CN107979561A - 用于控制恶意流量的方法、装置和系统 - Google Patents

Abstract

本发明公开一种用于控制恶意流量的方法、装置和系统，涉及大数据领域。其中恶意流量控制装置从流量监测装置中实时采集用户的流量记录，判断流量记录的URL是否记录在安全库中，若URL未记录在安全库中，则进一步判断流量记录是否为持续下载记录，若流量记录为持续下载记录，则将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度，根据疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。本发明通过对从流量监测装置实时采集的流量记录进行过滤，筛选出可疑的持续下载记录，基于用户历史行为进行疑似度评分，并根据疑似度评分高低进行相应的处理，从而有效提高了网络智能服务的准确度和精细度。

Description

用于控制恶意流量的方法、装置和系统

技术领域

本发明涉及大数据领域，特别涉及一种用于控制恶意流量的方法、装置和系统。

背景技术

随着4G带来网速的提升，移动终端上恶意软件/插件“偷跑流量”带来巨额话费的投诉越来越多，恶意软件的后台持续下载、偷跑，让运营商背了黑锅。例如：

1)广东佛山某电信手机用户：3小时用掉23G流量。

后经查为手机APP出错，反复访问并重复下载文件而产生巨大流量；

2)武汉某电信手机用户：一夜之间流量跑50GB，次日凌晨被欠费停机。

后经查为个人热点被盗，用于BT下载所致。

为了避免这种情况的发生，目前运营商主要采用以下策略：

1)方法1：短信提醒。具体为当流量达到套餐限额时，进行短信提醒。

2)方法2：自动封顶。具体为流量封顶或费用超套餐500元后封顶。

运营商采取的上述不区分真假“李逵”的封顶策略，虽然避免了“天价”账单，但用户的话费和损失仍然存在，用户相关投诉仍居高不下。

发明内容

本发明实施例提供一种用于控制恶意流量的方法、装置和系统，通过对从流量监测装置实时采集的流量记录进行过滤，筛选出可疑的持续下载记录，基于用户历史行为进行疑似度评分，并根据疑似度评分高低进行相应的处理，从而有效提高了网络智能服务的准确度和精细度。

根据本发明的一个方面，提供一种用于控制恶意流量的方法，包括：

从流量监测装置中实时采集用户的流量记录；

判断流量记录的URL是否记录在安全库中；

若URL未记录在安全库中，则进一步判断流量记录是否为持续下载记录；

若流量记录为持续下载记录，则将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度；

根据疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

在一个实施例中，判断流量记录是否为持续下载记录包括：

判断具有URL的各流量记录之间的平均时间间隔是否小于预定间隔门限；

若平均时间间隔小于预定间隔门限，进一步判断具有URL的流量记录持续条数是否大于预定条数门限；

若流量记录持续条数大于预定条数门限，则判断流量记录为持续下载记录。

在一个实施例中，将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度包括：

统计流量记录的流量值与用户的流量平均值之比以作为第一指标；

统计流量记录的流量值与用户的流量峰值之比以作为第二指标；

判断URL是否出现在用户的历史下载地址中以作为第三指标；

判断流量记录的生成时间是否在用户的上网休闲时段以作为第四指标；

将第一指标至第四指标的加权和作为流量记录的疑似度。

在一个实施例中，若URL未出现在用户的历史下载地址中，则第三指标值为指定值，若URL出现在用户的历史下载地址中，则第三指标值为0；

若流量记录的生成时间在用户的上网休闲时段，则第四指标值为指定值，流量记录的生成时间未在用户的上网休闲时段，则第四指标值为0。

在一个实施例中，第一指标至第四指标的权重之和为1。

在一个实施例中，在从流量监测装置中实时采集用户的流量记录后，还包括：

根据流量记录中的网络接入标识判断是否采用指定网络接入；

若采用指定网络接入，则进一步判断流量记录的流量值是否大于预定流量门限；

若流量记录的流量值大于预定流量门限，则执行判断流量记录的URL是否记录在安全库中的步骤。

根据本发明的另一方面，提供一种用于控制恶意流量的装置，包括采集模块、第一识别模块、第二识别模块、疑似度计算模块和控制模块，其中：

采集模块，用于从流量监测装置中实时采集用户的流量记录；

第一识别模块，用于判断流量记录的URL是否记录在安全库中；

第二识别模块，用于根据第一识别模块的判断结果，若URL未记录在安全库中，则进一步判断流量记录是否为持续下载记录；

疑似度计算模块，用于根据第二识别模块的判断结果，若流量记录为持续下载记录，则将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度；

