WO2020007367A1 - 一种检查异常web访问的方法、装置、介质及设备 - Google Patents

一种检查异常web访问的方法、装置、介质及设备 Download PDF

Info

Publication number
WO2020007367A1
WO2020007367A1 PCT/CN2019/094921 CN2019094921W WO2020007367A1 WO 2020007367 A1 WO2020007367 A1 WO 2020007367A1 CN 2019094921 W CN2019094921 W CN 2019094921W WO 2020007367 A1 WO2020007367 A1 WO 2020007367A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
specified
uri
web
web address
Prior art date
Application number
PCT/CN2019/094921
Other languages
English (en)
French (fr)
Inventor
陈哲
丛磊
Original Assignee
北京白山耘科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京白山耘科技有限公司 filed Critical 北京白山耘科技有限公司
Publication of WO2020007367A1 publication Critical patent/WO2020007367A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]

Definitions

  • This article relates to the field of computer network technology and user network behavior detection, and in particular, to a method, device, medium, and device for checking abnormal web access.
  • an illegal user may not access the http interface through legal methods such as official website pages and clients (for example, using special-purpose scripts and unofficial clients) and perform illegal anomalous activities such as stealing links and illegally obtaining other user information.
  • artificially preset parameters can be used to detect whether the userAgent and referer fields are normal, and then distinguish between normal access behavior and abnormal access behavior.
  • the userAgent and referer field information is easy to forge, and the corresponding detection rules are also easily bypassed, so it is easy to miss judgment.
  • a method of adding call sequence detection logic to business code can be used to distinguish between normal access behavior and abnormal access behavior.
  • this method involves adding additional development costs, reducing system maintainability, and easily causing various problems to the system.
  • a method for checking abnormal web access including:
  • the normal access feature data includes an access mode identifier, a selected uri set and an associated uri set corresponding to the access mode identifier, and a probability that a selected uri set and an associated uri set appear simultaneously corresponding to the access mode identifier. .
  • the method further includes: calculating, based on the cumulative counts of the same access modes of different users who normally access the designated access interface at different times, the selected uri sets corresponding to the different access modes of the designated access interface simultaneously appearing at a preset time.
  • the pre-processing is performed by the following steps:
  • the non-used directory parameter is replaced with an *.
  • the pre-processing is performed on the selected web address set corresponding to the specified access interface of the user accessing the specified web site to be inspected and the associated web address set associated with the selected web address set to obtain the selected web address set.
  • the steps of the preprocessed selected uri set and associated uri set corresponding to the address set and the associated web address set respectively include:
  • the step of determining an access mode for a user to access the designated access interface based on the selected uri set and the associated uri set and normal access feature data includes:
  • a search is performed on the normal access feature data based on the selected uri set and the associated uri set to obtain a corresponding access mode.
  • the step of determining the total number of accesses of the same access mode in which the user accesses the specified access interface within a specified time period includes:
  • the total number of visits made by the user during the specified time is separately counted.
  • the step of determining whether a user makes an abnormal access to the designated web site based on the total number of visits and the normal access feature data includes:
  • np (1-p i ) r when the specified access interface and the i-th associated uri set do not appear to be normal at the same time r times;
  • np is less than a preset threshold and r is not less than the total number of access times, determining that the access mode of the designated access interface is missing the i-th associated uri set relative to the normal access feature data;
  • an apparatus for checking abnormal web access including:
  • the pre-processing module is configured to pre-process the selected web address set corresponding to the specified access interface of the user accessing the specified web site to be inspected, and the associated web address set associated with the selected web address set to obtain The preprocessed selected uri set and associated uri set corresponding to the selected web address set and the associated web address set respectively;
  • An access mode determination module configured to determine an access mode for a user to access the specified access interface based on the selected uri set and the associated uri set, and normal access feature data;
  • a total number of access determination module configured to determine the total number of accesses of the same access mode in which a user accesses the specified access interface within a specified time period
  • An abnormal access determination module configured to determine whether a user makes an abnormal access to the specified web site based on the total number of access times and the normal access feature data
  • the normal access feature data includes an access mode identifier, a selected uri set and an associated uri set corresponding to the access mode identifier, and a probability that a selected uri set and an associated uri set appear simultaneously corresponding to the access mode identifier. .
  • the normal access characteristic data determining module is configured to calculate the selected URI sets corresponding to different access modes of the specified access interface respectively based on the cumulative counts of the same access modes of different users who normally access the specified access interface at different times.
  • the normal access feature data is determined in advance of the associated uri set that appears simultaneously in a preset time window, and the probability that the selected uri set and the associated uri set appear simultaneously.
  • the pre-processing module performs the pre-processing by the following steps:
  • the non-used directory parameter is replaced with an *.
  • the pre-processing module is further configured to:
  • the access mode determination module is further configured to:
  • a search is performed on the normal access feature data based on the selected uri set and the associated uri set to obtain a corresponding access mode.
  • np (1-p i ) r when the specified access interface and the i-th associated uri set do not appear to be normal at the same time r times;
  • np is less than a preset threshold and r is not less than the total number of access times, determining that the access mode of the designated access interface is missing the i-th associated uri set relative to the normal access feature data;
  • a computer-readable storage medium on which a computer program is stored, and when the computer program is executed, the steps of the above method are implemented.
  • a computer device including a processor, a memory, and a computer program stored on the memory, and the processor implements the steps of the foregoing method when the processor executes the computer program.
  • behavior analysis can be performed based on normal access characteristic data, thereby detecting abnormal access behavior.
  • FIG. 1 exemplarily illustrates a schematic flowchart of a method for checking abnormal web access according to an embodiment
  • FIG. 2 illustrates a schematic block diagram of an apparatus for checking abnormal web access according to an embodiment
  • FIG. 3 exemplarily illustrates a block diagram of an apparatus for checking abnormal web access according to an embodiment.
  • FIG. 1 exemplarily illustrates a schematic flowchart of a method for checking abnormal web access in an embodiment.
  • the method for checking abnormal web access according to this article includes:
  • Step S102 preprocessing the selected web address set corresponding to the specified access interface of the user accessing the specified web site to be checked, and the associated web address set associated with the selected web address set, to obtain the selected web address set and Preprocessed selected uri set and associated uri set corresponding to the associated web address set respectively;
  • Step S104 determine an access mode for the user to access the specified access interface based on the selected uri set and associated uri set, and normal access feature data;
  • Step S106 Determine the total number of times that the user accesses the same access mode of the specified access interface within the specified time period
  • Step S108 determine whether the user makes abnormal access to the designated web site based on the total number of visits and normal access feature data
  • uri refers to a uniform resource identifier.
  • the normal access characteristic data includes an access mode identifier, a selected uri set and an associated uri set corresponding to the access mode identifier, and a probability that the selected uri set and the associated uri set appear simultaneously.
  • the designated web site refers to a preset web site
  • the designated access interface refers to a preset access interface among all the access interfaces in the preset web site. For example, a list is set, and a list is recorded in this list.
  • the web site may have multiple preset access interfaces for performing the foregoing methods.
  • the method further includes:
  • Step S110 Based on the cumulative count of the same access mode of a large number of different users who access the designated access interface at different times, calculate the selected uri sets corresponding to different access modes of the designated access interface simultaneously appearing in the preset time window.
