CN116112245A - 攻击检测方法、装置、电子设备及存储介质 - Google Patents

Abstract

本公开提供了一种攻击检测方法、装置、电子设备及存储介质，涉及信息流、网络安全等技术领域。具体实现方案为：获取指定活动的访问请求；检测所述访问请求的用户代理中是否携带预先挖掘的所述指定活动的特有属性信息；所述指定活动的特有属性信息为所述指定活动的所有正常访问请求中共同携带的属性信息；若未携带，确定所述访问请求为攻击。本公开的技术，能够有效地提高指定活动的攻击检测的准确性和检测效率。

Description

攻击检测方法、装置、电子设备及存储介质

技术领域

本公开涉及计算机技术领域，尤其涉及信息流、网络安全等技术领域，尤其涉及一种攻击检测方法、装置、电子设备及存储介质。

背景技术

脱端攻击是黑产参加营销活动的一种重要方式。

黑产通过在访问请求中伪造参数，对活动接口发起攻击，实现脱端攻击。浏览器的用户代理(User Agent；UA)是访问请求中的重要参数之一。浏览器的UA中可以包含很多关键信息，比如操作系统的版本信息、渲染引擎的版本信息以及浏览器的版本信息等等。

发明内容

本公开提供了一种攻击检测方法、装置、电子设备及存储介质。

根据本公开的一方面，提供了一种攻击检测方法××的方法，包括：

获取指定活动的访问请求；

检测所述访问请求的用户代理中是否携带预先挖掘的所述指定活动的特有属性信息；所述指定活动的特有属性信息为所述指定活动的所有正常访问请求中共同携带的属性信息；

若未携带，确定所述访问请求为攻击。

根据本公开的另一方面，提供了一种攻击检测装置，包括：

第一获取模块，用于获取指定活动的访问请求；

检测模块，用于检测并确定所述访问请求的用户代理中未携带预先挖掘的所述指定活动的特有属性信息；所述指定活动的特有属性信息为所述指定活动的所有正常访问请求中共同携带的属性信息；

确定模块，用于确定所述访问请求为攻击。

根据本公开的再一方面，提供了一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如上所述的方面和任一可能的实现方式的方法。

根据本公开的又一方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行如上所述的方面和任一可能的实现方式的方法。

根据本公开的再另一方面，提供了一种计算机程序产品，包括计算机程序，所述计算机程序在被处理器执行时实现如上所述的方面和任一可能的实现方式的方法。

根据本公开的技术，能够有效地提高指定活动的攻击检测的准确性和检测效率。应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图用于更好地理解本方案，不构成对本公开的限定。其中：

图1是根据本公开第一实施例的示意图；

图2是根据本公开第二实施例的示意图；

图3是根据本公开第三实施例的示意图；

图4是根据本公开第四实施例的示意图；

图5是根据本公开第五实施例的示意图；

图6是用来实现本公开实施例的方法的电子设备的框图。

具体实施方式

以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

显然，所描述的实施例是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的全部其他实施例，都属于本公开保护的范围。

需要说明的是，本公开实施例中所涉及的终端设备可以包括但不限于手机、个人数字助理(Personal Digital Assistant，PDA)、无线手持设备、平板电脑(TabletComputer)等智能设备；显示设备可以包括但不限于个人电脑、电视等具有显示功能的设备。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

通常情况下，可以通过对访问请求中的UA进行合法性验证，以检测该访问请求是正常访问，还是黑产的攻击。现有技术中，可以基于历史访问请求，预先设置合法性验证的规则。但是，合法性验证规则泛化能力弱，不能覆盖黑产的所有访问请求，导致现有的攻击检测方式的检测效率低。

图1是根据本公开第一实施例的示意图；如图1所示，本实施例提供一种攻击检测方法，具体可以包括如下步骤：

S101、获取指定活动的访问请求；

S102、检测该访问请求的UA中是否携带预先挖掘的该指定活动的特有属性信息；

S103、若未携带，确定该访问请求为攻击。

本实施例的攻击检测方法，可以应用在服务器侧，通过部署一个攻击检测装置，实现对指定活动的访问请求进行攻击检测，以确定指定活动的访问请求是否为攻击。

也就是说，本实施例的攻击检测方法，不是所有的访问请求通用的，而是适用于一个指定活动的访问请求。对于多个不同的活动，需要部署每个活动的攻击检测方法，分别对相应活动的访问请求进行攻击检测。

