CN114124507A - 一种数据请求频次统计方法、装置、电子设备及存储介质 - Google Patents

一种数据请求频次统计方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN114124507A
CN114124507A CN202111357815.1A CN202111357815A CN114124507A CN 114124507 A CN114124507 A CN 114124507A CN 202111357815 A CN202111357815 A CN 202111357815A CN 114124507 A CN114124507 A CN 114124507A
Authority
CN
China
Prior art keywords
data request
frequency
equipment
time window
statistics
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202111357815.1A
Other languages
English (en)
Inventor
张道林
杨飞
肖新光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Antiy Network Technology Co Ltd
Original Assignee
Beijing Antiy Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Antiy Network Technology Co Ltd filed Critical Beijing Antiy Network Technology Co Ltd
Priority to CN202111357815.1A priority Critical patent/CN114124507A/zh
Publication of CN114124507A publication Critical patent/CN114124507A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例公开一种数据请求频次统计方法、装置、电子设备及存储介质，涉及网络安全技术领域。数据请求频次统计方法包括步骤：接收第一设备发送的数据请求消息；所述数据请求消息中携带有第一设备的身份标识信息；根据所述第一设备的身份标识信息为第一设备发送的数据请求消息建立消息队列；所述消息队列为一固定时长的时间窗口；基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计。由于采用时间窗口滑动统计的方式，统计更加精细，可以在一定程度上避免上述现有统计方案中存在的安全漏洞，从而能够提升服务器的安全性。本发明适用于网络攻击检测场景中。

Description

一种数据请求频次统计方法、装置、电子设备及存储介质
技术领域
本发明涉及网络安全技术领域，尤其涉及一种数据请求频次统计方法、装置、电子设备及存储介质。
背景技术
在一些类型的网络攻击检测场景中，需要对数据请求的频次进行统计，根据统计结果与预设检测规则来判定是否属于网络攻击。传统的请求频次统计方案中，一般是利用计数器算法对请求频次进行统计管控，即以一个固定时间长度的窗口根据预设统计规则对端口的数据请求频次进行统计，当统计任务由一个固定时间长度转入下一个固定时间长度时，计数器自动归零重新计数。
发明人在实现本发明创造的过程中发现：上述基于计数器算法的统计方案在两个固定时间长度的临界节点存在一个安全漏洞；如图1所示，以访问请求频次统计为例，假设对当前服务器的访问请求频次限制为100条/每分钟，计数器的窗口长度为1分钟，若有一个恶意用户，在第一个固定时间长度内，0:00～0:58s未发送数据请求，在0:59s和1:00临界节点分别发起100个请求，这样，通过在时间窗口的计数重置处(临界节点)突发请求，瞬间超过访问请求频次限制，可能导致服务器瘫痪。
发明内容
有鉴于此，本发明实施例提供一种数据请求频次统计方法、装置、电子设备及存储介质，可以在一定程度上避免上述现有统计方案中存在的安全漏洞，从而能够提升服务器的安全性。
第一方面，本发明实施例提供的数据请求频次统计方法，包括步骤：
接收第一设备发送的数据请求消息；所述数据请求消息中携带有第一设备的身份标识信息；
根据所述第一设备的身份标识信息为第一设备发送的数据请求消息建立消息队列；所述消息队列为一固定时长的时间窗口；
基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计。
结合第一方面，在第一方面的第一种实施方式中，所述基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计包括：
