CN107483458A - 网络攻击的识别方法及装置、计算机可读存储介质 - Google Patents

Abstract

本申请提供一种网络攻击的识别方法及装置、计算机可读存储介质，该方法可以包括：获取目标数据流中预设类型的属性信息；将获取的属性信息输入预先配置的机器学习模型中进行计算，所述机器学习模型由监督式学习算法训练样本数据得到；根据计算结果识别所述目标数据流是否属于网络攻击。通过本申请的技术方案，可以有效识别出属于网络攻击的数据流。同时，无需通过提取攻击特征来识别网络攻击，可以识别通过隐蔽通道、加密通道等方式传输且属于网络攻击的报文。

Description

网络攻击的识别方法及装置、计算机可读存储介质

技术领域

本申请涉及计算机通信技术领域，尤其涉及一种网络攻击的识别方法及装置、计算机可读存储介质。

背景技术

随着计算机通信技术的发展，因特网已遍及世界，为用户提供多样化的网络信息服务。但在使用计算机进行网络资源共享的同时，随之而来的网络安全问题也日益严重。

在相关技术中，通过部署IPS(Intrusion Prevention System，入侵防御系统)进行网络攻击的防护。IPS通过提取数据流中不同于合法字段的其他字段作为攻击特征，并在攻击特征库中进行匹配来识别属于网络攻击的报文。

然而，当数据流采用隐蔽通道、加密通道等方式传输时，IPS无法提取攻击特征，导致无法识别属于网络攻击的报文。

发明内容

有鉴于此，本申请提供一种网络攻击的识别方法及装置、计算机可读存储介质，可以解决无法识别通过隐蔽通道、加密通道等方式传输且属于网络攻击的报文的问题。

为实现上述目的，本申请提供技术方案如下：

根据本申请的第一方面，提出了一种网络攻击的识别方法，包括：

获取目标数据流中预设类型的属性信息；

将获取的属性信息输入预先配置的机器学习模型中进行计算，所述机器学习模型由监督式学习算法训练样本数据得到；

根据计算结果识别所述目标数据流是否属于网络攻击。

根据本申请的第二方面，提出了一种网络攻击的识别装置，包括：

获取单元，获取目标数据流中预设类型的属性信息；

计算单元，将获取的属性信息输入预先配置的机器学习模型中进行计算，所述机器学习模型由监督式学习算法训练样本数据得到；

识别单元，根据计算结果识别所述目标数据流是否属于网络攻击。

根据本申请的第三方面，提出了一种计算机可读存储介质，其上存储有计算机指令，该指令被处理器执行时实现如上述技术方案中任一项所述方法的步骤。

由以上技术方案可见，本申请通过预先提取网络攻击中各个环节的各种属性来训练机器学习模型，并根据训练出的机器学习模型来对数据流进行识别，可以有效识别出属于网络攻击的数据流。同时，无需通过提取攻击特征来识别网络攻击，可以识别通过隐蔽通道、加密通道等方式传输且属于网络攻击的报文。

附图说明

图1是本申请一示例性实施例示出的一种网络攻击的识别方法的流程图。

图2是本申请一示例性实施例示出的训练模型的流程图。

图3是本申请一示例性实施例示出的另一种网络攻击的识别方法的流程图。

图4是本申请一示例性实施例示出的一种电子设备的结构示意图。

图5是本申请一示例性实施例示出的一种网络攻击的识别装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

在相关技术中，IPS通过提取数据流中不同于合法字段的其他字段作为攻击特征，并在攻击特征库中进行匹配来识别属于网络攻击的报文。例如，提取可执行函数“<？phpeval($_post[a])？>”作为攻击特征以用于识别属于网络攻击的报文。

然而，当数据流采用隐蔽通道、加密通道等方式传输时，IPS无法提取攻击特征，导致无法识别属于网络攻击的报文。例如，当采用HTTPS加密、私有密钥加密、隧道传输等方式传输报文时，IPS无法提取报文的字段用于匹配攻击特征。

因此，本公开通过对识别网络攻击的方式予以改进，以解决相关技术中存在的上述技术问题，下面结合实施例进行详细说明。

请参见图1，图1是本申请一示例性实施例示出的一种网络攻击的识别方法的流程图，该方法应用于IPS设备，可以包括以下步骤：

步骤102，获取目标数据流中预设类型的属性信息。

在本实施例中，所述预设类型的属性信息可以包含以下至少之一：时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址。

