的异常程度。

进一步地，所述基于当前应用场景获取第一流量的第一首部字段顺序，包括：

获取预先设定的滑动窗口内的多条第一HTTP流量；

统计所述第一HTTP流量的首部字段排序；

基于每个首部字段出现的频率生成第一首部字段顺序。

在上述实现过程中，可利用滑动窗口比较两批流量之间的差异，从而可快速判断异常程度，实现异常流量的过滤。