本实施例中，可以预先挖掘UA中指定活动的特有属性信息，并基于UA中指定活动的特有属性信息，部署该指定活动的攻击检测方法。指定活动的特有属性信息，可以认为是预先挖掘的指定活动的所有正常访问请求中共同携带的属性信息。具体地，获取该指定活动入口的访问请求，该指定活动入口的访问请求必然是访问该指定活动的访问请求。然后，检测该访问请求的UA中是否携带预先挖掘的指定活动的特有属性信息，若未携带，则可以确定该访问请求不是该指定活动的正常访问请求，而是一个攻击。

本实施例的攻击检测方法，通过检测指定活动的访问请求的UA中是否携带指定活动的特有属性信息，若未携带时，可以确定该访问请求为攻击，由于该指定活动的特有属性信息为指定活动的所有正常访问请求中共同携带的属性信息，所以，本实施例的攻击检测方法，能够对该指定活动的所有访问请求进行准确、有效地检测，有效地提高指定活动的访问请求的攻击检测的准确性和检测效率。

图2是根据本公开第二实施例的示意图；如图2所示，本实施例提供一种攻击检测方法，具体可以包括如下步骤：

S201、获取指定活动的访问请求；

S202、检测该访问请求的UA中是否携带预先挖掘的该指定活动的特有属性信息；若未携带，执行步骤S203；若携带，执行步骤S204；

该指定活动的特有属性信息为指定活动的所有正常访问请求中共同携带的属性信息。例如，在本公开中，指定活动的特有属性信息可以为一个字符串，该字符串能够标识访问请求为指定活动的正常访问请求。

S203、确定该访问请求为攻击；执行步骤S205；

S204、确定该访问请求为正常访问请求，放行即可，结束。

S205、对该访问请求进行拦截，结束。

本实施例的攻击检测方法，在上述图1所示实施例的技术方案的基础上，在检测到该访问请求为攻击时，对该访问请求进行拦截，能够及时阻止恶意攻击，避免风险发生，有效地降低了指定活动的风险危机。

而且，本实施例中，对于访问请求的UA中携带预先挖掘的该指定活动的特有属性信息时，认为该访问请求为正常访问请求，放行即可，有效地保证正常访问请求正常进行。

图3是根据本公开第三实施例的示意图；如图3所示，本实施例主要介绍指定活动的特有属性信息的挖掘方案，具体可以包括如下步骤：

S301、获取指定活动的预设时间长度内的所有访问请求；

具体地，可以获取该指定活动开始后预设时间长度内的所有访问请求。其中，该预设时间长度的选取，可以根据预设时间长度内的访问请求的数量来确定。例如，指定活动开始后，随着时间的累积，访问请求的数量逐渐增多，在某个指定时刻，访问请求的数量达到预设数量阈值，此时可以取预设时间长度为活动开始时刻到指定时刻之间的时间长度。这样，可以基于指定活动刚开始后的预设时间长度内的所有访问请求，挖掘指定活动的特有属性信息，进而基于该指定活动的特征属性信息，在服务器侧部署该指定活动的攻击检测方案，能够及时、有效地对该指定活动的访问请求进行攻击检测。

可选地，也可以取指定活动开始后任意预设时间长度内的所有访问请求，在此不做限定。

S302、将所有访问请求，按照UA进行归类，得到多个UA的访问请求组，各UA的访问请求组中包括至少一条访问请求；

实际应用中，每一个访问请求中都携带有UA，不同的访问请求的UA可以相同，也可以不同。该步骤中，将获取到的所有访问请求，按照UA归类，得到多个UA的访问请求组。各UA的访问请求组中可以包括至少一条访问请求。

