CN119652783A - 信道检测方法和装置、计算机程序产品、电子设备 - Google Patents

Abstract

本公开是关于一种信道检测方法和装置、计算机程序产品、电子设备，涉及网络与信息安全技术领域，该方法包括：获取会话元数据以及网络流量数据，对会话元数据进行聚合，得到分组元数据；对分组元数据进行筛选，得到目标分组元数据，确定与目标分组元数据中包括的会话元数据对应的第一向量；根据目标分组元数据在网络流量数据中进行检索，得到目标网络流量数据，并生成与目标网络流量数据对应的第二向量；根据第一向量以及第二向量生成拼接向量，获取拼接向量的中心点以及至中心点的距离的标准差，基于标准差，得到与网络请求对应的网络信道的检测结果。本公开解决了HTTP隐蔽信道检测方法易被绕过以及难以构造训练样本等问题。

Description

信道检测方法和装置、计算机程序产品、电子设备

技术领域

本公开实施例涉及网络与信息安全技术领域，具体而言，涉及一种信道检测方法和装置、计算机程序产品以及电子设备。

背景技术

存储型HTTP隐蔽信道作为一种隐蔽通信手段，常见于各类APT、高级网络攻击案例中。它们通常隐藏在正常的HTTP流量中，通过伪装成合法的网络请求与响应传输恶意数据或控制指令。

相关技术中，针对存储型HTTP隐蔽信道的检测，主要有两种方法：基于协议的检测以及基于传统机器学习的检测技术。在基于协议的检测中，HTTP协议本身是一个无状态的协议，HTTP隐蔽信道能够利用HTTP协议的冗余部分和灵活性进行通信，从而绕过基于协议头部标识的检测。在基于传统机器学习的检测技术中，隐蔽信道样本的收集非常困难，导致模型训练不足或者出现过拟合等问题。

因此，需要提供一种新的信道检测方法。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开的目的在于提供一种信道检测方法、信道检测装置、计算机程序产品以及电子设备，进而至少在一定程度上克服由于相关技术的限制和缺陷而导致的HTTP隐蔽信道检测方法易被绕过以及难以构造训练样本等问题。

根据本公开的一个方面，提供一种信道检测方法，包括：

获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；

对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；

根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；

根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

在本公开的一种示例性实施例中，所述对所述会话元数据进行聚合，得到分组元数据，包括：

获取所述会话元数据与所述网络流量数据的公共信息；其中，所述公共信息包括时间戳、源IP地址、目的IP地址、源端口号、目的端口号；

根据所述公共信息中的源IP地址、目的IP地址以及目的端口号对不同时间戳的所述会话元数据进行聚合，得到所述分组元数据。

在本公开的一种示例性实施例中，所述对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量，包括：

获取预设阈值参数以及所述分组元数据的长度，获取所述长度不小于所述预设阈值参数的第一分组元数据；

对所述第一分组元数据中包括的会话元数据进行随机抽样，得到所述目标分组元数据；

将所述目标分组元数据中的会话元数据输入至预设模型中，得到与所述会话元数据对应的第一向量。

在本公开的一种示例性实施例中，所述根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量，包括：

根据所述目标分组元数据中包括的每条所述会话元数据在所述网络流量数据中进行检索，得到与每条所述会话元数据对应的目标网络流量数据；

获取并根据所述目标网络流量数据中包括的持续时间、请求报文数、请求字节数、响应报文数以及响应字节数，得到与每条所述目标网络流量数据对应的第二向量。

在本公开的一种示例性实施例中，所述获取并根据所述目标网络流量数据中包括的持续时间、请求报文数、请求字节数、响应报文数以及响应字节数，得到与每条所述目标网络流量数据对应的第二向量，包括：

根据所述持续时间得到每条所述会话元数据的时间分片特征；

根据所述请求报文数得到每条所述会话元数据的请求报文个数特征；

根据所述请求字节数得到每条所述会话元数据的请求报文长度特征；

根据所述响应报文数得到每条所述会话元数据的响应报文个数特征；

根据所述响应字节数得到每条所述会话元数据的响应报文长度特征；

根据所述时间分片特征、所述请求报文个数特征、所述请求报文长度特征、所述响应报文个数特征、所述响应报文长度特征，得到与每条所述目标网络流量数据对应的第二向量。

在本公开的一种示例性实施例中，所述根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，包括：

对所述目标分组元数据中每条所述会话元数据的第一向量、与所述会话元数据对应的目标网络流量数据对应的第二向量进行拼接，得到所述目标分组元数据中每条所述会话元数据的拼接向量；