根据所述时间窗口的固定时长将所述时间窗口连续划分成多个时间子窗口；
对进入每个时间子窗口中的数据请求频次根据预定滑动步长进行滑动统计；
根据当前时间窗口滑动的时间戳，计算所述固定时间长度内所有子窗口统计的频次和，得到频次统计结果。
结合第一方面，在第一方面的第二种实施方式中，所述时间窗口中预设有第一检测规则，所述第一检测规则中包括：第一请求频次阈值；
在基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计之后，所述方法还包括：查询预设的第一检测规则；
根据频次统计结果与第一检测规则中的第一请求频次判断阈值进行比较；
若所述频次统计结果大于或等于所述第一请求频次阈值，则触发限制请求和/或告警。
结合第一方面的第二种实施方式，在第一方面的第三种实施方式中，所述第一检测规则中还包括：网络攻击类型及所述网络攻击类型与第一请求频次阈值之间的判定关系；
所述若所述频次统计结果大于所述第一请求频次阈值之后，所述方法还包括：根据所述网络攻击类型与第一请求频次阈值之间的判定关系确定对应的网络攻击类型。
结合第一方面和/或、第一方面的第一至第三任一种实施方式，在第一方面的第四种实施方式中，所述时间窗口中还预设有第二检测规则，第二检测规则包括：第二请求频次阈值；
所述方法还包括：接收第二设备发送的数据请求消息；所述数据请求消息中携带有第二设备的身份标识信息；
根据所述第二设备的身份标识信息为第二设备发送的数据请求消息建立消息队列；
基于时间滑动窗口算法对进入所述时间窗口中的第一设备和第二设备分别发送的数据请求消息进行频次统计；
根据得到的统计结果，分别基于第一检测规则和第二检测规则判定是否对第一设备和第二设备发送的数据请求进行限制；
分别记录在当前一个时间窗口内处理第一设备与第二设备发送的数据请求频次统计及判定任务对应的最早时间戳；
比较多个统计及判定任务的最早时间戳的大小；
将多个统计及判定任务已经处理完成的且位于较小的最早时间戳之前的数据删除。
结合第一方面和/或、第一方面的第一至第四任一种实施方式，在第一方面的第五种实施方式中，所述网络攻击类型包括：DOS攻击、DDOS攻击、口令爆破攻击、端口扫描攻击、网段扫描攻击、目录扫描攻击及利用失效的身份认证和会话攻击中的一种或多种。
第二方面，本发明实施例提供一种数据请求频次统计装置，包括：接收程序模块，用于接收第一设备发送的数据请求消息；所述数据请求消息中携带有第一设备的身份标识信息；建立程序模块，用于根据所述第一设备的身份标识信息为第一设备发送的数据请求消息建立消息队列；所述消息队列为一固定时长的时间窗口；统计程序模块，用于基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计。
第三方面，本发明实施例提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行第一方面任一实施方式所述的方法。
第四方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现第一方面任一实施方式所述的方法。
本发明实施例提供的数据请求频次统计方法、装置、电子设备及存储介质，通过基于时间窗口滑动算法对端口接收的第一设备发送的数据请求消息进行统计，由于采用时间窗口滑动统计的方式，相比于传统计数器算法的统计方案，统计更加精细，有利于提高数据请求频次的统计精度，在一定程度上可以避免临界节点存在的安全漏洞，从而能够提升服务器的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为基于计数器算法的统计方案存在安全漏洞的原理示意图；
图2为本发明数据请求频次统计方法一实施例的流程示意图；
图3为本发明数据请求频次统计方法又一实施例的流程示意图；
图4A本发明数据请求频次统计方法一实施例的原理示意图；
图4B为本发明中一实施例多任务多规则的数据请求频次统计并行处理原理示意图；
图5为本发明安全接入网络的装置一实施例程序模块架构示意图；
图6为本发明安全接入网络的装置另一实施例程序模块架构示意图；
图7为本发明安全接入网络的装置再一实施例程序模块架构示意图；
图8为本发明电子设备一个实施例的结构示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
图2为本发明数据请求频次统计方法一实施例的流程示意图，参看图2所示，本发明实施例提供的数据请求频次统计方法，适用于网络攻击检测场景中，可用于保障服务器的安全运行。需要说明的是，该方法可以以软件的形式固化于某一制造的产品中，当用户在使用该产品时，可以再现本申请的方法流程。