  • the associated uri set and the probability that the selected uri set and the associated uri set appear at the same time determine the normal access feature data in advance.
  • the pre-processing is performed in step S102 through the following steps:
  • the non-used directory parameter is replaced with an *.
  • the directory separator is /
  • the most commonly used directory parameter refers to a directory parameter that is not commonly used in web addresses.
  • orgid, idtoken, nosignin, search, etc. are all commonly used directory parameters.
  • each web address set and each uri set contains one element as an example.
  • the method for checking abnormal web access according to this article is also applicable to the case where each set contains multiple elements.
  • the selected web address set A corresponding to the interface ie, the above specified access interface
  • "Bing search service” accessed by the detected user contains one element:
  • the two associated web address sets associated with it-the associated web address sets B and C each also contain an element:
  • a preprocessed selected uri set A corresponding to the selected web address set A and the associated web address sets B and C are obtained (for example, including a set element uri_a-"cn.bing .com / search ") and the processed associated uri collection B (for example, contains 1 collection element uri_b-" cn.bing.com/fd/ls/* ") and C (for example, contains 1 collection element uri_c -"Cn.bing.com/orgid/idtoken/nosignin").
  • step S110 a large number of different users (for example, 4 users, the more the number of normal users, the more accurate the statistical result) are based on the same access mode at different times (or time periods) based on normal access to the designated access interface.
  • Counting results 4 visits to uri_a, 4 visits to uri_b, 3 visits to uri_c, and 1 visit to uri_d.
  • the predetermined normal access feature data may be in the following form.
  • accessing it also accesses the (first) associated uri set B ( That is, the probability of uri_b) is 100%, the probability of accessing it and also accessing the (second) associated uri set C (that is, uri_c) is 75%, and accessing it at the same time (not shown above)
  • the probability of associating the uri set D (ie, uri_d) is 25%.
  • step S102 includes:
  • Step S104 includes:
  • the search is performed on the normal access feature data to obtain the corresponding access mode.
  • the preset time period before and after the first access log is a period of 30 seconds before and after the first access log.
  • step S106 includes:
  • the total number of visits made by the user during the specified time is counted separately.
  • step S108 includes:
  • np is less than a preset threshold and r is not less than the total number of accesses, it is determined that the access mode of the specified access interface is missing the i-th associated uri set relative to the normal access feature data;
  • access mode 1 to access the selected uri set A (ie, uri_a) and also access the associated uri set C (ie, uri_c) is 75% (assuming the probability threshold above 50%, that is, the condition that the probability value p 2 of the selected uri set and the second associated uri set appear at the same time at a single time is satisfied at this time).
  • FIG. 2 exemplarily shows a schematic block diagram of an apparatus 200 for checking abnormal web access in an embodiment.
  • the apparatus 200 for checking abnormal web access includes:
  • the preprocessing module 201 is configured to preprocess the selected web address set corresponding to the specified access interface of the user accessing the specified web site to be inspected, and the associated web address set associated with the selected web address set to obtain the selected web address set. the pre-processed selected uri set and associated uri set corresponding to the web address set and the associated web address set respectively;
  • An access mode determining module 203 configured to determine an access mode of a user accessing a specified access interface based on a selected uri set and an associated uri set, and normal access feature data;
  • a total number of access determination module 205 configured to determine the total number of accesses of the same access mode in which a user accesses a specified access interface within a specified time period;
  • the abnormal access determination module 207 is configured to determine whether a user makes an abnormal access to a specified web site based on the total number of access times and normal access characteristic data,
  • the normal access feature data includes an access mode identifier, a selected uri set and an associated uri set corresponding to the access mode identifier, and a probability that the selected uri set and the associated uri set appear simultaneously.
  • the apparatus 200 for checking abnormal web access further includes:
  • the normal access characteristic data determining module 209 is configured to calculate the selected uri sets corresponding to different access modes of the specified access interface at the same time based on the cumulative count of the same access mode of different users who access the specified access interface at different times.
  • the pre-processing module 201 performs pre-processing through the following steps:
  • the non-used directory parameter is replaced with an *.
  • very commonly used directory parameters refer to directory parameters that are not commonly used in web addresses. For example, orgid, idtoken, nosignin, search, etc. are all commonly used directory parameters.
  • the pre-processing module 201 is further configured to:
  • the access mode determination module 203 is further configured to:
  • the search is performed on the normal access feature data to obtain the corresponding access mode.
  • the total access times determining module 205 is further configured to:
  • the total number of visits made by the user during the specified time is counted separately.
  • the abnormal access determination module 207 is further configured to:
  • np is less than a preset threshold and r is not less than the total number of accesses, it is determined that the access mode of the specified access interface is missing the i-th associated uri set relative to the normal access feature data;
  • the frequent item set of the user accessing each interface can be obtained by mining the regular pattern regularity (that is, normally accessing the feature data) on the log sequence. Finally, it is judged whether the user has bypassed the necessary steps in normal access when calling the target interface, and identified the abnormal access behavior of the user who called the interface through unofficial channels.
  • Fig. 3 is a block diagram of a device for checking abnormal web access according to an exemplary embodiment.
  • the device may be provided as a server.
  • the apparatus 300 includes a processor 301, and the number of processors may be set to one or more as required.
  • the apparatus 300 also includes a memory 302 for storing instructions executable by the processor 301, such as an application program.
  • the number of memories can be set as required or one or more. It can store one or more applications.
  • the processor 301 is configured to execute instructions to perform the method described above.
  • this document may be provided as a method, an apparatus (device), or a computer program product. Therefore, this document may take the form of an entirely hardware embodiment, an entirely software embodiment, or an embodiment combining software and hardware aspects. Moreover, this document may take the form of a computer program product implemented on one or more computer-usable storage media containing computer-usable program code therein.
  • Computer storage media includes volatile and nonvolatile, removable and non-removable media implemented in any method or technology used to store information such as computer-readable instructions, data structures, program modules or other data Including, but not limited to, RAM, ROM, EEPROM, flash memory or other memory technologies, CD-ROM, digital versatile disk (DVD) or other optical disk storage, magnetic cartridges, magnetic tape, disk storage or other magnetic storage devices, or may Any other medium or the like that stores the desired information and can be accessed by the computer.
  • a communication medium typically contains computer-readable instructions, data structures, program modules, or other data in a modulated data signal such as a carrier wave or other transmission mechanism, and may include any information delivery medium .
  • These computer program instructions may also be stored in a computer-readable memory capable of directing a computer or other programmable data processing device to work in a specific manner such that the instructions stored in the computer-readable memory produce a manufactured article including an instruction device, the instructions
  • the device implements the functions specified in one or more flowcharts and / or one or more blocks of the block diagram.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device, so that a series of steps can be performed on the computer or other programmable device to produce a computer-implemented process, which can be executed on the computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more flowcharts and / or one or more blocks of the block diagrams.
  • the terms "including”, “comprising”, or any other variation thereof are intended to encompass non-exclusive inclusions, such that an article or device that includes a series of elements includes not only those elements, but also other Elements, or elements that are inherent to such articles or equipment. Without more restrictions, the elements defined by the sentence “including " do not exclude that there are other identical elements in the article or equipment including the elements.
  • behavior analysis can be performed based on the normal access characteristic data, thereby detecting abnormal access behavior.