控制模块，用于根据疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

在一个实施例中，第二识别模块具体判断具有URL的各流量记录之间的平均时间间隔是否小于预定间隔门限，若平均时间间隔小于预定间隔门限，进一步判断具有URL的流量记录持续条数是否大于预定条数门限，若流量记录持续条数大于预定条数门限，则判断流量记录为持续下载记录。

在一个实施例中，疑似度计算模块统计流量记录的流量值与用户的流量平均值之比以作为第一指标，统计流量记录的流量值与用户的流量峰值之比以作为第二指标，判断URL是否出现在用户的历史下载地址中以作为第三指标，判断流量记录的生成时间是否在用户的上网休闲时段以作为第四指标，将第一指标至第四指标的加权和作为流量记录的疑似度。

在一个实施例中，若URL未出现在用户的历史下载地址中，则第三指标值为指定值，若URL出现在用户的历史下载地址中，则第三指标值为0；

若流量记录的生成时间在用户的上网休闲时段，则第四指标值为指定值，流量记录的生成时间未在用户的上网休闲时段，则第四指标值为0。

在一个实施例中，第一指标至第四指标的权重之和为1。

在一个实施例中，上述装置还包括过滤模块，其中：

过滤模块，用于在采集模块从流量监测装置中实时采集用户的流量记录后，根据流量记录中的网络接入标识判断是否采用指定网络接入，若采用指定网络接入，则进一步判断流量记录的流量值是否大于预定流量门限，若流量记录的流量值大于预定流量门限，则指示第一识别模块执行判断流量记录的URL是否记录在安全库中的操作。

根据本发明的另一方面，提供一种用于控制恶意流量的系统，包括上述任一实施例涉及的用于控制恶意流量的装置，以及

流量监测装置，用于检测用户的流量并生成相应记录；

流量控制装置，用于根据用于控制恶意流量的装置发送的控制策略对恶意流量进行控制。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明用于控制恶意流量的方法一个实施例的示意图。

图2为本发明用于控制恶意流量的方法另一实施例的示意图。

图3为本发明用于控制恶意流量的装置一个实施例的示意图。

图4为本发明用于控制恶意流量的装置另一实施例的示意图。

图5为本发明用于控制恶意流量的系统一个实施例的示意图。

图6为本发明控制恶意流量的系统架构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

图1为本发明用于控制恶意流量的方法一个实施例的示意图。可选地，本实施例的方法步骤可由用于控制恶意流量的装置执行。其中：

步骤101，从流量监测装置中实时采集用户的流量记录。

其中，流量监测装置可为DPI(Deep Packet Inspection，深度包检测)装置。

步骤102，判断流量记录的URL是否记录在安全库中。

其中，安全库内容为白名单URL地址，如：操作系统更新升级地址，ex：ios、三星等；常用应用市场下载地址；常用客户端访问地址(视频、淘宝、游戏、教育等)；常用网站访问地址(UC、新浪等)；后向流量访问地址等。利用安全库可对流量记录进行初步过滤。

步骤103，若URL未记录在安全库中，则进一步判断流量记录是否为持续下载记录。

可选地，上述判断流量记录是否为持续下载记录可包括：

判断具有URL的各流量记录之间的平均时间间隔是否小于预定间隔门限。若平均时间间隔小于预定间隔门限，则判断这属于下载行为，并进一步判断具有URL的流量记录持续条数是否大于预定条数门限。若流量记录持续条数大于预定条数门限，则判断流量记录为持续下载记录。