例如，本实施例提供的数据请求频次统计方法以应用软件的形式安装于计算机、手机等电子设备上，当用户在计算机或手机上触发该产品运行时，先前被固化于电子产品中的所述方法机械重演再现，以根据预设统计规则对端口的数据请求进行统计，进而根据预设检测规则对数据请求的安全性进行检测，以保障计算机或手机的运行安全性。
参看图2所示，本实施例数据请求频次统计方法，可包括步骤：
110、接收第一设备发送的数据请求消息；所述数据请求消息中携带有第一设备的身份标识信息。
本实施例中，所述身份标识信息用于确定第一设备的唯一性身份，其可以包括但不限于：IP(Internet Protocol Address)地址、MAC(Media Access Control)地址等。
120、根据所述第一设备的身份标识信息为第一设备发送的数据请求消息建立消息队列；所述消息队列为一固定时长的时间窗口。
如图4A所示，虚线框代表时间窗口，其长度表示该时间窗口统计的时间区间，每次滑动预定步长，步长是以时间为单位；步长可以根据需要设置，可以理解的是，步长越短，统计的就越精细。
130、基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计。
本实施例中，通过基于时间滑动窗口(Time sliding window，也称Time rollingwindow)算法对进入时间窗口中的数据请求消息进行频次统计，简单说就是将时间窗口划分成多个子窗口，每次移动固定步长，以对进入子窗口内数据请求频次进行统计；相比于传统的计数器算法，由于将时间窗口划分成多个子窗口，可以使得时间窗口的滚动变得较为平滑，统计结果也更加精准，避免了传统计数器算法在临界节点处重置统计而导致的统计漏洞，从而在一定程度上可以提高统计的精准性。
如图3所示，在一些实施例中，所述基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计(步骤130)包括：131、根据所述时间窗口的固定时长将所述时间窗口连续划分成多个时间子窗口；132、对进入每个时间子窗口中的数据请求频次根据预定滑动步长进行滑动统计；其中，每次滑动步长可以为一个子窗口；133、根据当前时间窗口滑动的时间戳，计算所述固定时间长度内所有子窗口统计的频次和，得到频次统计结果。
示例性地，在DDOS攻击检测中，外网向内网发起访问请求，为了检测该访问请求事件是否为DDOS攻击，需要对访问请求的频次进行统计，为了提高统计的精度，采用本实施例的方案，为监听到的请求消息建立消息队列，该消息队列为一具有固定时长的时间窗口，例如时间窗口的大小为1min；根据所述时间窗口的时长将该时间窗口划分成6个时间子窗口，每个子窗口的大小(时长)为10s，时间窗口的滑动步长为1个子窗口，对进入时间窗口中1min内的所有子窗口的请求频次根据预定10s的滑动步长进行滑动统计，根据当前时间窗口滑动的时间戳，统计1min内所有子窗口的频次，即，每滑动一次，统计的是更新后的当前时间戳加1min的时间区间内的请求频次，即使外网在0：59和1:00时分别发起100次请求，由于是滑动统计，这样，就可以避免传统计数器统计方案在临界节点重置存在的统计漏洞问题。
在一些实施例中，所述时间窗口中预设有第一检测规则，所述第一检测规则中包括：第一请求频次阈值；
在基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计之后，所述方法还包括：查询预设的第一检测规则；根据频次统计结果与第一检测规则中的第一请求频次判断阈值进行比较；若所述频次统计结果大于或等于所述第一请求频次阈值，则触发限制请求和/或告警。
仍以前述DDOS攻击检测场景为例，对本实施例进行说明如下：
如果预设的一个检测规则是访问请求阈值为200次/min，0:59s所在的最右侧子窗口统计(假设滑动是从右向左滑动)请求频次为100，当时间窗口第一次向右滑动一个预定滑动(一个子窗口)时，假如外网又在1:00min时间节点发起100次访问请求，则当前时间窗口滑动的位置时间戳向右起算的一个时间窗口的时间区域内，时间窗口内的总命中数量一共是200次，达到访问请求阈值，即触发访问限制或告警，避免了传统计数器统计方案在临界节点重置存在的统计漏洞问题，从而可以提高在基于统计类检测规则的网络攻击检测场景中检测的准确性。
作为一可选实施例，所述第一检测规则中还包括：网络攻击类型及所述网络攻击类型与第一请求频次阈值之间的判定关系；其中，所述判定关系例如可以为：大于或等于第一请求频次阈值，则为第一网络攻击类型。
所述若所述频次统计结果大于所述第一请求频次阈值之后，所述方法还包括：根据所述网络攻击类型与第一请求频次阈值之间的判定关系确定对应的网络攻击类型。
示例性地，第一网络攻击类型为DDOS攻击时，判定关系为在统计某一端口接收的请求频次为大于或等10000次/10min，则确定为DDOS攻击。
又比如，对于第一网络攻击类型为端口扫描攻击，判定关系为接收到同一源端IP地址TCP协议访问请求的端口数大于10个/10min，则确定该攻击类型为端口扫描攻击等。