对所述拼接向量进行降维，得到降维向量，获取所述降维向量的中心点向量，以及每个所述降维向量至所述中心点向量的距离；

根据每个所述降维向量至所述中心点向量的距离，得到所述标准差。

在本公开的一种示例性实施例中，所述基于所述标准差，得到与所述网络请求对应的网络信道的检测结果，包括：

获取异常检测阈值，在所述标准差不小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为异常；

在所述标准差小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为正常。

根据本公开的一个方面，提供一种信道检测装置，包括：

数据聚合模块，用于获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；

数据筛选模块，用于对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；

数据检索模块，用于根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；

异常检测模块，用于根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

根据本公开的一个方面，提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现上述任一示例性实施例所述的信道检测方法。

根据本公开的一个方面，提供一种电子设备，包括：

处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述任一示例性实施例所述的信道检测方法。

本公开实施例提供的一种信道检测方法，获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。一方面，对获取到的与网络请求对应的会话元数据进行聚合，得到分组元数据，对分组元数据进行筛选，得到目标分组元数据，并确定与分组元数据中包括的会话元数据对应的第一向量，在得到第一向量之后，根据目标分组元数据在网络流量数据中进行检索，得到目标网络流量数据，并生成与目标网络流量数据对应的第二向量，对第一向量以及第二向量进行拼接，并通过自相似性计算，实现对HTTP信道的异常检测，不需要额外构建训练样本集，提高了信道检测的实用性以及检测的效率。另一方面，在得到第一向量以及第二向量之后，对第一向量以及第二向量进行拼接，得到拼接向量，获取拼接向量的中心点向量以及至中心点向量的距离的标准差，根据标准差，得到检测结果，不需要离线训练模型，解决了相关技术中检测算法面临的“冷启动”的问题。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示意性示出根据本公开示例实施例的一种信道检测方法的流程图。

图2示意性示出根据本公开示例实施例的一种对所述会话元数据进行聚合，得到分组元数据的方法流程图。

图3示意性示出根据本公开示例实施例的一种对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量的方法流程图。

图4示意性示出根据本公开示例实施例的一种根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量的方法流程图。

图5示意性示出根据本公开示例实施例的一种根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差的方法流程图。

图6示意性示出根据本公开示例实施例的一种基于所述标准差，得到与所述网络请求对应的网络信道的检测结果的方法流程图。

图7示意性示出根据本公开示例实施例的一种信道检测装置的框图。

图8示意性示出根据本公开示例实施例的用于实现上述信道检测方法的电子设备。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

存储型HTTP隐蔽信道作为一种隐蔽通信手段，常见于各类APT(AdvancedPersistent Threat，高级持续性威胁)、高级网络攻击案例中。通常隐藏在正常的HTTP流量中，通过伪装成合法的网络请求与响应，悄无声息地传输恶意数据或控制指令。由于HTTP协议本身的广泛使用和复杂性，使得这类隐蔽信道难以被轻易察觉和阻断。

因此，对存储型HTTP隐蔽信道检测已成为安全行业的迫切需求，但是实际做起来，困难重重，面临两大挑战：

1)HTTP协议语法定义较为宽松，存在着很多冗余部分，这些冗余部分可以用来嵌入隐蔽信息。传统的规则检测方法往往依赖于对协议特征的严格匹配，但隐蔽信道能够巧妙地利用这些冗余部分进行通信，从而绕过规则检测。

2)在HTTP隐蔽信道检测中，收集到足够的正常HTTP请求样本相对容易，但隐蔽信道样本的收集却非常困难。即使能够收集到一些隐蔽信道样本，这些样本与正常样本之间的数量比例也可能极不平衡。这种不平衡性会严重影响如SVM、随机森林等机器学习算法的训练效果，导致模型对隐蔽信道的识别能力下降。

目前，针对存储型HTTP隐蔽信道的检测，主要有两大常见方法：

1)基于协议的检测：通过探测HTTP协议的状态是否处于约定的正常范围之内来识别异常。但是，HTTP协议本身是一个无状态的协议，HTTP隐蔽信道往往能够巧妙地利用HTTP协议的冗余部分和灵活性进行通信，从而绕过基于协议头部标识的检测。