Landscapes

  • Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

一种检查异常web访问的方法、装置、介质及设备。该方法包括：对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与选定web地址集合关联的关联web地址集合进行预处理，得到与选定web地址集合和关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合（S102）；基于选定uri集合和关联uri集合、以及正常访问特征数据，确定用户访问指定访问接口的访问模式（S104）；确定指定时间段内用户访问指定访问接口的相同访问模式的总访问次数（S106）；基于总访问次数和正常访问特征数据，确定用户是否对指定web站点进行异常访问（S108）。该方法能够基于正常访问特征数据进行行为分析，从而检测出异常访问行为。

Description

一种检查异常web访问的方法、装置、介质及设备
本文要求在2018年7月6日提交中国专利局、申请号为201810737625.4,发明名称为“一种检查异常web访问的方法及装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本文涉及计算机网络技术和用户网络行为检测领域，尤其涉及一种检查异常web访问的方法、装置、介质及设备。
背景技术
随着计算机网络技术的不断发展，越来越多的用户使用网络来进行办公、消费、娱乐、学习等各种活动。同时，也有许多非法用户通过网络进行非法活动，妨害了社会和他人的利益。例如，非法用户可以不通过官方网站页面、客户端等合法方式访问http接口(比如，利用特殊目的的脚本、非官方的客户端)并进行盗链、非法获取其他用户信息等非法的异常活动。
为了正确区分正常用户访问网络的正常行为和非法用户访问网络的异常行为，人们已经进行了许多研究。
例如，现有技术可以通过人工预设参数检测userAgent、referer字段是否正常，进而区分正常访问行为和异常访问行为。然而，userAgent、referer字段信息容易伪造，相对应的检测规则也容易被绕过，因此容易出现漏判的情况。
另外，现有技术还可以采用在业务代码中加入调用顺序检测逻辑的方法来区分正常访问行为和异常访问行为。然而，这种方法涉及增加额外的开发成本、且会使系统可维护性降低、容易导致系统出现各种问题。
为了解决上述问题，需要提出新的技术方案。
发明内容
根据本文实施例的一个方面，提供一种检查异常web访问的方法，包括：
对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与所述选定web地址集合关联的关联web地址集合进行预处理，得 到与所述选定web地址集合和所述关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合；
基于所述选定uri集合和所述关联uri集合、以及正常访问特征数据，确定用户访问所述指定访问接口的访问模式；
确定指定时间段内用户访问所述指定访问接口的相同访问模式的总访问次数；
基于所述总访问次数和所述正常访问特征数据，确定用户是否对所述指定web站点进行异常访问，
其中，所述正常访问特征数据包括访问模式标识、与所述访问模式标识对应的选定uri集合和关联uri集合、与所述访问模式标识对应的选定uri集合与关联uri集合同时出现的概率。
上述检查异常web访问的方法还具有以下特点：
还包括：基于正常访问所述指定访问接口的不同用户在不同时间的相同访问模式的累积计数，分别计算与所述指定访问接口的不同访问模式所对应的选定uri集合同时出现在预设时间窗口内的关联uri集合、及选定uri集合与关联uri集合同时出现的概率，预先确定所述正常访问特征数据。
上述检查异常web访问的方法还具有以下特点：
通过以下步骤进行所述预处理：
web地址中包含查询字符串时，从所述web地址中删除所述查询字符串，删除所述查询字符串的web地址剩余部分中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号；
web地址中不包含查询字符串时，所述web地址中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号。
上述检查异常web访问的方法还具有以下特点：
所述对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与所述选定web地址集合关联的关联web地址集合进行预处理，得到与所述选定web地址集合和所述关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合的步骤包括：
在所述用户的访问日志序列中，寻找所述指定访问接口的第一访问日志；
获取在所述指定访问接口的所述第一访问日志前后预设时长内的第二访问 日志，并将所述第二访问日志内的uri分类、去重，得到所述用户访问所述指定访问接口时同时访问的关联uri集合并进行预处理，
所述基于所述选定uri集合和所述关联uri集合、以及正常访问特征数据，确定用户访问所述指定访问接口的访问模式的步骤包括：
基于所述选定uri集合和所述关联uri集合在所述正常访问特征数据进行查找，得到对应的访问模式。
上述检查异常web访问的方法还具有以下特点：
所述确定指定时间段内用户访问所述指定访问接口的相同访问模式的总访问次数的步骤包括：
针对每一种访问模式单独统计用户在所述指定时间内进行访问的总访问次数。
上述检查异常web访问的方法还具有以下特点：
所述基于所述总访问次数和所述正常访问特征数据，确定用户是否对所述指定web站点进行异常访问的步骤包括：
通过以下步骤确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失：
基于所述正常访问特征数据，确定所述选定uri集合与第i个关联uri集合单次同时出现的概率值p i；
确定p i大于概率阈值，确定所述第i个关联uri集合在所述指定时间段内没有出现在所述指定访问模式中的次数r；
确定所述指定访问接口与所述第i个关联uri集合连续r次不同时出现为正常的概率值np＝(1-p i) r；
当np小于预设阈值，且r不小于所述总访问次数时，确定所述指定访问接口的访问模式相对于所述正常访问特征数据缺失了所述第i个关联uri集合；