所述网络攻击类型可以包括但不限于：DOS攻击、DDOS攻击、口令爆破攻击、端口扫描攻击、网段扫描攻击、目录扫描攻击及利用失效的身份认证和会话攻击中的一种或多种。
需要说明的是，本申请中的方案适用于所有基于统计类检测规则检测网络攻击的场景中，上述示例仅仅是为帮助理解本申请技术方案，不能理解为排他性限定。
进一步地，发明人在实现本发明创造的过程中还发现：在一些传统的时间窗口的数据回收方案大多是基于队列轮询删除的方式，例如轮询遍历，逐个队列处理；或者采用时间轮方式，例如，通过齿轮和间隔槽实现类似定时器的方式处理。
但是，上述处理方案一般是按时间先后顺序进行数据处理，需要多个数据池进行回收，轮训删除已完成统计任务，导致数据处理效率低。
对于有多个统计检测类规则并行统计的处理方案，上述方案不能有效解决。因此，如图4B所示，在一些实施例中，在有多组统计任务并行统计时，将已完成计算数据的最早时间，统一装放在时序回收容器中，通过比较各组任务的最早时间，删除其中较小的最早时间前的数据，在该实施例中，删除的数据即位于左侧的竖向虚线左侧的数据，表示多组统计任务都已经计算处理完的数据。这样可以实现多统计检测规则任务公用一份时序数据，提高统计及检测效率，无需多组规则队列轮询处理，同时能缩小计算数据集。
具体的，所述时间窗口中还预设有第二检测规则，第二检测规则包括：第二请求频次阈值。
所述方法还包括：接收第二设备发送的数据请求消息；所述数据请求消息中携带有第二设备的身份标识信息；根据所述第二设备的身份标识信息为第二设备发送的数据请求消息建立消息队列。
基于时间滑动窗口算法对进入所述时间窗口中的第一设备和第二设备分别发送的数据请求消息进行频次统计；根据得到的统计结果，分别基于第一检测规则和第二检测规则判定是否对第一设备和第二设备发送的数据请求进行限制。
分别记录在当前一个时间窗口内处理第一设备与第二设备发送的数据请求频次统计及判定任务对应的最早时间戳；比较多个统计及判定任务的最早时间戳的大小；将多个统计及判定任务已经处理完成的且位于较小的最早时间戳之前的数据删除。
仍参看图4B所示，以基于多统计检测规则进行统计及检测任务处理为例，对本实施例技术方案及技术效果进行说明如下：
其中，每一个任务的统计方案是基于前述的时间滑动窗口算法进行统计的，具体可以参看前述实施例，重点介绍本实施例中多任务统计检测的创新主旨所在。
假设当前开启多个任务的统计，并记录每个任务在时序数据池下的运行情况，例如，对同一入口登录访问请求次数进行统计，设定第一检测规则为10min内登录失败次数大于等于10次，则判定为暴力破解攻击；根据第一检测规则开启一个或多个任务。对目的IP内的多个端口的访问源进行统计，设定第二检测规则为同一访问源请求目的IP内的端口数大于等于100，则判定为端口扫描攻击；对一个或多个源向目的IP或域名发起TCP访问的次数进行统计，第三检测规则假设为10min内session或cookie的无效次数大于等于100次，则判定为利用失效的身份认证或会话攻击等。
第一设备和第二设备可以分别表示不同的源，可以基于上述三种检测规则分别对第一设备和第二设备的数据请求频次进行并行统计，并分别记录在当前一个时间窗口内处理第一设备与第二设备发送的数据请求频次统计及判定任务对应的最早时间戳，即图4B中所示时间窗口(虚线矩形框内最左侧位置)。
在记录得到每个任务的最早时间戳之后，比较多个统计及判定任务的最早时间戳的大小，将多个统计及判定任务已经处理完成的且位于较小的最早时间戳之前的数据删除，即将图中竖向虚线左侧的数据全部删除，当有多组任务进行统计检测时，可以共用数据池，并仅需一次比较，即可删除无用数据，在可以避免攻击端绕过传统计数器统计方案中请求限制漏洞的基础上，还可提高统计检测效率，并减少资源开销。
根据前面描述可知，相比于传统的计数器统计方案及多统计检测规则开启多任务处理方案，本实施例中，通过基于时间窗口滑动算法对端口接收的第一设备发送的数据请求消息进行统计，由于采用时间窗口滑动统计的方式，统计更加精细，有利于提高数据请求频次的统计精度，在一定程度上可以避免临界节点存在的安全漏洞，从而能够提升服务器的安全性。
进一步地，本方案中在基于多统计检测规则开启多任务处理时，可以多任务共用一份时序数据，解决了多统计检测任务并行处理时，资源开销大和效率低的问题。
实施例二
图5为本发明数据请求频次统计装置一实施例的结构示意图，参看图4B所示，本实施例的装置，接收程序模块210，用于接收第一设备发送的数据请求消息；所述数据请求消息中携带有第一设备的身份标识信息；建立程序模块220，用于根据所述第一设备的身份标识信息为第一设备发送的数据请求消息建立消息队列；所述消息队列为一固定时长的时间窗口；统计程序模块230，用于基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计。