步骤104，将获取的属性信息输入预先配置的机器学习模型中进行计算。

在本实施例中，所述机器学习模型由监督式学习算法训练样本数据得到。其中，所述监督式学习算法可以包含反向传播算法；所述机器学习模型可以包含神经网络模型；所述样本数据中的攻击数据来自预设网络攻击行为的攻击环节，所述攻击环节可以包含以下至少之一：网络侦查、漏洞扫描、入侵、留后门、抹去痕迹。通过获取各个攻击环节的数据作为样本数据，可以提高训练出的机器学习模型识别网络攻击行为的准确性。

具体的，在通过监督式学习算法训练样本数据时，样本数据可以包含攻击数据和合法数据，也可以仅包含攻击数据；当然，本申请并不对此进行限制。

在一实施例中，当选取攻击数据和合法数据作为样本数据时，机器学习模型的训练集中的“输入”可以是：攻击数据和合法数据中预设类型的属性信息(时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址中至少之一)。相应的，当“输入”为攻击数据的属性信息时，“输出”可以是该攻击数据的攻击类型、攻击目标中至少之一；当“输入”为合法数据的属性信息时，“输出”可以是“合法”。

在另一实施例中，当选取攻击数据作为样本数据时，机器学习模型的训练集中的“输入”可以是：攻击数据中预设类型的属性信息；“输出”可以是相应的攻击类型、攻击目标中至少之一。

步骤106，根据计算结果识别所述目标数据流是否属于网络攻击。

由以上技术方案可见，本申请通过预先提取网络攻击中各个环节的各种属性来训练机器学习模型，并根据训练出的机器学习模型来对数据流进行识别，可以有效识别出属于网络攻击的数据流。同时，无需通过提取攻击特征来识别网络攻击，可以识别通过隐蔽通道、加密通道等方式传输且属于网络攻击的报文。

为了便于理解，下面结合附图对本申请的技术方案进行进一步说明。在实现基于本申请的技术方案时，可以分为两个阶段的处理过程：1)第一阶段：训练模型；2)第二阶段：识别网络攻击，下面分别对这两个阶段进行详细描述。

1)训练模型

请参见图2，图2是本申请一示例性实施例示出的训练模型的流程图，如图2所示，该方法可以包括以下步骤：

步骤202，提取样本数据的属性信息。

在本实施例中，可以模拟网络攻击并捕获属于该网络攻击的数据流。其中，网络攻击分为五个攻击环节：网络侦查、漏洞扫描、入侵、留后门、抹去痕迹。因此，可以分别提取上述五个攻击环节的攻击数据作为样本数据的一部分，使得样本数据更加全面，以提高训练出的机器学习模型识别网络攻击行为的准确性。其中，属性信息可以包含以下至少之一：时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址。需要说明的是，提取数据的数量可以由开发人员根据实际情况灵活设定，本申请并不对此进行限制。

以反向传播算法训练得到神经网络(例如Bp网络、Hopfield网络等)模型为例，在一实施例中，当选取攻击数据和合法数据作为样本数据时，神经网络模型的训练集中的“输入”可以是：攻击数据和合法数据的属性信息。相应的，当“输入”为攻击数据的属性信息时，“输出”可以是该攻击数据的攻击类型、攻击目标中至少之一；当“输入”为合法数据的属性信息时，“输出”可以是“合法”。

在另一实施例中，当选取攻击数据作为样本数据时，神经网络模型的训练集中的“输入”可以是：攻击数据的属性信息；“输出”可以是相应的攻击类型、攻击目标中至少之一。

步骤204，训练神经网络模型。

步骤206，判断模型参数是否收敛；若模型参数收敛，则转入步骤208，否则返回步骤204。

在本实施例中，通过反向传播算法在激励传播和权重更新两个环节反复循环迭代，直到神经网络模型对输入的响应达到预定的目标范围为止，训练神经网络模型的过程结束。

步骤208，结束训练过程。

2)识别网络攻击

请参见图3，图3是本申请一示例性实施例示出的另一种网络攻击的识别方法的流程图，该方法应用于IPS设备，可以包括以下步骤：

步骤302，获取目标数据流的属性信息。

在本实施例中，属性信息包含以下至少之一：时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址。

步骤304，将属性信息输入训练出的神经网络模型中进行计算。

步骤306，根据计算结果识别目标数据流是否属于网络攻击。

在本实施例中，基于训练模型阶段中对样本数据训练得到的神经网络模型，可以采用该神经网络模型对监视的网络资料传输行为中的数据流进行识别，具体的，当计算得到目标数据流的攻击类型、攻击目标时，判定该目标数据流属于网络攻击；当计算结果为“合法”时，判定该目标数据流不属于网络攻击。