2)基于传统机器学习的检测技术：如基于SVM、随机森林等分类算法。训练样本集的构建是一个难题。特别是隐蔽信道样本的收集非常困难，这可能导致模型训练不足或出现过拟合等问题，实用性较差。

基于上述一个或者多个问题，本示例实施方式中首先提供了一种信道检测方法，该方法可以运行于终端设备；当然，本领域技术人员也可以根据需求在其他平台运行本发明的方法，本示例性实施例中对此不做特殊限定。参考图1所示，该信道检测方法可以包括步骤S110-步骤S140：

步骤S110.获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；

步骤S120.对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；

步骤S130.根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；

步骤S140.根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

上述信道检测方法，获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。一方面，对获取到的与网络请求对应的会话元数据进行聚合，得到分组元数据，对分组元数据进行筛选，得到目标分组元数据，并确定与分组元数据中包括的会话元数据对应的第一向量，在得到第一向量之后，根据目标分组元数据在网络流量数据中进行检索，得到目标网络流量数据，并生成与目标网络流量数据对应的第二向量，对第一向量以及第二向量进行拼接，并通过自相似性计算，实现对HTTP信道的异常检测，不需要额外构建训练样本集，提高了信道检测的实用性以及检测的效率。另一方面，在得到第一向量以及第二向量之后，对第一向量以及第二向量进行拼接，得到拼接向量，获取拼接向量的中心点向量以及至中心点向量的距离的标准差，根据标准差，得到检测结果，不需要离线训练模型，解决了相关技术中检测算法面临的“冷启动”的问题。

以下，对本公开示例实施例的信道检测方法中涉及的各步骤进行详细的解释以及说明。

在步骤S110中，获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据。

其中，预设时间段为固定的时间窗口，在本示例实施例中对该预设时间段不做具体限定。常见的网络监控模式可以分为两种：旁路镜像模式和串联监控模式。基于对网络的旁路镜像，网络全流量探针检测人系统可以提供与每个HTTP请求对应的会话元数据以及网络流量数据。其中，旁路镜像模式是将所有访问数据库的网络数据包通过流量镜像技术发送到数据库网关进行分析。在本示例实施例中，可以基于旁路镜像模式获取与网络请求对应的会话元数据以及网络流量数据。在获取到的会话元数据与网络流量数据之间具有相同的时间戳、源IP地址、目的IP地址、源端口号、目的端口号、协议号等公共信息。表1示出了会话元数据中的部分字段，表2示出了网络流量数据中的部分字段。

表1会话元数据

表2网络流量数据

在本示例实施例中，当得到会话元数据以及网络流量数据之后，可以对会话元数据进行聚合，得到分组元数据，参考图2所示，对所述会话元数据进行聚合，得到分组元数据，包括：

步骤S210.获取所述会话元数据与所述网络流量数据的公共信息；其中，所述公共信息包括时间戳、源IP地址、目的IP地址、源端口号、目的端口号；

步骤S220.根据所述公共信息中的源IP地址、目的IP地址以及目的端口号对不同时间戳的所述会话元数据进行聚合，得到所述分组元数据。

以下，将对步骤S210、步骤S220进行进一步的解释以及说明。具体的，对获取到的会话元数据与网络流量数据中包括的字段进行对比，得到会话元数据与网络流量数据的公用信息，其中，公共信息为会话元数据与网络流量数据均包括的字段，可以包括：时间戳、源IP地址、目的IP地址、源端口号、目的端口号，在本示例实施例中对此不做具体限定。在得到公共信息之后，可以根据公共信息中的源IP地址、目的IP地址以及目的端口号作为键值对的键，对不同时间戳的会话元数据进行聚合，得到分组源数据。

以表1所示的会话元数据为例，当以源IP地址192.168.1.1、目的IP地址203.0.113.5、目的端口80，对会话元数据进行聚合时，得到的分组元数据为：{192.168.1.1、203.0.113.5、80：会话元数据1、会话元数据2、会话元数据4}。

在步骤S120中，对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量。

在得到分组元数据之后，可以对分组元数据中包括的会话元数据进行筛选，得到目标分组元数据，在对分组元数据中包括的会话元数据进行筛选时，可以设置阈值参数，根据阈值参数进行筛选，在本示例实施例中对阈值参数不做具体限定。在得到目标分组元数据之后，可以对目标分组元数据中包括的会话元数据进行模型训练，得到与该目标分组元数据中包括的会话元数据对应的向量表示。