步骤104，若流量记录为持续下载记录，则将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度。

通过利用大数据，可对用户流量历史行为进行统计，这里可统计出用户的流量平均值、用户的流量峰值、用户的历史下载地址和用户的上网休闲时段。

其中，前三项指标根据筛选后的记录进行统计，第四项全量记录统计。第四项统计方法可为：将记录分为工作日、节假日，再统计出工作日、节假日用户上网休息时间段(休息时段：上网流量占总量10％)。

可选地，上述将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度包括：

统计流量记录的流量值与用户的流量平均值之比以作为第一指标M1，统计流量记录的流量值与用户的流量峰值之比以作为第二指标M2，判断URL是否出现在用户的历史下载地址中以作为第三指标M3，判断流量记录的生成时间是否在用户的上网休闲时段以作为第四指标M4，将M1至M4的加权和作为流量记录的疑似度。

将M1、M2、M3和M4的权重分别为A、B、C和D，其中，A+B+C+D＝1。则疑似度SD为：

SD＝A*M1+B*M2+C*M3+D*M4

其中，若URL未出现在用户的历史下载地址中，则第三指标值M3为指定值(例如为1)，若URL出现在用户的历史下载地址中，则第三指标值M3为0。

若流量记录的生成时间在用户的上网休闲时段，则第四指标值M4为指定值(例如为1)，若流量记录的生成时间未在用户的上网休闲时段，则第四指标值M4为0。

步骤105，根据疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

例如，流量控制装置可为PCRF(Policy and Charging Rules Function，策略与计费规则功能)装置。

例如，若疑似度SD<标值1，进行新息提醒；若疑似度SD在标值1和标值2的区间内，则下发控制策略1；若疑似度SD>标值2，则下发控制策略2。

基于本发明上述实施例提供的用于控制恶意流量的方法，通过对从流量监测装置实时采集的流量记录进行过滤，筛选出可疑的持续下载记录，基于用户历史行为进行疑似度评分，并根据疑似度评分高低进行相应的处理，从而有效提高了网络智能服务的准确度和精细度。

图2为本发明用于控制恶意流量的方法另一实施例的示意图。可选地，本实施例的方法步骤可由用于控制恶意流量的装置执行。其中：

步骤201，从流量监测装置中实时采集用户的流量记录。

步骤202，根据流量记录中的网络接入标识NAI判断是否采用指定网络接入。

例如，根据NAI判断是否为4G接入。

步骤203，若采用指定网络接入，则进一步判断流量记录的流量值是否大于预定流量门限。

例如，若流量很小，或者流量大小<流量块*80％记录，这并不符合“偷跑流量”的流量大、持续下载的特点，因此可将这种记录过滤掉。

步骤204，若流量记录的流量值大于预定流量门限，则判断流量记录的URL是否记录在安全库中。

步骤205，若URL未记录在安全库中，则进一步判断流量记录是否为持续下载记录。

步骤206，若流量记录为持续下载记录，则将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度。

步骤207，根据疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

通过在疑似度评分前，利用接入网络、流量大小和是否持为持续下载对记录进行过滤，以便排除明显不属于“偷跑流量”的流量记录，从而有效降低了处理负担，提高了网络智能服务的准确度和精细度。

图3为本发明用于控制恶意流量的装置一个实施例的示意图。如图3所示，该装置可包括采集模块301、第一识别模块302、第二识别模块303、疑似度计算模块304和控制模块305。其中：

采集模块301用于从流量监测装置中实时采集用户的流量记录。

第一识别模块302用于判断流量记录的URL是否记录在安全库中。

第二识别模块303用于根据第一识别模块302的判断结果，若URL未记录在安全库中，则进一步判断流量记录是否为持续下载记录。

可选地，第二识别模块303具体判断具有URL的各流量记录之间的平均时间间隔是否小于预定间隔门限，若平均时间间隔小于预定间隔门限，进一步判断具有URL的流量记录持续条数是否大于预定条数门限，若流量记录持续条数大于预定条数门限，则判断流量记录为持续下载记录。

疑似度计算模块304用于根据第二识别模块303的判断结果，若流量记录为持续下载记录，则将流量记录与用户的历史行为进行比较，以获得流量记录的疑似度。

可选地，疑似度计算模块304统计流量记录的流量值与用户的流量平均值之比以作为第一指标，统计流量记录的流量值与用户的流量峰值之比以作为第二指标，判断URL是否出现在用户的历史下载地址中以作为第三指标，判断流量记录的生成时间是否在用户的上网休闲时段以作为第四指标，将第一指标至第四指标的加权和作为流量记录的疑似度。