当确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失的百分比大于预定百分比值时，确定用户对所述指定web站点进行了异常访问；当确定所述百分比不大于所述预定百分比值时，确定用户对所述指定web站点进行了正常访问。
根据本文实施例的另一个方面，提供了一种检查异常web访问的装置，包 括：
预处理模块，用于对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与所述选定web地址集合关联的关联web地址集合进行预处理，得到与所述选定web地址集合和所述关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合；
访问模式确定模块，用于基于所述选定uri集合和所述关联uri集合、以及正常访问特征数据，确定用户访问所述指定访问接口的访问模式；
总访问次数确定模块，用于确定指定时间段内用户访问所述指定访问接口的相同访问模式的总访问次数；
异常访问确定模块，用于基于所述总访问次数和所述正常访问特征数据，确定用户是否对所述指定web站点进行异常访问，
其中，所述正常访问特征数据包括访问模式标识、与所述访问模式标识对应的选定uri集合和关联uri集合、与所述访问模式标识对应的选定uri集合与关联uri集合同时出现的概率。
上述检查异常web访问的装置还具有以下特点：
还包括：
正常访问特征数据确定模块，用于基于正常访问所述指定访问接口的不同用户在不同时间的相同访问模式的累积计数，分别计算与所述指定访问接口的不同访问模式所对应的选定uri集合同时出现在预设时间窗口内的关联uri集合、及选定uri集合与关联uri集合同时出现的概率，预先确定所述正常访问特征数据。
上述检查异常web访问的装置还具有以下特点：
所述预处理模块通过以下步骤进行所述预处理：
web地址中包含查询字符串时，从所述web地址中删除所述查询字符串，删除所述查询字符串的web地址剩余部分中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号；
web地址中不包含查询字符串时，所述web地址中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号。
上述检查异常web访问的装置还具有以下特点：
所述预处理模块还用于：
在所述用户的访问日志序列中，寻找所述指定访问接口的第一访问日志；
获取在所述指定访问接口的所述第一访问日志前后预设时长内的第二访问日志，并将所述第二访问日志内的uri分类、去重，得到所述用户访问所述指定访问接口时同时访问的关联uri集合并进行预处理，
所述访问模式确定模块还用于：
基于所述选定uri集合和所述关联uri集合在所述正常访问特征数据进行查找，得到对应的访问模式。
上述检查异常web访问的装置还具有以下特点：
异常访问确定模块,还用于通过以下步骤确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失：
基于所述正常访问特征数据，确定所述选定uri集合与第i个关联uri集合单次同时出现的概率值p i；
确定p i大于概率阈值，确定所述第i个关联uri集合在所述指定时间段内没有出现在所述指定访问模式中的次数r；
确定所述指定访问接口与所述第i个关联uri集合连续r次不同时出现为正常的概率值np＝(1-p i) r；
当np小于预设阈值，且r不小于所述总访问次数时，确定所述指定访问接口的访问模式相对于所述正常访问特征数据缺失了所述第i个关联uri集合；
当确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失的百分比大于预定百分比值时，确定用户对所述指定web站点进行了异常访问；当确定所述百分比不大于所述预定百分比值时，确定用户对所述指定web站点进行了正常访问。
根据本文实施例的另一个方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被执行时实现上述方法的步骤。
根据本文实施例的另一个方面，提供了一种计算机设备，包括处理器、存储器和存储于所述存储器上的计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。
根据本文的上述技术方案，能够基于正常访问特征数据进行行为分析，从而检测出异常访问行为。
附图说明
构成本申请的一部分的附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1示例性地示出了根据一实施例的检查异常web访问的方法的示意流程图；
图2示例性地示出了根据一实施例的检查异常web访问的装置的示意框图；
图3示例性地示出了根据一实施例的检查异常web访问的装置的框图。
具体实施方式
为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
图1示例性地示出了一实施例中检查异常web访问的方法的示意流程图。
如图1的实线框所示，根据本文的检查异常web访问的方法，包括：
步骤S102：对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与选定web地址集合关联的关联web地址集合进行预处理，得到与选定web地址集合和关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合；
步骤S104：基于选定uri集合和关联uri集合、以及正常访问特征数据，确定用户访问指定访问接口的访问模式；
步骤S106：确定指定时间段内用户访问指定访问接口的相同访问模式的总访问次数；
步骤S108：基于总访问次数和正常访问特征数据，确定用户是否对指定web站点进行异常访问，
其中，uri是指统一资源标识符。正常访问特征数据包括访问模式标识、与访问模式标识对应的选定uri集合和关联uri集合、与访问模式标识对应的选定uri集合与关联uri集合同时出现的概率。
步骤S102中指定web站点是指预设的web站点，指定访问接口是指所述预设的web站点中的所有访问接口中的预设的访问接口，例如，设置一列表，此列表中记录一web站点中可以于执行上述方法的预设的多个访问接口。