参考图3所示，对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量，包括：

步骤S310.获取预设阈值参数以及所述分组元数据的长度，获取所述长度不小于所述预设阈值参数的第一分组元数据；

步骤S320.对所述第一分组元数据中包括的会话元数据进行随机抽样，得到所述目标分组元数据；

步骤S330.将所述目标分组元数据中的会话元数据输入至预设模型中，得到与所述会话元数据对应的第一向量。

以下，将对步骤S310-步骤S330进行进一步的解释以及说明。具体的，首先，获取预设阈值参数以及分组元数据的长度，其中，分组元数据的长度可以为分组元数据中包括的会话元数据的记录数，当分组元数据的长度小于预设阈值参数时，停止分析。当分组元数据的长度不小于预设阈值参数时，对第一分组元数据中包括的会话元数据进行随机抽样，基于抽中的会话元数据得到目标分组元数据。在得到目标分组元数据之后，可以将目标分组元数据中包括的会话元数据输入至预设模型中，得到与会话元数据对应的高维第一向量。其中，预设模型可以为基于GPT的预训练模型，也可以为预训练的BERT模型，在本示例实施例中对预设模型不做具体限定。

在步骤S130中，根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量。

在本示例实施例中，可以根据目标分组元数据中每条会话元数据作为检索条件在网络流量数据中进行检索，得到与会话元数据对应的目标网络流量数据。在得到网络流量数据中与会话元数据对应的目标网络流量数据之后，获取与目标网络流量数据对应的第二向量。

参考图4所示，根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量，包括：

步骤S410.根据所述目标分组元数据中包括的每条所述会话元数据在所述网络流量数据中进行检索，得到与每条所述会话元数据对应的目标网络流量数据；

步骤S420.获取并根据所述目标网络流量数据中包括的持续时间、请求报文数、请求字节数、响应报文数以及响应字节数，得到与每条所述目标网络流量数据对应的第二向量。

以下，将对步骤S410、步骤S420进行进一步的解释以及说明。具体的，获取目标分组元数据中包括的每条会话元数据的时间戳、源IP地址、目的IP地址以及目的端口，将该获取到的每条会话元数据的时间戳、源IP地址、目的IP地址以及目的端口作为在网络流量数据中进行检索的检索条件，利用该检索条件在网络流量数据中进行检索的，得到与每条会话元数据对应的目标网络流量数据。在得到与每条会话元数据对应的目标网络流量数据之后，可以根据所有的目标网络流量数据中包括的字段的值，得到标识每个目标网络流量数据的第二向量。其中，目标网络流量数据中包括的字段可以由持续时间、请求报文数、请求字节数、响应报文数以及响应字节数。

进一步的，所述获取并根据所述目标网络流量数据中包括的持续时间、请求报文数、请求字节数、响应报文数以及响应字节数，得到与每条所述目标网络流量数据对应的第二向量，包括：

根据所述持续时间得到每条所述会话元数据的时间分片特征；

根据所述请求报文数得到每条所述会话元数据的请求报文个数特征；

根据所述请求字节数得到每条所述会话元数据的请求报文长度特征；

根据所述响应报文数得到每条所述会话元数据的响应报文个数特征；

根据所述响应字节数得到每条所述会话元数据的响应报文长度特征；

根据所述时间分片特征、所述请求报文个数特征、所述请求报文长度特征、所述响应报文个数特征、所述响应报文长度特征，得到与每条所述目标网络流量数据对应的第二向量。

具体的，获取目标网络流量数据中包括的持续时间，根据目标网络流量数据中包括的持续时间得到时间分片特征其中，T_i为网络流量数据中与目标分组数据中每个会话元数据对应的目标网络流量数据中的持续时间，k为目标分组数据中包括的会话元数据的数量。根据目标网络数据中包括的请求报文数，得到每条会话元数据的请求报文长度特征其中，Req_P_i为网络流量数据中与目标分组数据中每个会话元数据对应的目标网络流量数据中的请求报文数，k为目标分组数据中包括的会话元数据的数量。根据目标网络数据中包括的请求字节数，得到请求报文长度特征其中，Req_L_i为网络流量数据中与目标分组数据中每个会话元数据对应的目标网络流量数据中的请求字节数，k为目标分组数据中包括的会话元数据的数量。根据目标网络数据中的响应报文数，得到响应报文个数特征其中，Res_P_i为网络流量数据中与目标分组数据中每个会话元数据对应的目标网络流量数据中的响应报文数，k为目标分组数据中包括的会话元数据的数量。根据目标网络数据中包括的响应字节数，得到响应报文长度特征其中，Res_L_i为网络流量数据中与目标分组数据中每个会话元数据对应的目标网络流量数据中的响应字节数，k为目标分组数据中包括的会话元数据的数量。