S303、基于多个UA中各UA对应的至少一条访问请求，挖掘指定活动的特有属性信息。

具体地，通过对多个UA中每个UA的至少一条访问请求进行分析，挖掘指定活动的属性信息。

例如，该步骤S303具体实现时，可以包括如下步骤：

(1)基于多个UA中各UA对应的至少一条访问请求以及预设的打分策略，获取各UA的分值；

对于每个UA而言，根据该UA的访问请求组中的至少一条访问请求，以及预设的打分策略，实现对该UA进行打分，并得到该UA的分值。

例如，该步骤(1)具体实现时，可以包括如下步骤：

(a)对于多个UA中各UA，获取UA的各访问请求的基本属性信息；该基本属性信息中包括至少一类属性信息；

具体地，访问请求中包括的基本属性信息中可以包括设备属性信息、账号属性信息、网络属性信息、位置属性信息、业务行为属性信息以及黑白名单属性信息中的至少一类属性信息。例如，各访问请求受发起端用户以及发起端设备等不同的影响，导致不同的访问请求的基本属性信息中包括的属性信息的类别可能不同。例如，有些访问请求中，用户未授权账号信息的获取，此时相应的访问请求的基本属性信息中不包括账号属性信息，而可以包括设备属性信息、网络属性信息、位置属性信息、业务行为属性信息以及黑白名单属性信息。还有些访问请求中，对应的账户为新账户，由于历史访问数据较少，无法识别该账户的黑白名单属性信息以及业务行为属性信息，此时相应的访问请求的基本属性信息中不包括黑白名单属性信息和业务行为属性信息，可以包括设备属性信息、账号属性信息、网络属性信息、以及位置属性信息。也就是说，实际应用中，可以根据各访问请求的具体情况，获取能够获取到的该访问请求的所有基本属性信息即可。同一UA对应的不同访问请求的基本属性信息中包括的属性信息的类别可以相同，也可以不同，不影响后续该UA的分值的获取。

或者，实际应用中，还可以基于需求或者经验，预配置各访问请求的基本属性信息包括的属性信息的类别。例如，可以预配置UA的各访问请求的基本属性信息中可以包括设备属性信息、账号属性信息、网络属性信息、位置属性信息、业务行为属性信息以及黑白名单属性信息共6个属性信息。而有些场景下，为避免有些属性信息获取不到，预配置UA的各访问请求的基本属性信息中包括设备属性信息、网络属性信息、位置属性信息、以及业务行为属性信息共4个属性信息。还有些场景下，可以在基本属性信息中仅选择一些对UA分值计算影响较大的属性信息的类别，即预设权重较大的属性信息的类别。例如，在一个实施例中，账号属性信息、网络属性信息、以及业务行为属性信息的预设权重，大于其他类别的属性信息的权重。此时，可以预配置UA的各访问请求的基本属性信息中仅包括账号属性信息、网络属性信息、以及业务行为属性信息共3个属性信息。当然，实际应用中，还可以根据其他需求，预配置UA的各访问请求的基本属性信息中包括其他类别组合的属性信息，只要保证基本属性信息中包括至少一类属性信息即可，在此不做具体限定。

本公开的实施例中，基本属性信息中包括的属性信息的类别可以非常丰富，能够有效地提高UA的分值的准确性。当然，实际应用中，访问请求中包括的属性信息类别越多，获取的各UA的分值越准确。

其中，设备属性信息可以包括发出访问请求的设备的品牌、操作系统版本等信息。

账号属性信息可以包括发出访问请求的账号的注册时间、账号的类型、昵称等信息，这些信息，可以在账号对应的用户授权的前提下，可以获取到。

网络属性信息可以包括访问请求对应的IP类型，如IP的类型可以包括代理IP或者个人IP。其中，IP类型为代理IP的访问请求为攻击的概率，大于IP类型为个人IP的访问请求为攻击的概率。

位置属性信息可以包括访问请求的IP的归属地、以及访问请求对应的用户的手机号码的归属地等信息。

业务行为属性信息可以包括访问请求对应的用户执行登录或者参加指定活动所属平台的其他活动等业务行为时，所表现出的属性信息；而且，基于用户的业务行为，可以将用户分为正常用户、风险用户以及薅羊毛属性的用户等各种类型。