由以上技术方案可见，本申请通过预先提取网络攻击中各个环节的各种属性来训练机器学习模型，并根据训练出的机器学习模型来对数据流进行识别，可以有效识别出属于网络攻击的数据流。同时，无需通过提取攻击特征来识别网络攻击，可以识别通过隐蔽通道、加密通道等方式传输且属于网络攻击的报文。

图4示出了根据本申请的一示例性实施例的电子设备的结构示意图。请参考图4，在硬件层面，该电子设备包括处理器402、内部总线404、网络接口406、内存408以及非易失性存储器410，当然还可能包括其他业务所需要的硬件。处理器402从非易失性存储器410中读取对应的计算机程序到内存408中然后运行，在逻辑层面上形成网络攻击的识别装置。当然，除了软件实现方式之外，本申请并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

请参考图5，在软件实施方式中，该网络攻击的识别装置可以包括获取单元501、计算单元502和识别单元503。其中：

获取单元501，获取目标数据流中预设类型的属性信息；

计算单元502，将获取的属性信息输入预先配置的机器学习模型中进行计算，所述机器学习模型由监督式学习算法训练样本数据得到；

识别单元503，根据计算结果识别所述目标数据流是否属于网络攻击。

可选的，所述预设类型的属性信息包含以下至少之一：

时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址。

可选的，所述样本数据中的攻击数据来自预设网络攻击行为的攻击环节。

可选的，所述攻击环节包含以下至少之一：

网络侦查、漏洞扫描、入侵、留后门、抹去痕迹。

可选的，所述监督式学习算法包含反向传播算法；所述机器学习模型包含神经网络模型。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器，上述指令可由网络攻击的识别装置的处理器执行以完成上述方法，该方法可以包括：

获取目标数据流中预设类型的属性信息；

将获取的属性信息输入预先配置的机器学习模型中进行计算，所述机器学习模型由监督式学习算法训练样本数据得到；

根据计算结果识别所述目标数据流是否属于网络攻击。

可选的，所述预设类型的属性信息包含以下至少之一：

时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址。

可选的，所述样本数据中的攻击数据来自预设网络攻击行为的攻击环节。

可选的，所述攻击环节包含以下至少之一：

网络侦查、漏洞扫描、入侵、留后门、抹去痕迹。

可选的，所述监督式学习算法包含反向传播算法；所述机器学习模型包含神经网络模型。

其中，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等，本申请并不对此进行限制。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (11)

1.一种网络攻击的识别方法，其特征在于，包括：

获取目标数据流中预设类型的属性信息；

将获取的属性信息输入预先配置的机器学习模型中进行计算，所述机器学习模型由监督式学习算法训练样本数据得到；

根据计算结果识别所述目标数据流是否属于网络攻击。

2.根据权利要求1所述的方法，其特征在于，所述预设类型的属性信息包含以下至少之一：

时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址。

3.根据权利要求1所述的方法，其特征在于，所述样本数据中的攻击数据来自预设网络攻击行为的攻击环节。

4.根据权利要求3所述的方法，其特征在于，所述攻击环节包含以下至少之一：

网络侦查、漏洞扫描、入侵、留后门、抹去痕迹。

5.根据权利要求1所述的方法，其特征在于，所述监督式学习算法包含反向传播算法；所述机器学习模型包含神经网络模型。

6.一种网络攻击的识别装置，其特征在于，包括：

获取单元，获取目标数据流中预设类型的属性信息；

计算单元，将获取的属性信息输入预先配置的机器学习模型中进行计算，所述机器学习模型由监督式学习算法训练样本数据得到；

识别单元，根据计算结果识别所述目标数据流是否属于网络攻击。

7.根据权利要求6所述的装置，其特征在于，所述预设类型的属性信息包含以下至少之一：

时间、IP信息、端口信息、协议类型、发包频度、邮件地址、文件名称、目标URL地址。

8.根据权利要求6所述的装置，其特征在于，所述样本数据中的攻击数据来自预设网络攻击行为的攻击环节。

9.根据权利要求8所述的装置，其特征在于，所述攻击环节包含以下至少之一：

网络侦查、漏洞扫描、入侵、留后门、抹去痕迹。

10.根据权利要求6所述的装置，其特征在于，所述监督式学习算法包含反向传播算法；所述机器学习模型包含神经网络模型。

11.一种计算机可读存储介质，其上存储有计算机指令，其特征在于，该指令被处理器执行时实现如权利要求1-5中任一项所述方法的步骤。