其中，若URL未出现在用户的历史下载地址中，则第三指标值为指定值，若URL出现在用户的历史下载地址中，则第三指标值为0。若流量记录的生成时间在用户的上网休闲时段，则第四指标值为指定值，流量记录的生成时间未在用户的上网休闲时段，则第四指标值为0。

可选地，第一指标至第四指标的权重之和为1。

控制模块305用于根据疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

基于本发明上述实施例提供的用于控制恶意流量的装置，通过对从流量监测装置实时采集的流量记录进行过滤，筛选出可疑的持续下载记录，基于用户历史行为进行疑似度评分，并根据疑似度评分高低进行相应的处理，从而有效提高了网络智能服务的准确度和精细度。

图4为本发明用于控制恶意流量的装置另一实施例的示意图。与图3所示实施例相比，在图4所示实施例中，除采集模块401、第一识别模块402、第二识别模块403、疑似度计算模块404和控制模块405之外，还包括过滤模块406。其中：

过滤模块406，用于在采集模块401从流量监测装置中实时采集用户的流量记录后，根据流量记录中的网络接入标识判断是否采用指定网络接入，若采用指定网络接入，则进一步判断流量记录的流量值是否大于预定流量门限，若流量记录的流量值大于预定流量门限，则指示第一识别模块402执行判断流量记录的URL是否记录在安全库中的操作。

图5为本发明用于控制恶意流量的系统一个实施例的示意图。如图5所示，该系统包括恶意流量处理装置501、流量监测装置502和流量控制装置503，其中恶意流量处理装置501为图3或图4中任一实施例涉及的用于控制恶意流量的装置。

此外，流量监测装置502用于检测用户的流量并生成相应记录。

流量控制装置503用于根据用于控制恶意流量的装置发送的控制策略对恶意流量进行控制。

本发明的网络架构如图6所示。其中用户终端通过SGW(Serving GateWay，服务网关)、PGW(PDN GateWay，PDN网关)接入网络，恶意流量处理装置从DPI装置中实时采集用户的流量记录，筛选出可能存在不安全隐患的持续下载记录，利用用户历史行为对流量记录进行疑似度评分，并根据疑似度评分的大小向PCRF装置发送相应的控制策略，PCRF装置与PGW进行交互以完成规则的执行，从而对恶意流量进行控制。

本发明将“偷跑流量”行为抽象为三个特征：即在用户上网闲时后台启动、大流量和持续下载。同时基于用户历史记录建立用户特征库，每个用户将有自己的特征指标。本发明通过将实时流量与用户特征指标进行匹配打分，根据疑似评分高低进行相应的处理。从而可有效提高网络智能服务的准确度和精细度。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (13)