黑白名单属性信息可以标识访问请求的账户属于黑名单或者白名单，该标识结果时基于该账户的所有历史访问请求设定的。

(b)基于UA的各访问请求的各属性信息、以及预设的打分策略，获取UA的各属性信息对应的分值；

对于任一UA的任一属性信息，可以先获取到该UA的访问请求组中的至少一条访问请求中各访问请求中的该属性信息，对应得到该UA对应的至少一条属性信息。然后根据该UA对应的至少一条属性信息，按照预设的打分策略，获取该UA的该属性信息对应的分值。

例如，按照预设的打分策略，某个UA的业务行为属性信息的分值，可以等于该UA的指定活动下的至少一条访问请求中、风险用户占比*100。该分值越高，表示该UA的风险越大。

例如，按照预设的打分策略，某个UA的位置属性信息的分值，可以等于该UA的指定活动下的至少一条访问请求中、手机号归属地与IP归属地不一致性占比*100。该分值越高，表示该UA的风险越大。

例如，按照预设的打分策略，某个UA的网络属性信息的分值，可以等于该UA的指定活动下的至少一条访问请求中、代理IP的占比*100。该分值越高，表示该UA的风险越大。

例如，按照预设的打分策略，某个UA的账号属性信息的分值，可以等于该UA的指定活动下的至少一条访问请求中、账号注册时间不在预设时间段内的占比*100。该分值越高，表示该UA的风险越大。

例如，按照预设的打分策略，某个UA的黑白名单属性信息的分值，可以等于该UA的指定活动下的至少一条访问请求中、黑名单属性的账户占比*100。该分值越高，表示该UA的风险越大。

上述仅为几种属性信息的打分策略的举例，实际用用中，还可以根据实际情况，配置各种属性信息的其他的打分策略，在此不再一一举例赘述。

另外，上述实施例中，都是以属性信息的分值越高，对应UA的风险越大为例，进行说明。实际应用中，也可以设置相反的策略，以属性信息的分值越低，对应UA的风险越大，其实现原理相似。例如，对于某个UA的黑白名单属性信息的分值，可以等于该UA的指定活动下的至少一条访问请求中、白名单属性的账户占比*100。该分值越低，表示该UA的风险越大。对于其他属性信息的打分策略，原理相似，在此不再举例赘述。

且各属性信息的打分策略的规则，必须一致。例如，都是分值越高，对应UA风险越大。或者都是分值越低，对应UA风险越大。

对于每个UA的每一个属性信息，都可以按照上述方式，得到相应的分值。

(c)基于UA的各属性信息对应的分值以及预设的各属性信息的预设权重，进行加权求和，得到对应的UA的分值。

在同一个UA的至少一条访问请求中包括多个属性信息时，可以将上述得到的各属性信息的分值与预设权重相乘后，累加在一起，得到对应的该UA的分值。

例如，某个UA的至少一条访问请求中，同时包括设备属性信息、账号属性信息、网络属性信息、位置属性信息、业务行为属性信息以及黑白名单属性信息共6个属性信息。

按照上述方式，可以计算得到6个属性信息对应的分值分别为S1、S2、S3、S4、S5和S6；且6个属性信息的预设权重分别对应位W1、W2、W3、W4、W5和W6。对应地，UA的分值可以等于S1*W1+S2*W2+S1*W1+S3*W3+S4*W4+S5*W5+S6*W6。

采用上述方式，可以非常准确、高效地获取到各UA的分值。

(2)基于各UA的分值以及预设分数阈值，从多个UA中获取多个目标UA；多个目标UA的置信度大于多个UA中目标UA之外的其他UA的置信度；

本实施例中，基于各属性信息的打分策略的规则不同，对应得到UA的分值表征的置信度的高低不同。若打分策略的规则中，限定的分值越高，对应UA风险越大，则对应UA的置信度越低。若打分策略的规则中，限定的分值越高，对应UA风险越小，则对应UA的置信度越高。也就是说，UA的置信度是与UA的风险级别一致的，而与UA的分值一致或者反向。