在得到请求报文个数特征、请求报文长度特征、响应报文个数特征、响应报文长度特征之后，可以根据请求报文个数特征、请求报文长度特征、响应报文个数特征以及响应报文长度特征生成第二向量。

在步骤S140中，根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

当得到与目标分组元数据中包括的会话元数据对应的第一向量以及网络流量数据中与会话元数据对应的目标网络流量数据的第二向量之后，可以对该第一向量以及第二向量进行拼接，得到目标分组元数中每条会话元数据的拼接向量。在得到每条会话元数据的拼接向量之后，可以确定目标分组元数据的中心点向量，以及各点到中心点向量的距离的标准差，基于标准差来获取信道检测结果。

参考图5所示，根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，包括：

步骤S510.对所述目标分组元数据中每条所述会话元数据的第一向量、与所述会话元数据对应的目标网络流量数据对应的第二向量进行拼接，得到所述目标分组元数据中每条所述会话元数据的拼接向量；

步骤S520.对所述拼接向量进行降维，得到降维向量，获取所述降维向量的中心点向量，以及每个所述降维向量至所述中心点向量的距离；

步骤S530.根据每个所述降维向量至所述中心点向量的距离，得到所述标准差。

以下，将对步骤S510-步骤S530进行进一步的解释以及说明。具体的，对目标分组元数据中与每条会话元数据对应的第一向量、网络流量数据中与会话元数据对应的目标网络流量数据对应的第二向量进行拼接，得到每条会话元数据的拼接向量。在得到拼接向量之后，可以对该拼接向量进行降维，得到降维向量，其中，该拼接向量为105维的多维向量，可以将该多维向量简化为9维向量，在本示例实施例中对简化后的维度不做具体限定。在得到与每条会话元数据对应的降维向量之后，根据目标分组元数据中的每条会话元数据的降维向量确定中心点向量其中，vi为与每条会话元数据对应的降维向量，k为目标分组元数据中包括的会话元数据的数量。在得到中心点向量之后，可以计算目标分组元数据中每条会话元数据的降维向量至中心点向量之间的距离。在得到每个降维向量至中心点向量之间的距离之后，可以根据计算得到距离标准差，其中，v*为中心点向量，vi为与每条会话元数据对应的降维向量，k为目标分组元数据中包括的会话元数据的数量。

在得到标准差之后，参考图6所示，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果，包括：

步骤S610.获取异常检测阈值，在所述标准差不小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为异常；

步骤S620.在所述标准差小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为正常。

以下，将对步骤S610、步骤S620进行进一步的解释以及说明。具体的，获取异常检测阈值，该异常检测阈值可以为0.05，也可以为其他，在本示例实施例中对异常检测阈值不做具体限定。在获取到异常检测阈值之后，可以对异常检测阈值与标准差进行比较，当标准差不小于异常检测阈值时，与网络请求对应的网络信道的检测结果为异常，但是，当标准差小于异常检测阈值时，与网络请求对应的网络信道的检测结果为正常。

本公开实例实施例提供的信道检测装置至少具有以下优点：一方面，对获取到的与网络请求对应的会话元数据进行聚合，得到分组元数据，对分组元数据进行筛选，得到目标分组元数据，并确定与分组元数据中包括的会话元数据对应的第一向量，在得到第一向量之后，根据目标分组元数据在网络流量数据中进行检索，得到目标网络流量数据，并生成与目标网络流量数据对应的第二向量，对第一向量以及第二向量进行拼接，并通过自相似性计算，实现对HTTP信道的异常检测，不需要额外构建训练样本集，提高了信道检测的实用性以及检测的效率。另一方面，在得到第一向量以及第二向量之后，对第一向量以及第二向量进行拼接，得到拼接向量，获取拼接向量的中心点向量以及至中心点向量的距离的标准差，根据标准差，得到检测结果，不需要离线训练模型，解决了相关技术中检测算法面临的“冷启动”的问题。