1.一种用于控制恶意流量的方法，其特征在于，包括：

从流量监测装置中实时采集用户的流量记录；

判断所述流量记录的URL是否记录在安全库中；

若所述URL未记录在安全库中，则进一步判断所述流量记录是否为持续下载记录；

若所述流量记录为持续下载记录，则将所述流量记录与所述用户的历史行为进行比较，以获得所述流量记录的疑似度；

根据所述疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

2.根据权利要求1所述的方法，其特征在于，

判断所述流量记录是否为持续下载记录包括：

判断具有所述URL的各流量记录之间的平均时间间隔是否小于预定间隔门限；

若所述平均时间间隔小于预定间隔门限，进一步判断具有所述URL的流量记录持续条数是否大于预定条数门限；

若所述流量记录持续条数大于预定条数门限，则判断所述流量记录为持续下载记录。

3.根据权利要求1所述的方法，其特征在于，

将所述流量记录与所述用户的历史行为进行比较，以获得所述流量记录的疑似度包括：

统计所述流量记录的流量值与所述用户的流量平均值之比以作为第一指标；

统计所述流量记录的流量值与所述用户的流量峰值之比以作为第二指标；

判断所述URL是否出现在所述用户的历史下载地址中以作为第三指标；

判断所述流量记录的生成时间是否在所述用户的上网休闲时段以作为第四指标；

将第一指标至第四指标的加权和作为所述流量记录的疑似度。

4.根据权利要求3所述的方法，其特征在于，

若所述URL未出现在所述用户的历史下载地址中，则第三指标值为指定值，若所述URL出现在所述用户的历史下载地址中，则第三指标值为0；

若所述流量记录的生成时间在所述用户的上网休闲时段，则第四指标值为指定值，若所述流量记录的生成时间未在所述用户的上网休闲时段，则第四指标值为0。

5.根据权利要求3所述的方法，其特征在于，

第一指标至第四指标的权重之和为1。

6.根据权利要求1-5中任一项所述的方法，其特征在于，

在从流量监测装置中实时采集用户的流量记录后，还包括：

根据所述流量记录中的网络接入标识判断是否采用指定网络接入；

若采用指定网络接入，则进一步判断所述流量记录的流量值是否大于预定流量门限；

若所述流量记录的流量值大于预定流量门限，则执行判断所述流量记录的URL是否记录在安全库中的步骤。

7.一种用于控制恶意流量的装置，其特征在于，包括采集模块、第一识别模块、第二识别模块、疑似度计算模块和控制模块，其中：

采集模块，用于从流量监测装置中实时采集用户的流量记录；

第一识别模块，用于判断所述流量记录的URL是否记录在安全库中；

第二识别模块，用于根据第一识别模块的判断结果，若所述URL未记录在安全库中，则进一步判断所述流量记录是否为持续下载记录；

疑似度计算模块，用于根据第二识别模块的判断结果，若所述流量记录为持续下载记录，则将所述流量记录与所述用户的历史行为进行比较，以获得所述流量记录的疑似度；

控制模块，用于根据所述疑似度的大小向流量控制装置发送相应的控制策略，以便对恶意流量进行控制。

8.根据权利要求7所述的装置，其特征在于，

第二识别模块具体判断具有所述URL的各流量记录之间的平均时间间隔是否小于预定间隔门限，若所述平均时间间隔小于预定间隔门限，进一步判断具有所述URL的流量记录持续条数是否大于预定条数门限，若所述流量记录持续条数大于预定条数门限，则判断所述流量记录为持续下载记录。

9.根据权利要求7所述的装置，其特征在于，

疑似度计算模块统计所述流量记录的流量值与所述用户的流量平均值之比以作为第一指标，统计所述流量记录的流量值与所述用户的流量峰值之比以作为第二指标，判断所述URL是否出现在所述用户的历史下载地址中以作为第三指标，判断所述流量记录的生成时间是否在所述用户的上网休闲时段以作为第四指标，将第一指标至第四指标的加权和作为所述流量记录的疑似度。

10.根据权利要求9所述的装置，其特征在于，

若所述URL未出现在所述用户的历史下载地址中，则第三指标值为指定值，若所述URL出现在所述用户的历史下载地址中，则第三指标值为0；

若所述流量记录的生成时间在所述用户的上网休闲时段，则第四指标值为指定值，若所述流量记录的生成时间未在所述用户的上网休闲时段，则第四指标值为0。

11.根据权利要求9所述的装置，其特征在于，

第一指标至第四指标的权重之和为1。

12.根据权利要求7-11中任一项所述的装置，其特征在于，还包括过滤模块，其中：

过滤模块，用于在采集模块从流量监测装置中实时采集用户的流量记录后，根据所述流量记录中的网络接入标识判断是否采用指定网络接入，若采用指定网络接入，则进一步判断所述流量记录的流量值是否大于预定流量门限，若所述流量记录的流量值大于预定流量门限，则指示第一识别模块执行判断所述流量记录的URL是否记录在安全库中的操作。

13.一种用于控制恶意流量的系统，其特征在于，包括如权利要求7-12中任一项所述的用于控制恶意流量的装置，以及

流量监测装置，用于检测用户的流量并生成相应记录；

流量控制装置，用于根据用于控制恶意流量的装置发送的控制策略对恶意流量进行控制。