本实施例的装置，可以用于执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
其中，如图6所示，所述统计程序模块230包括：划分程序单元231，用于根据所述时间窗口的固定时长将所述时间窗口连续划分成多个时间子窗口；
滑动统计程序单元232，对进入每个时间子窗口中的数据请求频次根据预定滑动步长进行滑动统计；
计算程序单元233，用于根据当前时间窗口滑动的时间戳，计算所述固定时间长度内所有子窗口统计的频次和，得到频次统计结果。
参看图7所示，在一些实施例中，所述时间窗口中预设有第一检测规则，所述第一检测规则中包括：第一请求频次阈值；所述装置还包括：查询程序模块240，用于在基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计之后，查询预设的第一检测规则；第一比较程序模块250，用于根据频次统计结果与第一检测规则中的第一请求频次判断阈值进行比较；处置程序模块260，用于若所述频次统计结果大于或等于所述第一请求频次阈值，则触发限制请求和/或告警。
在又一些实施例中，所述第一检测规则中还包括：网络攻击类型及所述网络攻击类型与第一请求频次阈值之间的判定关系；
所述处置程序模块，还用于在若所述频次统计结果大于所述第一请求频次阈值之后，根据所述网络攻击类型与第一请求频次阈值之间的判定关系确定对应的网络攻击类型。
在再一些实施例中，所述时间窗口中还预设有第二检测规则，第二检测规则包括：第二请求频次阈值；
所述接收程序模块210，还用于接收第二设备发送的数据请求消息；所述数据请求消息中携带有第二设备的身份标识信息；
所述建立程序模块220，还用于根据所述第二设备的身份标识信息为第二设备发送的数据请求消息建立消息队列；
所述统计程序模块230，还用于基于时间滑动窗口算法对进入所述时间窗口中的第一设备和第二设备分别发送的数据请求消息进行频次统计；
所述装置还包括：判定程序模块，用于根据得到的统计结果，分别基于第一检测规则和第二检测规则判定是否对第一设备和第二设备发送的数据请求进行限制；记录程序模块，用于分别记录在当前一个时间窗口内处理第一设备与第二设备发送的数据请求频次统计及判定任务对应的最早时间戳；第二比较程序模块，用于比较多个统计及判定任务的最早时间戳的大小；删除程序模块，用于将多个统计及判定任务已经处理完成的且位于较小的最早时间戳之前的数据删除。
在一些实施例中，所述网络攻击类型包括：DOS攻击、DDOS攻击、口令爆破攻击、端口扫描攻击、网段扫描攻击、目录扫描攻击及利用失效的身份认证和会话攻击中的一种或多种。
本实施例的装置，其实现原理和技术效果与前述相应方法实施例类似，未详细述及之处，可以相互参看，此处不再赘述。
图8为本发明电子设备一个实施例的结构示意图，基于前述实施例一提供的方法、实施例二提供的装置，本发明实施例还提供一种电子设备，如图8所示，可以实现本发明实施例一中任一所述的实施例的流程，如图8所示，上述电子设备可以包括：壳体41、处理器42、存储器43、电路板44和电源电路45，其中，电路板44安置在壳体41围成的空间内部，处理器42和存储器43设置在电路板44上；电源电路45，用于为上述电子设备的各个电路或器件供电；存储器43用于存储可执行程序代码；处理器42通过读取存储器43中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的数据请求频次统计方法。
处理器42对上述步骤的具体执行过程以及处理器42通过运行可执行程序代码来进一步执行的步骤，可以参见本发明实施例一的描述，在此不再赘述。
该电子设备以多种形式存在，包括但不限于：
(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。
(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。
(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。
(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子设备。
本发明的实施例还提供一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述实施例一任一所述的数据请求频次统计方法。
综上，相比于传统的计数器统计方案及多统计检测规则开启多任务处理方案，本发明实施例提供的数据请求频次统计方法及装置，有利于提高数据请求频次的统计精度，在一定程度上可以避免临界节点存在的安全漏洞，从而能够提升服务器的安全性；进一步地，在基于多统计检测规则开启多任务处理时，可以多任务共用一份时序数据，解决了多统计检测任务并行处理时，资源开销大和效率低的问题，节省了资源开销，且提高了统计及检测效率。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。
尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (14)

1.一种数据请求频次统计方法，其特征在于，包括步骤：
接收第一设备发送的数据请求消息；所述数据请求消息中携带有第一设备的身份标识信息；
根据所述第一设备的身份标识信息为第一设备发送的数据请求消息建立消息队列；所述消息队列为一固定时长的时间窗口；
基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计。
2.根据权利要求1所述的数据请求频次统计方法，其特征在于，所述基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计包括：
根据所述时间窗口的固定时长将所述时间窗口连续划分成多个时间子窗口；
对进入每个时间子窗口中的数据请求频次根据预定滑动步长进行滑动统计；
根据当前时间窗口滑动的时间戳，计算所述固定时间长度内所有子窗口统计的频次和，得到频次统计结果。
3.根据权利要求1所述的数据请求频次统计方法，其特征在于，所述时间窗口中预设有第一检测规则，所述第一检测规则中包括：第一请求频次阈值；
在基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计之后，所述方法还包括：查询预设的第一检测规则；
根据频次统计结果与第一检测规则中的第一请求频次判断阈值进行比较；
若所述频次统计结果大于或等于所述第一请求频次阈值，则触发限制请求和/或告警。
4.根据权利要求3所述的数据请求频次统计方法，其特征在于，所述第一检测规则中还包括：网络攻击类型及所述网络攻击类型与第一请求频次阈值之间的判定关系；
所述若所述频次统计结果大于所述第一请求频次阈值之后，所述方法还包括：根据所述网络攻击类型与第一请求频次阈值之间的判定关系确定对应的网络攻击类型。
5.根据权利要求3所述的数据请求频次统计方法，其特征在于，所述时间窗口中还预设有第二检测规则，第二检测规则包括：第二请求频次阈值；
所述方法还包括：接收第二设备发送的数据请求消息；所述数据请求消息中携带有第二设备的身份标识信息；
根据所述第二设备的身份标识信息为第二设备发送的数据请求消息建立消息队列；
基于时间滑动窗口算法对进入所述时间窗口中的第一设备和第二设备分别发送的数据请求消息进行频次统计；
根据得到的统计结果，分别基于第一检测规则和第二检测规则判定是否对第一设备和第二设备发送的数据请求进行限制；
分别记录在当前一个时间窗口内处理第一设备与第二设备发送的数据请求频次统计及判定任务对应的最早时间戳；
比较多个统计及判定任务的最早时间戳的大小；
将多个统计及判定任务已经处理完成的且位于较小的最早时间戳之前的数据删除。
6.根据权利要求4所述的数据请求频次统计方法，其特征在于，所述网络攻击类型包括：DOS攻击、DDOS攻击、口令爆破攻击、端口扫描攻击、网段扫描攻击、目录扫描攻击及利用失效的身份认证和会话攻击中的一种或多种。
7.一种数据请求频次统计装置，其特征在于，包括：
接收程序模块，用于接收第一设备发送的数据请求消息；所述数据请求消息中携带有第一设备的身份标识信息；
建立程序模块，用于根据所述第一设备的身份标识信息为第一设备发送的数据请求消息建立消息队列；所述消息队列为一固定时长的时间窗口；
统计程序模块，用于基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计。
8.根据权利要求7所述的数据请求频次统计装置，其特征在于，所述统计程序模块包括：划分程序单元，用于根据所述时间窗口的固定时长将所述时间窗口连续划分成多个时间子窗口；
滑动统计程序单元，对进入每个时间子窗口中的数据请求频次根据预定滑动步长进行滑动统计；
计算程序单元，用于根据当前时间窗口滑动的时间戳，计算所述固定时间长度内所有子窗口统计的频次和，得到频次统计结果。
9.根据权利要求7所述的数据请求频次统计装置，其特征在于，所述时间窗口中预设有第一检测规则，所述第一检测规则中包括：第一请求频次阈值；
所述装置还包括：查询程序模块，用于在基于时间滑动窗口算法对进入所述时间窗口中的数据请求消息进行频次统计之后，查询预设的第一检测规则；
第一比较程序模块，用于根据频次统计结果与第一检测规则中的第一请求频次判断阈值进行比较；
处置程序模块，用于若所述频次统计结果大于或等于所述第一请求频次阈值，则触发限制请求和/或告警。
10.根据权利要求9所述的数据请求频次统计装置，其特征在于，所述第一检测规则中还包括：网络攻击类型及所述网络攻击类型与第一请求频次阈值之间的判定关系；
所述处置程序模块，还用于在若所述频次统计结果大于所述第一请求频次阈值之后，根据所述网络攻击类型与第一请求频次阈值之间的判定关系确定对应的网络攻击类型。