本公开示例实施例还提供了一种信道检测装置，参考图7所示，可以包括：数据聚合模块710、数据筛选模块720、数据检索模块730以及异常检测模块740。其中：

数据聚合模块710，用于获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；

数据筛选模块720，用于对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；

数据检索模块730，用于根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；

异常检测模块740，用于根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

上述信道检测装置中各模块的具体细节已经在对应的信道检测方法中进行了详细的描述，因此此处不再赘述。

在本公开的一种示例性实施例中，所述数据聚合模块，包括：

公共信息确定模块，用于获取所述会话元数据与所述网络流量数据的公共信息；其中，所述公共信息包括时间戳、源IP地址、目的IP地址、源端口号、目的端口号；

分组元数据获取模块，用于根据所述公共信息中的源IP地址、目的IP地址以及目的端口号对不同时间戳的所述会话元数据进行聚合，得到所述分组元数据。

在本公开的一种示例性实施例中，所述数据筛选模块，包括：

第一分组元数据确定模块，用于获取预设阈值参数以及所述分组元数据的长度，获取所述长度不小于所述预设阈值参数的第一分组元数据；

目标分组元数据确定模块，用于对所述第一分组元数据中包括的会话元数据进行随机抽样，得到所述目标分组元数据；

第一向量获取模块，用于将所述目标分组元数据中的会话元数据输入至预设模型中，得到与所述会话元数据对应的第一向量。

在本公开的一种示例性实施例中，所述数据检索模块，包括：

网络流量数据匹配模块，用于根据所述目标分组元数据中包括的每条所述会话元数据在所述网络流量数据中进行检索，得到与每条所述会话元数据对应的目标网络流量数据；

第二向量生成模块，用于获取并根据所述目标网络流量数据中包括的持续时间、请求报文数、请求字节数、响应报文数以及响应字节数，得到与每条所述目标网络流量数据对应的第二向量。

在本公开的一种示例性实施例中，所述第二向量生成模块，包括：

时间分片特征确定模块，用于根据所述持续时间得到每条所述会话元数据的时间分片特征；

请求报文个数特征确定模块，用于根据所述请求报文数得到每条所述会话元数据的请求报文个数特征；

请求报文长度特征确定模块，用于根据所述请求字节数得到每条所述会话元数据的请求报文长度特征；

响应报文个数特征确定模块，用于根据所述响应报文数得到每条所述会话元数据的响应报文个数特征；

响应报文长度特征确定模块，用于根据所述响应字节数得到每条所述会话元数据的响应报文长度特征；

第二向量确定模块，用于根据所述时间分片特征、所述请求报文个数特征、所述请求报文长度特征、所述响应报文个数特征、所述响应报文长度特征，得到与每条所述目标网络流量数据对应的第二向量。

在本公开的一种示例性实施例中，所述异常检测模块，包括：

向量拼接模块，用于对所述目标分组元数据中每条所述会话元数据的第一向量、与所述会话元数据对应的目标网络流量数据对应的第二向量进行拼接，得到所述目标分组元数据中每条所述会话元数据的拼接向量；

向量距离计算模块，用于对所述拼接向量进行降维，得到降维向量，获取所述降维向量的中心点向量，以及每个所述降维向量至所述中心点向量的距离；

标准差确定模块，用于根据每个所述降维向量至所述中心点向量的距离，得到所述标准差。

在本公开的一种示例性实施例中，所述异常检测模块，包括：

第一检测模块，用于获取异常检测阈值，在所述标准差不小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为异常；

第二检测模块，用于在所述标准差小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为正常。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

下面参照图8来描述根据本公开的这种实施方式的电子设备800。图8显示的电子设备800仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图8所示，电子设备800以通用计算设备的形式表现。电子设备800的组件可以包括但不限于：上述至少一个处理单元810、上述至少一个存储单元820、连接不同系统组件(包括存储单元820和处理单元810)的总线830以及显示单元840。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元810执行，使得所述处理单元810执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。例如，所述处理单元810可以执行如图1中所示的步骤S110：获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；S120：对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；S130：根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；S140：根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

存储单元820可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)8201和/或高速缓存存储单元8202，还可以进一步包括只读存储单元(ROM)8203。