例如，若UA的分值越高，风险越高，置信度反而越低，可以根据各UA的分值，以及预设的分数阈值，获取分值小于预设的分数阈值的多个目标UA。多个目标UA的置信度大于分值大于预设分数阈值的UA的置信度。

若UA的分值越低，风险越高，置信度也越低，可以根据各UA的分值，以及预设的分数阈值，获取分值大于预设的分数阈值的多个目标UA。此时，多个目标UA的置信度大于、分值小于预设分数阈值的UA的置信度。

无论采用哪种方式，都能够从多个UA中准确地获取到多个目标UA。

(3)基于多个目标UA，挖掘指定活动的特有属性信息。

按照上述多个目标UA的获取方式，可以得知多个目标UA为指定活动的预设时间长度的所有访问请求中，置信度最高的多个UA，对应的风险反而最低，此时可以认为多个目标UA都是正常访问请求的UA。所以，本实施例中，可以从多个目标UA中挖掘指定活动的特有属性信息。

该步骤(3)在具体实现时，可以先对多个目标UA分别进行简化处理，得到对应的多个字符串。例如，对于各目标UA，去除该目标UA中的数字、符号、操作系统的版本标识、以及中央处理器(Central Processing Unit；CPU))的类型中至少一个，得到对应的字符串。

例如，对应某个UA：mozilla/5.0(linux；android 10；wlz-an00build/huaweiwlz-an00；wv)applewebkit/537.36(khtml,like gecko)version/4.0chrome/97.0.4692.98mobile safari/537.36t7/13.19swan/2.57.0swan-baiduboxapp/13.19.5.10baiduboxapp/13.19.5.10(baidu；p1 10)，其中，mozilla/5.0(linux；android10；wlz-an00 build/huaweiwlz-an00；wv)表示操作系统的版本信息；applewebkit/537.36(khtml,like gecko)version/4.0表示表示引擎的版本信息；chrome/97.0.4692.98mobilesafari/537.36t7/13.19swan/2.57.0swan-baiduboxapp/13.19.5.10baiduboxapp/13.19.5.10(baidu；p110)表示浏览器的版本信息。

按照本实施例的简化处理，得到的相应字符串可以表示为：mozilla applewebkitversion chrome mobile safari swan swan-baiduboxapp baiduboxapp。

对于每一个目标UA，可以按照上述简化处理方式，准确地得到相应的字符串。对于多个UA，相应可以得到多个字符串。

然后，基于多个字符串，挖掘指定活动的特有属性信息。例如，可以基于史密斯-沃特曼(Smith-Waterman)算法，从多个字符串中，挖掘指定活动的特有属性信息。SmithWaterman算法可以执行局部序列比对，该算法不是查看整个序列，而是比较所有可能长度的片段并优化相似性度量。基于该方式，可以检测简化处理后的多个目标UA对应的多个字符串之间的相似性，从而获取多个目标UA的共性，即携带的指定活动的特有属性信息。采用该Smith-Waterman算法，能够准确、高效地从多个字符串中挖掘指定活动的特有属性信息。

由于访问相同的指定活动的UA，必然共同携带有该指定活动的特有属性信息。例如，上述字符串中携带的“swan-baiduboxapp”可以为一个指定活动的特有属性信息。

上述简化处理方式，可以去除各目标UA中、与指定活动的特有属性信息无关的信息，去除干扰。与直接从多个目标UA中挖掘指定活动的特有属性信息相比，基于简化处理后的多个字符串，挖掘指定活动的特有属性信息，能够有效地缩短挖掘速度，进一步提高挖掘的指定活动的特有属性信息的准确性和挖掘效率。

本实施例的上述指定活动的特有属性信息的挖掘过程可以为一个线下的挖掘过程。对于一个指定活动，可以仅执行一次该指定活动的特有属性信息的挖掘过程。然后可以基于该指定活动的特有属性信息，在线上部署该指定活动的访问请求的攻击检测方法，如上述图1和图2所示实施例，能够实现对部署后的所有访问请求进行及时、准确、有效地检测。