可选地，如图1的虚线框所示，根据本文的检查异常web访问的方法，还包括：
步骤S110：基于正常访问指定访问接口的大量不同用户在不同时间的相同访问模式的累积计数，分别计算与指定访问接口的不同访问模式所对应的选定uri集合同时出现在预设时间窗口内的关联uri集合、及选定uri集合与关联uri集合同时出现的概率，预先确定正常访问特征数据。
可选地，通过以下步骤在步骤S102中进行预处理：
web地址中包含查询字符串时，从所述web地址中删除所述查询字符串，删除所述查询字符串的web地址剩余部分中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号；
web地址中不包含查询字符串时，所述web地址中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号。
其中，目录分隔符为/,非常用目录参数是指在web地址中不常用的目录参数。例如orgid、idtoken、nosignin、search等均为常用的目录参数。
为了简单起见，下面以每个web地址集合和每个uri集合各自包含一个元素为例进行说明，然而，根据本文的检查异常web访问的方法，同样适用于每个集合包含多个元素的情况。
例如，在上述步骤S102中，对应于访问模式1，与被检测用户所访问的接口(即，上述指定访问接口)“必应搜索服务”所对应的选定web地址集合A包含一个元素:
“cn.bing.com/search？q＝testword&qs＝n&form＝QBLH&sp＝-1&pq＝testword&sc＝0-8&sk＝&cvid＝D775C1E5249447A6A8E68226A8246C9E”；
与其关联的2个关联web地址集合——关联web地址集合B和C也各自包含一个元素:
“cn.bing.com/fd/ls/l？IG＝6B929991D4B9481DA283DF7F21C0F689&Type＝Event.CPT&DATA＝{％22pp％22:{％22S％22:％22L％22,％22FC％22:21,％22BC％22:398,％22SE％22:-1,％22TC％22:-1,％22H％22:469,％22BP％22:484,％22CT％22:485,％22IL％22:10},％22ad％22:[-1,-1,1233,175,1233,1931,0],％22net％22:％22undefined％22}&P＝SERP&DA＝HK2”
和
“cn.bing.com/orgid/idtoken/nosignin”。
经过上述的预处理步骤，得到与选定web地址集合A和关联web地址集合B和C分别对应的经预处理的选定uri集合A(例如，包含1个集合元素uri_a——“cn.bing.com/search”)和经处理的关联uri集合B(例如，包含1个集合元素uri_b——“cn.bing.com/fd/ls/*”)和C(例如，包含1个集合元素uri_c——“cn.bing.com/orgid/idtoken/nosignin”)。
例如，在步骤S110中，基于正常访问指定访问接口的大量不同用户(例如，4个用户，正常访问的用户数量越多，统计结果越准确)在不同时间(或时间段)的相同访问模式的以下累积计数：
第一个用户依次访问：/uri_a，/uri_b，/uri_c
第二个用户依次访问：/uri_c，/uri_b，/uri_a
第三个用户依次访问：/uri_a，/uri_c，/uri_b
第四个用户依次访问：/uri_a，/uri_b，/uri_d
计数结果：4次访问uri_a、4次访问uri_b、3次访问uri_c、1次访问uri_d。
因此，对应于访问模式1，预先确定的正常访问特征数据可以是以下形式，对于选定uri集合A(即，uri_a)而言，对其进行访问同时也访问(第一)关联uri集合B(即，uri_b)的概率是100％，对其进行访问同时也访问(第二)关联uri集合C(即，uri_c)的概率是75％，对其进行访问同时也访问(上文未示出)关联uri集合D(即，uri_d)的概率是25％。
可选地，步骤S102包括：
在用户的访问日志序列中，寻找指定访问接口的第一访问日志；
获取在指定访问接口的第一访问日志前后预设时长内的第二访问日志，并将第二访问日志内的uri分类、去重，得到用户访问指定访问接口时同时访问 的关联uri集合并进行预处理，
步骤S104包括：
基于选定uri集合和关联uri集合在正常访问特征数据进行查找，得到对应的访问模式。
例如，上述第一访问日志前后预设时长内是上述第一访问日志前后各30秒的一段时间内。
可选地，步骤S106包括：
针对每一种访问模式单独统计用户在指定时间内进行访问的总访问次数。
可选地，步骤S108包括：
通过以下步骤确定指定访问接口的访问模式相对于正常访问特征数据有缺失：
基于正常访问特征数据，确定选定uri集合与第i个关联uri集合单次同时出现的概率值p i；
确定p i大于概率阈值，确定第i个关联uri集合在指定时间段内没有出现在指定访问模式中的次数r；
确定指定访问接口与第i个关联uri集合连续r次不同时出现为正常的概率值np＝(1-p i) r；
当np小于预设阈值，且r不小于总访问次数时，确定指定访问接口的访问模式相对于正常访问特征数据缺失了第i个关联uri集合；
当确定指定访问接口的访问模式相对于正常访问特征数据有缺失的百分比大于预定百分比值时，确定用户对指定web站点进行了异常访问；当确定百分比不大于预定百分比值时，确定用户对指定web站点进行了正常访问。
例如，根据上文确定的正常用户使用访问模式1对选定uri集合A(即，uri_a)进行访问的同时也访问关联uri集合C(即，uri_c)的概率是75％(假定上述概率阈值为50％，即，此时满足选定uri集合与第二个关联uri集合单次同时出现的概率值p 2>50％的条件)。
如果检测到被检测用户对选定uri集合A(即，uri_a)进行了5次访问，然而，这5次访问都没有访问关联uri集合C(即，uri_c)，这种情况下对应的概率为(1-0.25) 5＝0.0009765625，假定这时的预定百分比值为0.001，那么此时用户对选定uri集合A(即，uri_a)的访问就是异常的。
图2示例性地示出了一种实施例中检查异常web访问的装置200的示意框图。
如图2的实线框所示，根据本文的检查异常web访问的装置200包括：
预处理模块201，用于对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与选定web地址集合关联的关联web地址集合进行预处理，得到与选定web地址集合和关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合；
访问模式确定模块203，用于基于选定uri集合和关联uri集合、以及正常访问特征数据，确定用户访问指定访问接口的访问模式；
总访问次数确定模块205，用于确定指定时间段内用户访问指定访问接口的相同访问模式的总访问次数；
异常访问确定模块207，用于基于总访问次数和正常访问特征数据，确定用户是否对指定web站点进行异常访问，
其中，正常访问特征数据包括访问模式标识、与访问模式标识对应的选定uri集合和关联uri集合、与访问模式标识对应的选定uri集合与关联uri集合同时出现的概率。
可选地，如图2的虚线框所示，检查异常web访问的装置200还包括：
正常访问特征数据确定模块209，用于基于正常访问指定访问接口的不同用户在不同时间的相同访问模式的累积计数，分别计算与指定访问接口的不同访问模式所对应的选定uri集合同时出现在预设时间窗口内的关联uri集合、及选定uri集合与关联uri集合同时出现的概率，预先确定正常访问特征数据。
可选地，预处理模块201通过以下步骤进行预处理：
web地址中包含查询字符串时，从所述web地址中删除所述查询字符串，删除所述查询字符串的web地址剩余部分中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号；
web地址中不包含查询字符串时，所述web地址中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号。
其中，非常用目录参数是指在web地址中不常用的目录参数。例如orgid、idtoken、nosignin、search等均为常用的目录参数。
可选地，预处理模块201还用于：
在用户的访问日志序列中，寻找指定访问接口的第一访问日志；
获取在指定访问接口的第一访问日志前后预设时长内的第二访问日志，并将第二访问日志内的uri分类、去重，得到用户访问指定访问接口时同时访问的关联uri集合并进行预处理，
访问模式确定模块203还用于：
基于选定uri集合和关联uri集合在正常访问特征数据进行查找，得到对应的访问模式。
可选地，总访问次数确定模块205还用于：
针对每一种访问模式单独统计用户在指定时间内进行访问的总访问次数。
可选地，异常访问确定模块207还用于：
通过以下步骤确定指定访问接口的访问模式相对于正常访问特征数据有缺失：
基于正常访问特征数据，确定选定uri集合与第i个关联uri集合单次同时出现的概率值p i；
确定p i大于概率阈值，确定第i个关联uri集合在指定时间段内没有出现在指定访问模式中的次数r；
确定指定访问接口与第i个关联uri集合连续r次不同时出现为正常的概率值np＝(1-p i) r；
当np小于预设阈值，且r不小于总访问次数时，确定指定访问接口的访问模式相对于正常访问特征数据缺失了第i个关联uri集合；
当确定指定访问接口的访问模式相对于正常访问特征数据有缺失的百分比大于预定百分比值时，确定用户对指定web站点进行了异常访问；当确定百分比不大于预定百分比值时，确定用户对指定web站点进行了正常访问。
根据本文的上述技术方案，结合脚本、非法客户端等都具有明确的目的，基于成本问题，很难完全模拟出官方访问渠道的完整行为的特点，能够自动提取用户访问行为中的正常访问特征数据，基于正常访问特征数据进行行为分析，从而检测出异常访问行为。
根据本文的上述技术方案，可以通过挖掘日志序列上的频繁模式规律(即，正常访问特征数据)，得到用户访问各接口的频繁项集合。最终判断用 户调用目标接口时是否绕过了正常访问中的必要步骤，识别出通过非官方渠道调用接口的用户的异常访问行为。
根据本文的上述技术方案，无需预先了解具体业务的接口调用顺序和规则，自动学习用户访问模式。能够自动发现隐含的规律，不会被多人共享的出口ip影响，误判率低。具有通用性，不用修改业务代码，不用针对业务定制开发。不要求分布式系统日志的顺序性。减少了漏判率。无需增加额外的开发成本、且会使系统可维护性提高、不容易导致系统出现各种问题。
图3是根据一示例性实施例示出的一种用于检查异常web访问的装置的框图。例如，装置可以被提供为一服务器。参照图3，装置300包括处理器301，处理器的个数可以根据需要设置为一个或者多个。装置300还包括存储器302，用于存储可由处理器301的执行的指令，例如应用程序。存储器的个数可以根据需要设置一个或者多个。其存储的应用程序可以为一个或者多个。处理器301被配置为执行指令，以执行上述方法。
本领域技术人员应明白，本文的实施例可提供为方法、装置(设备)、或计算机程序产品。因此，本文可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本文可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质上实施的计算机程序产品的形式。计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质,包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质等。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。
本文是参照根据本文实施例的方法、装置(设备)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可 编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的物品或者设备中还存在另外的相同要素。
尽管已描述了本文的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本文范围的所有变更和修改。
显然，本领域的技术人员可以对本文进行各种改动和变型而不脱离本文的精神和范围。这样，倘若本文的这些修改和变型属于本文权利要求及其等同技术的范围之内，则本文的意图也包含这些改动和变型在内。
工业实用性
根据本文的技术方案，能够基于正常访问特征数据进行行为分析，从而检测出异常访问行为。

Claims (13)

  1. 一种检查异常web访问的方法，包括：
    对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与所述选定web地址集合关联的关联web地址集合进行预处理，得到与所述选定web地址集合和所述关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合；
    基于所述选定uri集合和所述关联uri集合、以及正常访问特征数据，确定用户访问所述指定访问接口的访问模式；
    确定指定时间段内用户访问所述指定访问接口的相同访问模式的总访问次数；
    基于所述总访问次数和所述正常访问特征数据，确定用户是否对所述指定web站点进行异常访问，
    其中，所述正常访问特征数据包括访问模式标识、与所述访问模式标识对应的选定uri集合和关联uri集合、与所述访问模式标识对应的选定uri集合与关联uri集合同时出现的概率。
  2. 如权利要求1所述的检查异常web访问的方法，其中，还包括：
    基于正常访问所述指定访问接口的不同用户在不同时间的相同访问模式的累积计数，分别计算与所述指定访问接口的不同访问模式所对应的选定uri集合同时出现在预设时间窗口内的关联uri集合、及选定uri集合与关联uri集合同时出现的概率，预先确定所述正常访问特征数据。
  3. 如权利要求1所述的检查异常web访问的方法，其中，通过以下步骤进行所述预处理：
    web地址中包含查询字符串时，从所述web地址中删除所述查询字符串，删除所述查询字符串的web地址剩余部分中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号；
    web地址中不包含查询字符串时，所述web地址中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号。
  4. 如权利要求1所述的检查异常web访问的方法，其中，所述对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与 所述选定web地址集合关联的关联web地址集合进行预处理，得到与所述选定web地址集合和所述关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合的步骤包括：
    在所述用户的访问日志序列中，寻找所述指定访问接口的第一访问日志；
    获取在所述指定访问接口的所述第一访问日志前后预设时长内的第二访问日志，并将所述第二访问日志内的uri分类、去重，得到所述用户访问所述指定访问接口时同时访问的关联uri集合并进行预处理，
    所述基于所述选定uri集合和所述关联uri集合、以及正常访问特征数据，确定用户访问所述指定访问接口的访问模式的步骤包括：
    基于所述选定uri集合和所述关联uri集合在所述正常访问特征数据进行查找，得到对应的访问模式。
  5. 如权利要求1所述的检查异常web访问的方法，其中，所述确定指定时间段内用户访问所述指定访问接口的相同访问模式的总访问次数的步骤包括：
    针对每一种访问模式单独统计用户在所述指定时间内进行访问的总访问次数。
  6. 如权利要求1所述的检查异常web访问的方法，其中，所述基于所述总访问次数和所述正常访问特征数据，确定用户是否对所述指定web站点进行异常访问的步骤包括：
    通过以下步骤确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失：
    基于所述正常访问特征数据，确定所述选定uri集合与第i个关联uri集合单次同时出现的概率值p i；
    确定p i大于概率阈值，确定所述第i个关联uri集合在所述指定时间段内没有出现在所述指定访问模式中的次数r；
    确定所述指定访问接口与所述第i个关联uri集合连续r次不同时出现为正常的概率值np＝(1-p i) r；
    当np小于预设阈值，且r不小于所述总访问次数时，确定所述指定访问接口的访问模式相对于所述正常访问特征数据缺失了所述第i个关联uri集合；
    当确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失的百分比大于预定百分比值时，确定用户对所述指定web站点进行了异常访问；当确定所述百分比不大于所述预定百分比值时，确定用户对所述指定web站点进行了正常访问。
  7. 一种检查异常web访问的装置，包括：
    预处理模块，用于对用户访问待检查的指定web站点的指定访问接口所对应的选定web地址集合、以及与所述选定web地址集合关联的关联web地址集合进行预处理，得到与所述选定web地址集合和所述关联web地址集合分别对应的经预处理的选定uri集合和关联uri集合；
    访问模式确定模块，用于基于所述选定uri集合和所述关联uri集合、以及正常访问特征数据，确定用户访问所述指定访问接口的访问模式；
    总访问次数确定模块，用于确定指定时间段内用户访问所述指定访问接口的相同访问模式的总访问次数；
    异常访问确定模块，用于基于所述总访问次数和所述正常访问特征数据，确定用户是否对所述指定web站点进行异常访问，
    其中，所述正常访问特征数据包括访问模式标识、与所述访问模式标识对应的选定uri集合和关联uri集合、与所述访问模式标识对应的选定uri集合与关联uri集合同时出现的概率。
  8. 如权利要求7所述的检查异常web访问的装置，其中，还包括：
    正常访问特征数据确定模块，用于基于正常访问所述指定访问接口的不同用户在不同时间的相同访问模式的累积计数，分别计算与所述指定访问接口的不同访问模式所对应的选定uri集合同时出现在预设时间窗口内的关联uri集合、及选定uri集合与关联uri集合同时出现的概率，预先确定所述正常访问特征数据。
  9. 如权利要求7所述的检查异常web访问的装置，其中，所述预处理模块通过以下步骤进行所述预处理：
    web地址中包含查询字符串时，从所述web地址中删除所述查询字符串，删除所述查询字符串的web地址剩余部分中以目录分隔符分隔的目录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号；
    web地址中不包含查询字符串时，所述web地址中以目录分隔符分隔的目 录参数中包括非常用目录参数时，将所述非常用目录参数替换为*号。
  10. 如权利要求7所述的检查异常web访问的装置，其中，所述预处理模块还用于：
    在所述用户的访问日志序列中，寻找所述指定访问接口的第一访问日志；
    获取在所述指定访问接口的所述第一访问日志前后预设时长内的第二访问日志，并将所述第二访问日志内的uri分类、去重，得到所述用户访问所述指定访问接口时同时访问的关联uri集合并进行预处理，
    所述访问模式确定模块还用于：
    基于所述选定uri集合和所述关联uri集合在所述正常访问特征数据进行查找，得到对应的访问模式。
  11. 如权利要求7所述的检查异常web访问的装置，其中，
    异常访问确定模块,还用于通过以下步骤确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失：
    基于所述正常访问特征数据，确定所述选定uri集合与第i个关联uri集合单次同时出现的概率值p i；
    确定p i大于概率阈值，确定所述第i个关联uri集合在所述指定时间段内没有出现在所述指定访问模式中的次数r；
    确定所述指定访问接口与所述第i个关联uri集合连续r次不同时出现为正常的概率值np＝(1-p i) r；
    当np小于预设阈值，且r不小于所述总访问次数时，确定所述指定访问接口的访问模式相对于所述正常访问特征数据缺失了所述第i个关联uri集合；
    当确定所述指定访问接口的访问模式相对于所述正常访问特征数据有缺失的百分比大于预定百分比值时，确定用户对所述指定web站点进行了异常访问；当确定所述百分比不大于所述预定百分比值时，确定用户对所述指定web站点进行了正常访问。
  12. 一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被执行时实现如权利要求1至6中任意一项所述方法的步骤。
  13. 一种计算机设备，包括处理器、存储器和存储于所述存储器上的计算机程序，所述处理器执行所述计算机程序时实现如权利要求1至6中任意一项所述方法的步骤。
PCT/CN2019/094921 2018-07-06 2019-07-05 一种检查异常web访问的方法、装置、介质及设备 WO2020007367A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810737625.4A CN110516170B (zh) 2018-07-06 2018-07-06 一种检查异常web访问的方法及装置
CN201810737625.4 2018-07-06

Publications (1)

Publication Number Publication Date
WO2020007367A1 true WO2020007367A1 (zh) 2020-01-09

Family

ID=68621928

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2019/094921 WO2020007367A1 (zh) 2018-07-06 2019-07-05 一种检查异常web访问的方法、装置、介质及设备

Country Status (2)

Country Link
CN (1) CN110516170B (zh)
WO (1) WO2020007367A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113419890A (zh) * 2021-06-30 2021-09-21 中国银行股份有限公司 异常类型检测方法、装置、服务器及介质

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111210356B (zh) * 2020-01-14 2023-03-21 平安医疗健康管理股份有限公司 医保数据分析方法、装置、计算机设备和存储介质
CN112465073B (zh) * 2020-12-23 2023-08-08 上海观安信息技术股份有限公司 一种基于距离的数值分布异常检测方法及检测系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101388768A (zh) * 2008-10-21 2009-03-18 北京启明星辰信息技术股份有限公司 检测恶意http请求的方法及装置
CN103001954A (zh) * 2012-11-22 2013-03-27 深圳市共进电子股份有限公司 一种web服务器文件保护方法及系统
CN103138986A (zh) * 2013-01-09 2013-06-05 天津大学 一种基于可视分析的网站异常访问行为的检测方法
CN105554007A (zh) * 2015-12-25 2016-05-04 北京奇虎科技有限公司 一种web异常检测方法和装置
WO2017124942A1 (zh) * 2016-01-19 2017-07-27 阿里巴巴集团控股有限公司 一种异常访问检测方法及设备

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6343986B2 (ja) * 2014-03-17 2018-06-20 富士通株式会社 情報処理装置，プログラム，情報処理方法
CN104765689B (zh) * 2015-04-20 2018-09-21 广州华多网络科技有限公司 一种接口性能数据实时监制方法和装置
CN106961410B (zh) * 2016-01-08 2020-02-18 阿里巴巴集团控股有限公司 一种异常访问检测方法及装置
CN106131069B (zh) * 2016-08-26 2019-06-04 北京奇虎科技有限公司 一种Web异常检测方法和装置
CN108153870A (zh) * 2017-12-25 2018-06-12 四川长虹电器股份有限公司 一种用户访问路径预测方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101388768A (zh) * 2008-10-21 2009-03-18 北京启明星辰信息技术股份有限公司 检测恶意http请求的方法及装置
CN103001954A (zh) * 2012-11-22 2013-03-27 深圳市共进电子股份有限公司 一种web服务器文件保护方法及系统
CN103138986A (zh) * 2013-01-09 2013-06-05 天津大学 一种基于可视分析的网站异常访问行为的检测方法
CN105554007A (zh) * 2015-12-25 2016-05-04 北京奇虎科技有限公司 一种web异常检测方法和装置
WO2017124942A1 (zh) * 2016-01-19 2017-07-27 阿里巴巴集团控股有限公司 一种异常访问检测方法及设备

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113419890A (zh) * 2021-06-30 2021-09-21 中国银行股份有限公司 异常类型检测方法、装置、服务器及介质

Also Published As

Publication number Publication date
CN110516170A (zh) 2019-11-29
CN110516170B (zh) 2020-04-28

Similar Documents

Publication Publication Date Title
US11710054B2 (en) Information recommendation method, apparatus, and server based on user data in an online forum
US10484413B2 (en) System and a method for detecting anomalous activities in a blockchain network
CN106897334B (zh) 一种问题推送方法和设备
WO2020007367A1 (zh) 一种检查异常web访问的方法、装置、介质及设备
CN110099059B (zh) 一种域名识别方法、装置及存储介质
GB2595800A (en) Managing data objects for graph-based data structures
CN108156131B (zh) Webshell检测方法、电子设备和计算机存储介质
CN110602029B (zh) 一种用于识别网络攻击的方法和系统
US9288124B1 (en) Systems and methods of classifying sessions
US20180139222A1 (en) Method and device for detecting website attack
CN110830445B (zh) 一种异常访问对象的识别方法及设备
CN107257390B (zh) 一种url地址的解析方法和系统
CN104935601B (zh) 基于云的网站日志安全分析方法、装置及系统
CN111030992B (zh) 检测方法、服务器及计算机可读存储介质
CN104202291A (zh) 基于多因素综合评定方法的反钓鱼方法
US10462257B2 (en) Method and apparatus for obtaining user account
KR102110642B1 (ko) 패스워드 보호 질문 설정 방법 및 디바이스
CN111143654B (zh) 辅助识别爬虫的、爬虫识别方法、装置及电子设备
US20180332126A1 (en) Method for detecting web tracking services
CN112131507A (zh) 网站内容处理方法、装置、服务器和计算机可读存储介质
CN110572302B (zh) 无盘局域网场景识别方法、装置及终端
CN114650176A (zh) 钓鱼网站的检测方法、装置、计算机设备及存储介质
CN112052271A (zh) 一种数据处理方法及装置
CN102253948A (zh) 在多源信息系统中搜索信息的方法和装置
CN111371757A (zh) 恶意通信检测方法、装置、计算机设备和存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19831512

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205 A DATED 03.05.2021)

122 Ep: pct application non-entry in european phase

Ref document number: 19831512

Country of ref document: EP

Kind code of ref document: A1