存储单元820还可以包括具有一组(至少一个)程序模块8205的程序/实用工具8204，这样的程序模块8205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线830可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备800也可以与一个或多个外部设备900(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备800交互的设备通信，和/或与使得该电子设备800能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口850进行。并且，电子设备800还可以通过网络适配器860与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器860通过总线830与电子设备800的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备800使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。

根据本公开的实施方式的用于实现上述方法的程序产品，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本公开的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

此外，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施例。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

Claims (10)

1.一种信道检测方法，其特征在于，包括：

获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；

对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；

根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；

根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

2.根据权利要求1所述的方法，其特征在于，所述对所述会话元数据进行聚合，得到分组元数据，包括：

获取所述会话元数据与所述网络流量数据的公共信息；其中，所述公共信息包括时间戳、源IP地址、目的IP地址、源端口号、目的端口号；

根据所述公共信息中的源IP地址、目的IP地址以及目的端口号对不同时间戳的所述会话元数据进行聚合，得到所述分组元数据。

3.根据权利要求1所述的方法，其特征在于，所述对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量，包括：

获取预设阈值参数以及所述分组元数据的长度，获取所述长度不小于所述预设阈值参数的第一分组元数据；

对所述第一分组元数据中包括的会话元数据进行随机抽样，得到所述目标分组元数据；

将所述目标分组元数据中的会话元数据输入至预设模型中，得到与所述会话元数据对应的第一向量。

4.根据权利要求1所述的方法，其特征在于，所述根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量，包括：

根据所述目标分组元数据中包括的每条所述会话元数据在所述网络流量数据中进行检索，得到与每条所述会话元数据对应的目标网络流量数据；

获取并根据所述目标网络流量数据中包括的持续时间、请求报文数、请求字节数、响应报文数以及响应字节数，得到与每条所述目标网络流量数据对应的第二向量。

5.根据权利要求4所述的方法，其特征在于，所述获取并根据所述目标网络流量数据中包括的持续时间、请求报文数、请求字节数、响应报文数以及响应字节数，得到与每条所述目标网络流量数据对应的第二向量，包括：

根据所述持续时间得到每条所述会话元数据的时间分片特征；

根据所述请求报文数得到每条所述会话元数据的请求报文个数特征；

根据所述请求字节数得到每条所述会话元数据的请求报文长度特征；

根据所述响应报文数得到每条所述会话元数据的响应报文个数特征；

根据所述响应字节数得到每条所述会话元数据的响应报文长度特征；

根据所述时间分片特征、所述请求报文个数特征、所述请求报文长度特征、所述响应报文个数特征、所述响应报文长度特征，得到与每条所述目标网络流量数据对应的第二向量。

6.根据权利要求1所述的方法，其特征在于，所述根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，包括：

对所述目标分组元数据中每条所述会话元数据的第一向量、与所述会话元数据对应的目标网络流量数据对应的第二向量进行拼接，得到所述目标分组元数据中每条所述会话元数据的拼接向量；

对所述拼接向量进行降维，得到降维向量，获取所述降维向量的中心点向量，以及每个所述降维向量至所述中心点向量的距离；

根据每个所述降维向量至所述中心点向量的距离，得到所述标准差。

7.根据权利要求6所述的方法，其特征在于，所述基于所述标准差，得到与所述网络请求对应的网络信道的检测结果，包括：

获取异常检测阈值，在所述标准差不小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为异常；

在所述标准差小于所述异常检测阈值时，与所述网络请求对应的网络信道的检测结果为正常。

8.一种信道检测装置，其特征在于，包括：

数据聚合模块，用于获取预设时间段内与网络请求对应的会话元数据以及网络流量数据，对所述会话元数据进行聚合，得到分组元数据；

数据筛选模块，用于对所述分组元数据进行筛选，得到目标分组元数据，确定与所述目标分组元数据中包括的会话元数据对应的第一向量；

数据检索模块，用于根据所述目标分组元数据在所述网络流量数据中进行检索，得到目标网络流量数据，并生成与所述目标网络流量数据对应的第二向量；

异常检测模块，用于根据所述第一向量以及所述第二向量生成拼接向量，获取所述拼接向量的中心点向量以及至所述中心点向量的距离的标准差，基于所述标准差，得到与所述网络请求对应的网络信道的检测结果。

9.一种计算机程序产品，包括计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7任一项所述的方法。

10.一种电子设备，其特征在于，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1-7任一项所述的方法。