11.根据权利要求9或10所述的数据请求频次统计装置，其特征在于，所述时间窗口中还预设有第二检测规则，第二检测规则包括：第二请求频次阈值；
所述接收程序模块，还用于接收第二设备发送的数据请求消息；所述数据请求消息中携带有第二设备的身份标识信息；
所述建立程序模块，还用于根据所述第二设备的身份标识信息为第二设备发送的数据请求消息建立消息队列；
所述统计程序模块，还用于基于时间滑动窗口算法对进入所述时间窗口中的第一设备和第二设备分别发送的数据请求消息进行频次统计；
所述装置还包括：判定程序模块，用于根据得到的统计结果，分别基于第一检测规则和第二检测规则判定是否对第一设备和第二设备发送的数据请求进行限制；
记录程序模块，用于分别记录在当前一个时间窗口内处理第一设备与第二设备发送的数据请求频次统计及判定任务对应的最早时间戳；
第二比较程序模块，用于比较多个统计及判定任务的最早时间戳的大小；
删除程序模块，用于将多个统计及判定任务已经处理完成的且位于较小的最早时间戳之前的数据删除。
12.根据权利要求10所述的数据请求频次统计装置，其特征在于，所述网络攻击类型包括：DOS攻击、DDOS攻击、口令爆破攻击、端口扫描攻击、网段扫描攻击、目录扫描攻击及利用失效的身份认证和会话攻击中的一种或多种。
13.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1至6任一所述的方法。
14.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述权利要求1至6任一所述的方法。
CN202111357815.1A 2021-11-16 2021-11-16 一种数据请求频次统计方法、装置、电子设备及存储介质 Pending CN114124507A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111357815.1A CN114124507A (zh) 2021-11-16 2021-11-16 一种数据请求频次统计方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111357815.1A CN114124507A (zh) 2021-11-16 2021-11-16 一种数据请求频次统计方法、装置、电子设备及存储介质

Publications (1)

Publication Number Publication Date
CN114124507A true CN114124507A (zh) 2022-03-01

Family

ID=80396700

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111357815.1A Pending CN114124507A (zh) 2021-11-16 2021-11-16 一种数据请求频次统计方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN114124507A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115022055A (zh) * 2022-06-09 2022-09-06 武汉思普崚技术有限公司 一种基于动态时间窗口的网络攻击实时检测方法及装置
CN115150159B (zh) * 2022-06-30 2023-11-10 深信服科技股份有限公司 一种流量检测方法、装置、设备及可读存储介质
CN117061324A (zh) * 2023-10-11 2023-11-14 佳瑛科技有限公司 一种业务数据处理方法以及分布式系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040057177A (ko) * 2002-12-24 2004-07-02 한국전자통신연구원 슬라이딩 윈도우 캐쉬 구조와 이를 이용한 네트워크공격상황의 데이터 기록 및 분석 방법
CN107592284A (zh) * 2016-07-06 2018-01-16 华为技术有限公司 防DoS/DDoS攻击的装置和方法
CN109257390A (zh) * 2018-11-27 2019-01-22 杭州安恒信息技术股份有限公司 Cc攻击的检测方法、装置及电子设备
CN111352967A (zh) * 2020-02-27 2020-06-30 携程旅游网络技术（上海）有限公司 滑动窗口算法的频次控制方法、系统、设备及介质