本实施例的攻击检测方法，通过采用上述实施例的方式，能够准确、高效地挖掘出指定活动的特有属性信息，进而可以有效地提高该指定活动的攻击检测方案的准确性和检测效率。

本公开的攻击检测方法，是一种基于访问请求的UA中的特定属性的识别方式，相较于现有技术，只局限UA中的浏览器系统参数的校验，能够有效地识别指定活动固有的浏览器UA中特定属性，进而能够有效地提升恶意攻击的伪造UA的识别能力。

图4是根据本公开第四实施例的示意图；如图4所示，本实施例提供一种攻击检测装置400，包括：

第一获取模块401，用于获取指定活动的访问请求；

检测模块402，用于检测所述访问请求的用户代理中是否携带预先挖掘的所述指定活动的特有属性信息；所述指定活动的特有属性信息为所述指定活动的所有正常访问请求中共同携带的属性信息；

确定模块403，用于若未携带，确定所述访问请求为攻击。

本实施例的攻击检测装置400，通过采用上述模块实现攻击检测的实现原理以及技术效果，与上述相关方法实施例相同，详细可以参考上述相关法方法实施例的记载，在此不再赘述。

图5是根据本公开第五实施例的示意图；如图5所示，本实施例提供一种攻击检测装置500，包括：上述图4所示的同名同功能模块：第一获取模块501、检测模块502以及确定模块503。

进一步地，在本实施例的攻击检测装置500中，还包括：

拦截模块504，用于对所述访问请求进行拦截。

在本公开的一个实施例中，攻击检测装置500还包括：

第二获取模块505，用于获取所述指定活动的预设时间长度内的所有访问请求；

归类模块506，用于将所述所有访问请求，按照用户代理进行归类，得到多个用户代理的访问请求组，各所述用户代理的访问请求组中包括至少一条访问请求；

挖掘模块507，用于基于所述多个用户代理中各所述用户代理对应的所述少一条访问请求，挖掘所述指定活动的特有属性信息。

进一步地，在本公开的一个实施例中，挖掘模块507，用于：

基于所述多个用户代理中各所述用户代理对应的所述至少一条访问请求以及预设的打分策略，获取各所述用户代理的分值；

基于各所述用户代理的分值以及预设分数阈值，从所述多个用户代理中获取多个目标用户代理；所述多个目标用户代理的置信度大于所述多个用户代理中所述目标用户代理之外的其他用户代理的置信度；

基于所述多个目标用户代理，挖掘所述指定活动的特有属性信息。

进一步地，在本公开的一个实施例中，挖掘模块507，用于：

对于所述多个用户代理中各所述用户代理，获取所述用户代理的各所述访问请求的基本属性信息；所述基本属性信息中包括至少一类属性信息；

基于所述用户代理的各所述访问请求的各所述属性信息、以及预设的打分策略，获取所述用户代理的各所述属性信息对应的分值；

基于所述用户代理的各所述属性信息对应的分值以及预设的各所述属性信息的预设权重，进行加权求和，得到对应的所述用户代理的分值。

进一步地，在本公开的一个实施例中，基本属性信息中包括设备属性信息、账号属性信息、网络属性信息、位置属性信息、业务行为属性信息以及黑白名单属性信息中的至少一类属性信息。

进一步地，在本公开的一个实施例中，挖掘模块507，用于：

对所述多个目标用户代理分别进行简化处理，得到对应的多个字符串；

基于所述多个字符串，挖掘所述指定活动的特有属性信息。

进一步地，在本公开的一个实施例中，挖掘模块507，用于：

对于各所述目标用户代理，去除所述目标用户代理中的数字、符号、操作系统的版本标识、以及中央处理器的类型中至少一个，得到对应的所述字符串。

进一步地，在本公开的一个实施例中，挖掘模块507，用于：

基于史密斯-沃特曼算法，从所述多个字符串中，挖掘所述指定活动的特有属性信息。

本实施例的攻击检测装置500，通过采用上述模块实现攻击检测的实现原理以及技术效果，与上述相关方法实施例相同，详细可以参考上述相关法方法实施例的记载，在此不再赘述。

本公开的技术方案中，所涉及的用户个人信息的获取，存储和应用等，均符合相关法律法规的规定，且不违背公序良俗。

根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。

图6示出了可以用来实施本公开的实施例的示例电子设备600的示意性框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。

如图6所示，设备600包括计算单元601，其可以根据存储在只读存储器(ROM)602中的计算机程序或者从存储单元608加载到随机访问存储器(RAM)603中的计算机程序，来执行各种适当的动作和处理。在RAM 603中，还可存储设备600操作所需的各种程序和数据。计算单元601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

设备600中的多个部件连接至I/O接口605，包括：输入单元606，例如键盘、鼠标等；输出单元607，例如各种类型的显示器、扬声器等；存储单元608，例如磁盘、光盘等；以及通信单元609，例如网卡、调制解调器、无线通信收发机等。通信单元609允许设备600通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

计算单元601可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元601的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元601执行上文所描述的各个方法和处理，例如本公开的上述方法。例如，在一些实施例中，本公开的上述方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元608。在一些实施例中，计算机程序的部分或者全部可以经由ROM 602和/或通信单元609而被载入和/或安装到设备600上。当计算机程序加载到RAM 603并由计算单元601执行时，可以执行上文描述的本公开的上述方法的一个或多个步骤。备选地，在其他实施例中，计算单元601可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行本公开的上述方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、复杂可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，也可以为分布式系统的服务器，或者是结合了区块链的服务器。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (21)

1.一种攻击检测方法，包括：

获取指定活动的访问请求；

检测所述访问请求的用户代理中是否携带预先挖掘的所述指定活动的特有属性信息；所述指定活动的特有属性信息为所述指定活动的所有正常访问请求中共同携带的属性信息；

若未携带，确定所述访问请求为攻击。

2.根据权利要求1所述的方法，其中，确定所述访问请求为风险攻击之后，还包括：

对所述访问请求进行拦截。

3.根据权利要求1所述的方法，其中，检测所述访问请求的用户代理中是否携带预先挖掘的所述指定活动的特有属性信息之前，所述方法还包括：

获取所述指定活动的预设时间长度内的所有访问请求；

将所述所有访问请求，按照用户代理进行归类，得到多个用户代理的访问请求组，各所述用户代理的访问请求组中包括至少一条访问请求；

基于所述多个用户代理中各所述用户代理对应的所述少一条访问请求，挖掘所述指定活动的特有属性信息。

4.根据权利要求3所述的方法，其中，基于所述多个用户代理中各所述用户代理对应的所述少一条访问请求，挖掘所述指定活动的特有属性信息，包括：

基于所述多个用户代理中各所述用户代理对应的所述至少一条访问请求以及预设的打分策略，获取各所述用户代理的分值；

基于各所述用户代理的分值以及预设分数阈值，从所述多个用户代理中获取多个目标用户代理；所述多个目标用户代理的置信度大于所述多个用户代理中所述目标用户代理之外的其他用户代理的置信度；

基于所述多个目标用户代理，挖掘所述指定活动的特有属性信息。

5.根据权利要求4所述的方法，其中，基于所述多个用户代理中各所述用户代理对应的所述至少一条访问请求以及预设的打分策略，获取各所述用户代理的分值，包括：

对于所述多个用户代理中各所述用户代理，获取所述用户代理的各所述访问请求的基本属性信息；所述基本属性信息中包括至少一类属性信息；

基于所述用户代理的各所述访问请求的各所述属性信息、以及预设的打分策略，获取所述用户代理的各所述属性信息对应的分值；

基于所述用户代理的各所述属性信息对应的分值以及预设的各所述属性信息的预设权重，进行加权求和，得到对应的所述用户代理的分值。

6.根据权利要求5所述的方法，其中，所述基本属性信息中包括设备属性信息、账号属性信息、网络属性信息、位置属性信息、业务行为属性信息以及黑白名单属性信息中的至少一类属性信息。

7.根据权利要求5所述的方法，其中，基于所述多个目标用户代理，挖掘所述指定活动的特有属性信息，包括：

对所述多个目标用户代理分别进行简化处理，得到对应的多个字符串；

基于所述多个字符串，挖掘所述指定活动的特有属性信息。

8.根据权利要求7所述的方法，其中，对所述多个目标用户代理中分别进行简化处理，得到对应的多个字符串，包括：

对于各所述目标用户代理，去除所述目标用户代理中的数字、符号、操作系统的版本标识、以及中央处理器的类型中至少一个，得到对应的所述字符串。

9.根据权利要求7所述的方法，其中，基于所述多个字符串，挖掘所述指定活动的特有属性信息，包括：

基于史密斯-沃特曼算法，从所述多个字符串中，挖掘所述指定活动的特有属性信息。

10.一种攻击检测装置，包括：

第一获取模块，用于获取指定活动的访问请求；

检测模块，用于检测所述访问请求的用户代理中是否携带预先挖掘的所述指定活动的特有属性信息；所述指定活动的特有属性信息为所述指定活动的所有正常访问请求中共同携带的属性信息；

确定模块，用于若未携带，确定所述访问请求为攻击。

11.根据权利要求10所述的装置，其中，还包括：

拦截模块，用于对所述访问请求进行拦截。

12.根据权利要求10所述的装置，其中，所述装置还包括：

第二获取模块，用于获取所述指定活动的预设时间长度内的所有访问请求；

归类模块，用于将所述所有访问请求，按照用户代理进行归类，得到多个用户代理的访问请求组，各所述用户代理的访问请求组中包括至少一条访问请求；

挖掘模块，用于基于所述多个用户代理中各所述用户代理对应的所述少一条访问请求，挖掘所述指定活动的特有属性信息。

13.根据权利要求12所述的装置，其中，所述挖掘模块，用于：

基于所述多个用户代理中各所述用户代理对应的所述至少一条访问请求以及预设的打分策略，获取各所述用户代理的分值；

基于各所述用户代理的分值以及预设分数阈值，从所述多个用户代理中获取多个目标用户代理；所述多个目标用户代理的置信度大于所述多个用户代理中所述目标用户代理之外的其他用户代理的置信度；

基于所述多个目标用户代理，挖掘所述指定活动的特有属性信息。

14.根据权利要求13所述的装置，其中，所述挖掘模块，用于：

对于所述多个用户代理中各所述用户代理，获取所述用户代理的各所述访问请求的基本属性信息；所述基本属性信息中包括至少一类属性信息；

基于所述用户代理的各所述访问请求的各所述属性信息、以及预设的打分策略，获取所述用户代理的各所述属性信息对应的分值；

基于所述用户代理的各所述属性信息对应的分值以及预设的各所述属性信息的预设权重，进行加权求和，得到对应的所述用户代理的分值。

15.根据权利要求14所述的装置，其中，所述基本属性信息中包括设备属性信息、账号属性信息、网络属性信息、位置属性信息、业务行为属性信息以及黑白名单属性信息中的至少一类属性信息。

16.根据权利要求14所述的装置，其中，所述挖掘模块，用于：

对所述多个目标用户代理分别进行简化处理，得到对应的多个字符串；

基于所述多个字符串，挖掘所述指定活动的特有属性信息。

17.根据权利要求16所述的装置，其中，所述挖掘模块，用于：

对于各所述目标用户代理，去除所述目标用户代理中的数字、符号、操作系统的版本标识、以及中央处理器的类型中至少一个，得到对应的所述字符串。

18.根据权利要求16所述的装置，其中，所述挖掘模块，用于：

基于史密斯-沃特曼算法，从所述多个字符串中，挖掘所述指定活动的特有属性信息。

19.一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-9中任一项所述的方法。

20.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行根据权利要求1-9中任一项所述的方法。

21.一种计算机程序产品，包括计算机程序，所述计算机程序在被处理器执行时实现根据权利要求1-9中任一项所述的方法。

Images