CN112751869A (zh) * 2020-12-31 2021-05-04 中国人民解放军战略支援部队航天工程大学 基于滑动窗口群的网络异常流量检测方法及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040057177A (ko) * 2002-12-24 2004-07-02 한국전자통신연구원 슬라이딩 윈도우 캐쉬 구조와 이를 이용한 네트워크공격상황의 데이터 기록 및 분석 방법
CN107592284A (zh) * 2016-07-06 2018-01-16 华为技术有限公司 防DoS/DDoS攻击的装置和方法
CN109257390A (zh) * 2018-11-27 2019-01-22 杭州安恒信息技术股份有限公司 Cc攻击的检测方法、装置及电子设备
CN111352967A (zh) * 2020-02-27 2020-06-30 携程旅游网络技术（上海）有限公司 滑动窗口算法的频次控制方法、系统、设备及介质
CN112751869A (zh) * 2020-12-31 2021-05-04 中国人民解放军战略支援部队航天工程大学 基于滑动窗口群的网络异常流量检测方法及装置

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115022055A (zh) * 2022-06-09 2022-09-06 武汉思普崚技术有限公司 一种基于动态时间窗口的网络攻击实时检测方法及装置
CN115022055B (zh) * 2022-06-09 2024-04-19 武汉思普崚技术有限公司 一种基于动态时间窗口的网络攻击实时检测方法及装置
CN115150159B (zh) * 2022-06-30 2023-11-10 深信服科技股份有限公司 一种流量检测方法、装置、设备及可读存储介质
CN117061324A (zh) * 2023-10-11 2023-11-14 佳瑛科技有限公司 一种业务数据处理方法以及分布式系统
CN117061324B (zh) * 2023-10-11 2023-12-15 佳瑛科技有限公司 一种业务数据处理方法以及分布式系统

Similar Documents

Publication Publication Date Title
CN114124507A (zh) 一种数据请求频次统计方法、装置、电子设备及存储介质
EP3544250B1 (en) Method and device for detecting dos/ddos attack, server, and storage medium
US11671402B2 (en) Service resource scheduling method and apparatus
CN111030936B (zh) 网络访问的限流控制方法、装置及计算机可读存储介质
CN110868377B (zh) 一种网络攻击图的生成方法、装置及电子设备
CN111507597A (zh) 一种网络信息安全风险评估模型和方法
CN113973012B (zh) 一种威胁检测方法、装置、电子设备及可读存储介质
CN111314328A (zh) 网络攻击防护方法、装置、存储介质及电子设备
CN106790299B (zh) 一种在无线接入点ap上应用的无线攻击防御方法和装置
CN110868380B (zh) 网络流量安全监测方法、装置、电子设备及存储介质
CN110619022B (zh) 基于区块链网络的节点检测方法、装置、设备及存储介质
CN109547427B (zh) 黑名单用户识别方法、装置、计算机设备及存储介质
CN111030974A (zh) 一种apt攻击事件检测方法、装置及存储介质
CN106933323B (zh) 一种优化应用程序耗电的方法、装置及电子设备
CN111030977A (zh) 一种攻击事件追踪方法、装置及存储介质
CN115296904B (zh) 域名反射攻击检测方法及装置、电子设备、存储介质
CN115865739A (zh) 一种网络资产探测方法、装置、电子设备及存储介质
CN110858132A (zh) 一种打印设备的配置安全检测方法及装置
CN114285621A (zh) 一种网络威胁监测方法、装置及电子设备
CN112202821A (zh) 一种cc攻击的识别防御系统及方法
CN109302422B (zh) 一种登录移动应用的方法、移动终端、电子设备、系统及存储介质
AT&T behavior.dvi
CN114281587A (zh) 一种终端设备资产异常检测方法、装置、电子设备及存储介质
CN108881151B (zh) 一种无关节点确定方法、装置及电子设备
CN112130932A (zh) 一种单实例运行的方法、装置及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination