WO2020258509A1 - 终端设备异常访问的隔离方法和装置 - Google Patents

终端设备异常访问的隔离方法和装置 Download PDF

Info

Publication number
WO2020258509A1
WO2020258509A1 PCT/CN2019/103663 CN2019103663W WO2020258509A1 WO 2020258509 A1 WO2020258509 A1 WO 2020258509A1 CN 2019103663 W CN2019103663 W CN 2019103663W WO 2020258509 A1 WO2020258509 A1 WO 2020258509A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal device
euclidean distance
combination feature
feature set
nonlinear combination
Prior art date
Application number
PCT/CN2019/103663
Other languages
English (en)
French (fr)
Inventor
黎立桂
Original Assignee
平安科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 平安科技（深圳）有限公司 filed Critical 平安科技（深圳）有限公司
Publication of WO2020258509A1 publication Critical patent/WO2020258509A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • This application relates to the field of network detection technology. Specifically, this application relates to a method and device for isolating abnormal access of terminal equipment.
  • the server providing the network connection can obtain the data of the click and drag track of the terminal device sent by the terminal device for the access request.
  • the inventor realizes that at present, to determine whether the terminal device is a normal terminal device, it is usually possible to detect whether the terminal device that initiated the access request is a normal terminal device or a web crawler through the data of the click and drag track of the terminal device.
  • the detection method is not easy to distinguish between normally accessed terminal devices and web crawlers, the detection error rate is high, and the detection of normally accessed terminal devices is easy to determine as abnormal access, which affects normal user access and makes it difficult to access the network.
  • the crawler is isolated.
  • this application provides a method for isolating abnormal access to terminal equipment, including the following steps:
  • the first nonlinear combination feature set is historically acquired nonlinear feature information of the terminal device, and the feature information includes the attribute data and access data of the terminal device;
  • the second device parameter currently accessed by the terminal device through a script program on the terminal device to generate a second nonlinear combination feature set; wherein, the second nonlinear combination feature set is the currently acquired nonlinear feature of the terminal device Information, the feature information includes attribute data and access data of the terminal device;
  • the terminal device When the first Euclidean distance is greater than the second Euclidean distance, it is determined that the terminal device is performing abnormal access, and the abnormal access of the corresponding terminal device is isolated.
  • this application also provides an isolation device for abnormal access of terminal equipment, including:
  • An acquiring module configured to acquire a plurality of first nonlinear combination feature sets according to the historical first device parameters of the terminal device, and divide the first nonlinear combination feature sets into a normal state cluster and an abnormal state cluster;
  • a generating module configured to obtain the second device parameters currently accessed by the terminal device through a script program on the terminal device, and generate a second nonlinear combination feature set;
  • a calculation module for calculating the first Euclidean distance between the second nonlinear combination feature set and the centroid of the normal state cluster, and the second Euclidean distance between the second nonlinear combination feature set and the centroid of the abnormal state cluster;
  • the isolation module is used to determine that the terminal device performs abnormal access when the first Euclidean distance is greater than the second Euclidean distance, and perform isolation processing on the abnormal access of the corresponding terminal device.
  • this application also provides a server, including:
  • One or more processors are One or more processors;
  • One or more computer programs wherein the one or more computer programs are stored in the memory and configured to be executed by the one or more processors, and the one or more computer programs are configured to execute A method for isolating abnormal access of terminal equipment, the method for isolating abnormal access of terminal equipment includes the following steps:
  • the first nonlinear combination feature set is historically acquired nonlinear feature information of the terminal device, and the feature information includes the attribute data and access data of the terminal device;
  • the second device parameter currently accessed by the terminal device through a script program on the terminal device to generate a second nonlinear combination feature set; wherein, the second nonlinear combination feature set is the currently acquired nonlinear feature of the terminal device Information, the feature information includes attribute data and access data of the terminal device;
  • the terminal device When the first Euclidean distance is greater than the second Euclidean distance, it is determined that the terminal device is performing abnormal access, and the abnormal access of the corresponding terminal device is isolated.
  • the present application also provides a computer-readable storage medium having a computer program stored on the computer-readable storage medium, and when the computer program is executed by a processor, a method for isolating abnormal access to a terminal device is implemented.
  • the isolation method for abnormal access of terminal equipment includes the following steps:
  • the first nonlinear combination feature set is historically acquired nonlinear feature information of the terminal device, and the feature information includes the attribute data and access data of the terminal device;
  • the second device parameter currently accessed by the terminal device through a script program on the terminal device to generate a second nonlinear combination feature set; wherein, the second nonlinear combination feature set is the currently acquired nonlinear feature of the terminal device Information, the feature information includes attribute data and access data of the terminal device;
  • the terminal device When the first Euclidean distance is greater than the second Euclidean distance, it is determined that the terminal device is performing abnormal access, and the abnormal access of the corresponding terminal device is isolated.
  • the technical solution provided by this application makes it easier to distinguish between normally accessed terminal devices and web crawlers, reduces the probability of web crawlers visiting intruding websites, and effectively isolates web crawlers.
  • FIG. 1 is an application environment diagram of an isolation solution for performing abnormal access to terminal devices in an embodiment of the present application
  • FIG. 2 is a flowchart of a method for isolating abnormal access to a terminal device according to an embodiment of the present application
  • FIG. 3 is a flowchart of a method for isolating abnormal access to a terminal device according to another embodiment of the present application.
  • FIG. 4 is a schematic diagram of an isolation device for abnormal access of terminal equipment according to an embodiment of this application.
  • Figure 5 is a schematic structural diagram of a server according to an embodiment of the application.
  • terminal and “terminal equipment” used herein include both wireless signal receiver equipment, equipment that only has wireless signal receivers without transmitting capability, and equipment receiving and transmitting hardware.
  • a device which has a device capable of performing two-way communication receiving and transmitting hardware on a two-way communication link.
  • Such equipment may include: cellular or other communication equipment, which has a single-line display or multi-line display or cellular or other communication equipment without a multi-line display; PCS (Personal Communications Service, personal communication system), which can combine voice and data Processing, fax and/or data communication capabilities; PDA (Personal Digital Assistant), which can include radio frequency receivers, pagers, Internet/Intranet access, web browsers, notebooks, calendars, and/or GPS (Global Positioning System (Global Positioning System) receiver; a conventional laptop and/or palmtop computer or other device, which has and/or includes a radio frequency receiver, a conventional laptop and/or palmtop computer or other device.
  • PCS Personal Communications Service, personal communication system
  • PDA Personal Digital Assistant
  • GPS Global Positioning System (Global Positioning System) receiver
  • a conventional laptop and/or palmtop computer or other device which has and/or includes a radio frequency receiver, a conventional laptop and/or palmtop computer or other device.
  • terminal and terminal equipment used here may be portable, transportable, installed in vehicles (aviation, sea and/or land), or suitable and/or configured to operate locally, and/or In a distributed form, it runs on the earth and/or any other location in space.
  • the "terminal” and “terminal device” used here can also be communication terminals, Internet terminals, music/video playback terminals, such as PDA, MID (Mobile Internet Device, mobile Internet device) and/or music/video playback Functional mobile phones can also be devices such as smart TVs and set-top boxes.
  • Figure 1 is an application environment diagram of the embodiment of the application; in this embodiment, the technical solution of the application can be implemented on a server.
  • the terminal devices 110 and 120 can access the server through the internet 130.
  • the terminal device 110 and/or 120 sends a network request to the server 130, and the server 130 performs data interaction according to the network request.
  • the server 130 obtains the access data and attribute data of the terminal device 110 and/or 120 according to the request information of the terminal device 110 and/or 120, and performs abnormality detection on the terminal device according to the data.
  • FIG. 2 is a flowchart of a method for isolating abnormal access to a terminal device according to an embodiment. The method includes the following steps:
  • S210 Acquire multiple first nonlinear combination feature sets according to the historical first device parameters of the terminal device, and classify the first nonlinear combination feature sets into a normal state cluster and an abnormal state cluster.
  • the server When the server interacts with the terminal device, it obtains the relevant parameters of the terminal device according to the network request sent by the terminal device. In this step, the server obtains the first device parameter from the network request sent by the historical terminal device, the server analyzes the first device parameter, and obtains a plurality of first nonlinear combination feature sets according to the analysis result.
  • the first nonlinear combination feature set is a feature set generated by an access record of a terminal device that has interacted with the server, and the first nonlinear combination feature set is historically acquired nonlinear feature information of the terminal device, and the feature information Including the attribute data and access data of the terminal device.
  • the attribute data may include the model of the terminal device, the screen resolution x*y of the terminal device, or the available screen resolution X*Y of the browser, and the access data may include the frequency of the terminal device requesting the server.
  • the feature information corresponding to the first non-linear combination feature set is specifically a corresponding feature value.
  • Set the corresponding coordinates and mark the characteristic set or an n-dimensional data point generated by each access record of the historical terminal device on the coordinates.
  • the feature sets formed by different access records form corresponding normal state clusters and abnormal state clusters on the coordinates. According to the consideration that the normal situation is absolutely greater than the abnormal situation, the large cluster is the normal state cluster, and the small cluster is the abnormal state cluster.
  • the feature information values in each feature set are standardized.
  • the feature set of each access record obtained may include a variable with a percentile system and a variable with a value of 5 points. Only when all the data are standardized can they be compared in the same standard.
  • S220 Obtain the second device parameter currently accessed by the terminal device through a script program on the terminal device, and generate a second nonlinear combination feature set.
  • the server provides a script program to the terminal device through a network connection to obtain the second device parameter that the terminal device currently accesses each time.
  • the second device parameter has the same nature as the first device parameter.
  • the second nonlinear combination feature set is currently acquired nonlinear feature information of the terminal device, and the feature information includes attribute data and access data of the terminal device.
  • the server performs analysis according to the second device parameter, extracts the characteristic information of the second device parameter, and generates a second non-linear combined characteristic set of the terminal device that currently sends a network request to the server according to the characteristic information.
  • the feature information included in the second nonlinear combination feature set corresponds to at least the feature information of the first nonlinear combination feature set for subsequent comparison.
  • S230 Calculate the first Euclidean distance between the second nonlinear combination feature set and the centroid of the normal state cluster, and the second Euclidean distance between the second nonlinear combination feature set and the centroid of the abnormal state cluster, respectively.
  • this step by comparing with the historical normal state of the network access of the terminal device, it is obtained whether the network access of the terminal device currently accessing the server is in an abnormal state.
  • step S240 When the first Euclidean distance is greater than the second Euclidean distance, determine that the terminal device is performing abnormal access, and perform isolation processing on the abnormal access of the corresponding terminal device.
  • the first Euclidean distance and the second Euclidean distance obtained in step S230 are compared. If the result of the comparison is that the first Euclidean distance is greater than the second Euclidean distance, it means that the current terminal device initiating a network access request to the server is closer to the abnormal state. At this time, it is determined that the current terminal device initiating a network access request to the server The access status is abnormal.
  • the server directly isolates the network request, that is, refuses to respond to the abnormal access request, and re-requires the terminal device to perform access verification; if the terminal device currently initiates The network request is judged to be a normal access request, and the request is directly responded to.
  • the first non-linear combined feature set and the second non-linear combined feature set are each formed by a set of multiple feature values.
  • the multiple feature values of the nonlinear combination feature set formed by each visit form the corresponding dimension vector. Therefore, in this application, the first non-linear feature set and the first non-linear feature set generated by each visit are measured by its dimensional vector.
  • the normal state clusters and abnormal state clusters of the first nonlinear feature set are state clusters formed by corresponding multiple dimension vectors of the first nonlinear feature set. Therefore, the calculation of Euclidean distance in the technical solution of the present application is the calculation of the spatial distance between the dimensional vectors of the corresponding nonlinear feature sets.
  • the present application provides a method for isolating abnormal access of terminal equipment.
  • the data points of the first non-linear combination feature set of network access initiated by historical terminal equipment are divided into normal state clusters and abnormal state clusters, and the current terminal equipment is reported to the server
  • the second nonlinear combination feature set obtained by initiating the network access request is calculated with the normal state cluster and the abnormal state cluster respectively, and according to the comparison between the distances, whether the network access request initiated by the current terminal device is in an abnormal state is obtained.
  • This application forms the first and second non-linear combined feature sets from the data generated by the terminal device network access, and labels the data points obtained from the first and second non-linear combined feature sets on the coordinates.
  • the technical solution of the present application processes the data generated by the network access request initiated by the terminal device and directly compares the data, avoiding the use of the user’s use of the terminal device in the prior art, such as the click time and time in the user verification process.
  • Data such as dragging trajectory is used as the basis for abnormal detection, which causes the problem of identifying real users as abnormal users, which more accurately reflects the current status of network access requests initiated by terminal devices to the server, and uses simpler and more intuitive data
  • the comparison method obtains the result of anomaly detection, which is helpful for isolating the abnormal access corresponding to the anomaly detection.
  • the second Euclidean distance between the first Euclidean distance between the second nonlinear combination feature set and the centroid of the cluster in the normal state and the centroid of the cluster in the abnormal state is calculated separately. Before the distance, it also includes:
  • the initial centroids are respectively preset for the normal state cluster and the abnormal state cluster of the first nonlinear combination feature set.
  • the positions of the corresponding centroids are obtained according to the dimensional vectors of the normal state clusters and the abnormal state clusters respectively to obtain the corresponding The initial center of mass.
  • the center of mass is the center of mass of the corresponding state cluster, which changes according to the change of the concentration state of the dimensional vector of the state cluster.
  • the value of the position of the data point is directly related to the value of the position of the initial centroid to obtain the value of the position of the new centroid, avoiding the need to re-according to all normal state clusters every time a network request from a historical terminal device is added. Calculate the centroid with the data points of the abnormal state cluster. In this way, it is beneficial to control the amount of calculation for subsequent abnormality detection, so as to maintain the isolation efficiency of abnormal access of the terminal device.
  • a terminal device will send a network request to the server more than once in a short period of time. Therefore, the same terminal device may send a network request to the server in a short period of time. More than one network request.
  • step S230 may include:
  • S231 Calculate the first Euclidean distance between the second non-linear combination feature set and the centroid of the normal state cluster and the second Euclidean distance between the centroid of the abnormal state cluster and the centroid of the cluster in the abnormal state for each visit within a set time period;
  • the mode values of the set of the first Euclidean distance and the set of the second Euclidean distance are respectively used as the first Euclidean distance and the second Euclidean distance within the set time period of the same terminal device. .
  • the second nonlinear combination feature set each time the same terminal device sends a network request, and obtain the corresponding dimensional vector according to the multiple feature values in the second nonlinear combination feature set.
  • the first Euclidean style of each network request of the same terminal device is obtained.
  • Distance and second Euclidean distance are obtained.
  • the set of the first Euclidean distance and the set of the second Euclidean distance are set as 100 as described in the subsection, and the set composed of the 100 first Euclidean distances and the second Euclidean distance are respectively
  • the respective mode value is obtained from the set of distances, that is, the distance value that appears the most in this set number. And use the obtained mode value corresponding to the set of the first Euclidean distance and the set of the second Euclidean distance as the first Euclidean distance and the second Euclidean distance within a set time period corresponding to the same terminal device. distance.
  • the to-be-processed data generated by the same terminal device in a short period of time can be simplified, and the abnormal data caused by accidental factors can be eliminated as far as possible from affecting the results of the relevant Euclidean distance value.
  • step S220 it includes:
  • A1 Obtain the currently accessed second device parameters through the script program on the terminal device, generate a second nonlinear combination feature set, and obtain the user agent of the terminal device from the second nonlinear combination feature set;
  • A2 Obtain the model of the terminal device by analyzing the user agent.
  • the server obtains the current second device parameters through the detection script of the terminal device, obtains the current second nonlinear combination feature set of the terminal device that issued the network request, and obtains the second nonlinear combination feature set from the second nonlinear combination feature set.
  • step S220 it may also include:
  • the normal range values are respectively defined for each feature value of the second nonlinear combination feature set of the terminal device.
  • the terminal device may be in an abnormal state and may be used for crawler deployment to access the network.
  • the non-linear combination feature set of the terminal device that may be in an abnormal state is used as the second non-linear combination feature set, so as to pre-screen the data to be compared to reduce the subsequent data processing such as Euclidean distance calculation and data comparison jobs.
  • the process of comparing each feature value of the second non-linear combination feature set of the terminal device with the normal range value of the corresponding model obtained above may include the pixel ratio of the terminal device, the resolution parameter, or The combination of verification time and verification times.
  • the real pixel ratio of the windows system computer is generally about 1. If the pixel ratio of the windows system computer of the terminal device obtained by the server is greater than or equal to 2, then the computer may simulate the official emulator of the mobile phone to perform the attack verification code, which is very likely to be abnormal Terminal equipment;
  • the real pixel ratio of Apple mobile phones is generally about 2-3. If the pixel ratio of the Apple mobile phone obtained by the server is 1, then it is likely to be an attack verification code such as a crawler or an automated device or an official simulator. Then the corresponding terminal device is very It may be abnormal terminal equipment;
  • the pixel ratio of an Apple mac computer is generally about 1-2. If the pixel ratio of the mac computer obtained by the server is 3, the corresponding terminal device is likely to be an abnormal terminal device.
  • the xy-x1y1 of the chrome browser on the computer side obtained through the front end is not 0, that is, under normal circumstances, the screen resolution of the terminal device and the available resolution of the browser obtained by the chrome browser on the computer side through the server are certain.
  • the screen resolution of the terminal device obtained through the server and the available resolution of the browser are exactly the same or very different (for example, x1y1-xy is greater than 150000), then the corresponding terminal device is likely to be an abnormal terminal equipment.
  • the corresponding low-end equipment is used for crawler deployment.
  • step S210 it can be specifically:
  • the server For the first device parameters about the terminal device collected in history, the server extracts relevant feature information for the first device parameters, such as pixel ratio, resolution, or verification time and frequency, and generates individual feature information for each feature information.
  • relevant feature information for the first device parameters such as pixel ratio, resolution, or verification time and frequency
  • step S210 it may further include:
  • the idle period of network access is obtained according to the historical number of terminal device accesses. And obtain the idle-time access frequency of the same terminal device according to the network access idle period.
  • the display access frequency of the same terminal device will be compared with the preset value.
  • the preset value may be obtained by obtaining statistics of the amount of access of the terminal device during the idle period of the network access by obtaining the history.
  • the terminal device If the access frequency of the terminal device is greater than the preset value, the terminal device is set as the monitoring object, and the second nonlinear combination feature set is acquired. Extract other feature information through the obtained second nonlinear combination feature set, perform further monitoring and comparative analysis, so that network access anomaly detection is more targeted, improve the efficiency of capturing abnormal situations, and improve the isolation of abnormal access caused by web crawlers Effect.
  • an embodiment of the present application also provides a device for isolating abnormal access of terminal equipment, as shown in FIG. 4, including:
  • the obtaining module 410 is configured to obtain a plurality of first nonlinear combination feature sets according to the historical first device parameters of the terminal device, and divide the first nonlinear combination feature sets into a normal state cluster and an abnormal state cluster; wherein, The first nonlinear combination feature set is historically acquired nonlinear feature information of the terminal device, and the feature information includes attribute data and access data of the terminal device;
  • the generating module 420 is configured to obtain the second device parameter currently accessed by the terminal device through a script program on the terminal device, and generate a second nonlinear combination feature set; wherein, the second nonlinear combination feature set is currently acquired Non-linear characteristic information of the terminal device, the characteristic information including the attribute data and access data of the terminal device;
  • the calculation module 430 is configured to calculate the first Euclidean distance between the second nonlinear combination feature set and the centroid of the normal state cluster, and the second Euclidean distance between the second nonlinear combination feature set and the centroid of the abnormal state cluster, respectively;
  • the isolation module 440 is configured to determine that the terminal device performs abnormal access when the first Euclidean distance is greater than the second Euclidean distance, and perform isolation processing on the abnormal access of the corresponding terminal device.
  • FIG. 5 is a schematic diagram of the internal structure of the server in an embodiment.
  • the server includes a processor 510, a storage medium 520, a memory 530, and a network interface 540 connected through a system bus.
  • the storage medium 520 of the server stores an operating system, a database, and computer-readable instructions.
  • the database may store control information sequences.
  • the processor 510 can implement a terminal
  • the processor 510 can implement the functions of the acquiring module 410, the generating module 420, the computing module 430, and the isolation model 440 in an isolation device for abnormal access of terminal equipment in the embodiment shown in FIG.
  • the processor 510 of the server is used to provide computing and control capabilities to support the operation of the entire server.
  • the memory 530 of the server may store computer-readable instructions, and when the computer-readable instructions are executed by the processor 510, the processor 510 may execute a method for isolating abnormal access of a terminal device.
  • the network interface 540 of the server is used to connect and communicate with the terminal.
  • the present application also proposes a non-volatile storage medium storing computer-readable instructions.
  • the one or more processors execute The following steps: Acquire multiple first nonlinear combination feature sets according to the historical first device parameters of the terminal device, and divide the first nonlinear combination feature set into a normal state cluster and an abnormal state cluster; wherein, the first A non-linear combination feature set is historically acquired non-linear feature information of the terminal device, the feature information includes the attribute data and access data of the terminal device; the second device parameter currently accessed by the terminal device is obtained through the script program on the terminal device , Generate a second non-linear combination feature set; wherein, the second non-linear combination feature set is the currently acquired non-linear feature information of the terminal device, the feature information includes the attribute data and access data of the terminal device; respectively calculate the The first Euclidean distance between the second nonlinear combination feature set and the center of mass of the normal state cluster, and the second Euclidean distance
  • the method and device for isolating abnormal access to terminal equipment respectively generate multiple first nonlinear combination feature sets and corresponding second A nonlinear combination feature set, and divide the data points of the plurality of first nonlinear combination feature sets into a normal state cluster and an abnormal state cluster, and calculate the second nonlinear combination feature set and the normal state cluster respectively
  • the first Euclidean distance of the center of mass of, and the second Euclidean distance from the center of mass of the cluster of abnormal state according to the comparison result of the first Euclidean distance and the second Euclidean distance, it is determined whether the network access is an abnormal access , And isolate the request corresponding to the abnormal access.
  • the technical solution provided in this application converts the characteristic information generated by the terminal device when initiating a network access request into corresponding data points, and obtains the determination result according to the spatial position relationship between the data points.
  • the characteristic information obtained from the terminal network access of the terminal device can be used to visually reflect whether the terminal device network access is an abnormal access through the comparison result of the related distance parameters, making it easier to determine whether the terminal device has passed the network crawler Visit the intrusion website to improve the isolation effect of abnormal access to terminal equipment.
  • the present application uses the method and device for isolating abnormal access of terminal equipment, through visual distance comparison of the characteristic information data generated by network access of terminal equipment, and obtaining the technical solution for determining whether it is abnormal access.
  • the user's usage trace data when logging in to the network through a terminal device is a problem that it is easy to identify a real user as an abnormal user, which improves the ability to detect abnormal access to the terminal device.
  • the computer program can be stored in a computer readable storage medium. When executed, it may include the processes of the above-mentioned method embodiments.
  • the aforementioned storage medium may be a storage medium such as a magnetic disk, an optical disc, a read-only memory (Read-Only Memory, ROM), or a random access memory (Random Access Memory, RAM), etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)

Abstract

一种终端设备异常访问的隔离方法和装置，应用于安全检测技术领域，所述方法包括根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇(S210)；通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集(S220)；分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离(S230)；当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理(S240)。该方法有利于提高对终端设备当前终端设备异常访问的隔离能力。

Description

终端设备异常访问的隔离方法和装置
本申请要求于2019年6月28日提交中国专利局、申请号为201910580052.3，发明名称为“终端设备异常访问的隔离方法和装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及网络检测技术领域，具体而言，本申请涉及一种终端设备异常访问的隔离方法和装置。
背景技术
在终端设备网络访问时，提供网络连接的服务器可以获取终端设备发送的访问请求终端设备的点击和拖动轨迹的数据。发明人意识到，目前判断该终端设备是否为正常的终端设备，通常可通过终端设备的点击和拖动轨迹的数据检测该发起访问请求的终端设备属于正常的终端设备还是网络爬虫。但是，由于该检测方法不容易区分正常访问的终端设备和网络爬虫，导致检测的错误率较高，容易将正常访问的终端设备检测判定为异常访问，影响正常的用户访问，导致不容易对网络爬虫进行隔离处理。
发明内容
为克服以上技术问题，特别是现有技术中通过终端设备登录网络时，根据用户的使用痕迹数据容易将真实用户判别为异常用户的问题，特提出以下技术方案：
第一方面，本申请提供一种终端设备异常访问的隔离方法，包括以下步骤：
根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备 参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
第二方面，本申请还提供一种终端设备异常访问的隔离装置，包括：
获取模块，用于根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；
生成模块，用于通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；
计算模块，用于分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
隔离模块，用于当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
第三方面，本申请还提供一种服务器，包括：
一个或多个处理器；
存储器；
一个或多个计算机程序，其中所述一个或多个计算机程序被存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个计算机程序配置用于执行一种终端设备异常访问的隔离方法，所述终端设备异常访问的隔离方法包括以下步骤：
根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
第四方面，本申请还提供一种计算机可读存储介质，所述计算机可读 存储介质上存储有计算机程序，该计算机程序被处理器执行时实现一种终端设备异常访问的隔离方法，所述终端设备异常访问的隔离方法包括以下步骤：
根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
本申请所提供的技术方案更容易对正常访问的终端设备和网络爬虫进行区分，降低网络爬虫访问入侵网站的概率，有效对网络爬虫进行隔离。
附图说明
图1是本申请中的实施例执行终端设备异常访问的隔离方案的应用环境图；
图2是本申请中的一个实施例的终端设备异常访问的隔离方法的流程图；
图3是本申请中的另一个实施例的终端设备异常访问的隔离方法的流程图；
图4为本申请中的一个实施例的终端设备异常访问的隔离装置的示意图；
图5为本申请中的一个实施例的服务器的结构示意图。
具体实施方式
本技术领域技术人员可以理解，这里所使用的“终端”、“终端设备”既包括无线信号接收器的设备，其仅具备无发射能力的无线信号接收器的设备，又包括接收和发射硬件的设备，其具有能够在双向通信链路上，执行双向通信的接收和发射硬件的设备。这种设备可以包括：蜂窝或其他通信设备，其具有单线路显示器或多线路显示器或没有多线路显示器的蜂窝或其他通信设备；PCS(Personal Communications Service，个人通信系统)，其可以组合语音、数据处理、传真和/或数据通信能力；PDA(Personal Digital Assistant，个人数字助理)，其可以包括射频接收器、寻呼机、 互联网/内联网访问、网络浏览器、记事本、日历和/或GPS(Global Positioning System，全球定位系统)接收器；常规膝上型和/或掌上型计算机或其他设备，其具有和/或包括射频接收器的常规膝上型和/或掌上型计算机或其他设备。这里所使用的“终端”、“终端设备”可以是便携式、可运输、安装在交通工具(航空、海运和/或陆地)中的，或者适合于和/或配置为在本地运行，和/或以分布形式，运行在地球和/或空间的任何其他位置运行。这里所使用的“终端”、“终端设备”还可以是通信终端、上网终端、音乐/视频播放终端，例如可以是PDA、MID(Mobile Internet Device，移动互联网设备)和/或具有音乐/视频播放功能的移动电话，也可以是智能电视、机顶盒等设备。
参考图1所示，图1是本申请实施例方案的应用环境图；该实施例中，本申请技术方案可以基于服务器上实现，如图1中，终端设备110和120可以通过internet网络访问服务器130，终端设备110和/或120向服务器130发出的网络请求，服务器130根据网络请求进行数据交互。在进行数据交互时，服务器130根据终端设备110和/或120的请求信息获取终端设备110和/或120的访问数据和属性数据，并根据该数据对该终端设备进行异常检测。
为了解决目前检测异常数据容易将真实用户判别为异常用户的问题，本申请提供了一种终端设备异常访问的隔离方法。可参考图2，图2是一个实施例的终端设备异常访问的隔离方法的流程图，该方法包括以下步骤：
S210、根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇。
服务器与终端设备进行数据交互的时候，根据终端设备发出的网络请求，获取该终端设备的相关参数。在该步骤中，服务器从历史的终端设备所发出的网络请求中得到第一设备参数，服务器对该第一设备参数进行解析，并根据解析的结果获取多个第一非线性组合特征集。
所述第一非线性组合特征集是与服务器进行过数据交互的终端设备一个访问记录生成的特征集，该第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据。例如属性数据可包括终端设备的型号、终端设备的屏幕分辨率x*y或浏览器的可用屏幕分辨率X*Y，访问数据可包括终端设备向服务器发出请求的频率等。
所述第一非线性组合特征集对应的特征信息，在本实施例中，该特征信息具体为对应的特征值。设定对应的坐标，并在坐标上标注历史的终端设备每一次的访问记录生成的特征集或一个n维数据点。关于不同访问记录形成的特征集在坐标上形成对应的正常状态簇和异常状态簇。根据正常情况绝对大于异常情况的考虑，大簇是正常状态簇，小簇是异常状态簇。
进一步地，为了消除变量间的量纲关系,从而使数据具有可比性，在 对特征值标注之前，对各个特征集中的特征信息值进行标准化。例如，在得到的每一次访问记录的特征集中可能包括百分制的变量与一个5分值的变量，只有将所有的数据标准化，才能够在同一标准中进行比较。
S220、通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集。
为了可实时检测所述终端设备的网络访问是否处理异常状态，根据检测需要，对所述终端设备当前每一次访问的状态进行检测。在本步骤中，所述服务器通过网络连接，向所述终端设备提供脚本程序，以获取所述终端设备当前每一次访问的第二设备参数。所述第二设备参数与所述第一设备参数的性质相同。所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据。
服务器根据所述第二设备参数进行解析，提取得到所述第二设备参数的特征信息，根据所述特征信息生成关于当前向服务器发出网络请求的终端设备的第二非线性组合特征集。
所述第二非线性组合特征集所包括的特征信息至少与所述第一非线性组合特征集种的特征信息对应，以便后续进行对比。
S230、分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离。
在该步骤中，通过与历史的终端设备的网络访问的正常状态进行比较，得到当前访问服务器的终端设备的网络访问是否为异常状态。
在标注所述第一非线性组合特征集的特征信息的坐标上，标注从步骤S220生成的并经过标准化处理得到所述第二非线性组合特征集的特征信息，得到相应的数据点。
在利用所述坐标，分别计算所述第二非线性组合特征集得到的数据点至所述与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离，得到所述第二非线性组合特征集分别与正常状态簇和与异常状态簇的实际距离。
S240、当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。根据步骤S230得到的第一欧式距离和第二欧式距离，并进行比较。若比较的结果为所述第一欧式距离大于所述第二欧式距离，即表示当前终端设备向服务器发起网络访问请求更接近异常状态，这时，判定所述当前终端设备向服务器发起网络访问请求为异常访问状态。
对于终端设备当前发起的网络请求被判定为异常访问请求，服务器直接对该网络请求进行隔离处理，即拒绝响应该异常访问请求，并重新要求所述终端设备进行访问验证；若终端设备当前发起的网络请求被判定为正常访问请求，则直接响应请求。
在本申请中，所述第一非线性组合特征集和所述第二非线性组合特征集各自是由多个特征值集合而成的。每一次访问所形成的非线性组合特征 集的多个特征值形成对应的维度向量。因此，在本申请中，每个访问所产生的所述第一非线性特征集和所述第一非线性特征集均以其维度向量进行衡量。而对于所述第一非线性特征集的正常状态簇和异常状态簇，是由对应的多个所述第一非线性特征集的维度向量所形成的状态簇。因此，在本申请的技术方案中的欧式距离的计算是对对应的非线性特征集的维度向量之间的空间距离的计算。
本申请提供的一种终端设备异常访问的隔离方法，通过历史的终端设备发起网络访问的第一非线性组合特征集的数据点划为正常状态簇和异常状态簇，并将当前终端设备向服务器发起网络访问请求得到的第二非线性组合特征集分别与正常状态簇和异常状态簇进行欧式距离计算，并根据距离间的对比，得到当前终端设备所发起的网络访问请求是否为异常状态。本申请将所述终端设备网络访问所产生数据形成第一、第二非线性组合特征集，并在坐标上标注将从第一、第二非线性组合特征集得到的数据点。本申请的技术方案将终端设备发起的网络访问请求所产生的数据进行处理后直接进行对比，避免现有技术中仅对用户使用终端设备的所产生的使用记录如用户验证过程中的点击时间和拖动轨迹等数据作为异常检测的依据所造成容易将真实用户判别为异常用户的问题，更为准确地反应当前终端设备向服务器发起的网络访问请求的状态，并以更为简单、直观的数据对比方式得到异常检测的结果，有利于对异常检测对应的异常访问进行隔离处理。在上述方案描述的基础上，步骤S230之前，即在分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离与异常状态簇的质心之间的第二欧式距离之前，还包括：
分别对所述第一非线性组合特征集的正常状态簇和异常状态簇预设初始质心。
在该步骤中，特别是对于从未与所述第二非线性组合特征集进行欧式距离的计算的情况下，分别根据正常状态簇和异常状态簇的维度向量求取对应质心的位置，得到对应的初始质心。所述质心是对应状态簇的质量中心，其会根据状态簇的维度向量的集中状态的变化而改变。
当初次计算所述第二非线性组合特征集与所述正常状态簇和异常状态簇的欧式距离时，只需计算所述第二非线性组合特征集与所述初始质心的距离便可。
若需继续计算后续终端设备发出网络请求所产生的所述第二非线性组合特征集与正常状态簇和异常状态簇的距离，只需根据之前新产生的所述第二非线性组合特征集的数据点的位置的值直接与所述初始质心的位置的值便可求得新的质心的位置的值，避免每次新增了历史的终端设备的网络请求后，需重新根据所有正常状态簇和异常状态簇的数据点计算质心。这样，有利于控制后续异常检测的运算量，以便保持终端设备异常访问的隔离效率。
根据一般的正常用户的登录网络的使用习惯，对于一个终端设备在短 时间段内向服务器发出网络请求一般情况下会多于一次，因此，就同一终端设备可在短时间段内可能会向服务器发出多于一次的网络请求。
对此，对应的步骤S230可包括：
S231、分别计算在设定时间段内每一次访问的所述第二非线性组合特征集与正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
S232、就同一终端设备在设定时间段内获取排序在前的设定个数所述第一欧式距离的集合和所述第二欧式距离的集合，并分别得到所述第一欧式距离的集合和所述第二欧式距离的集合的众数值；
S233、并分别以所述第一欧式距离的集合和所述第二欧式距离的集合的众数值作为所述同一终端设备在设定时间段内所述第一欧式距离和所述第二欧式距离。
具体地，同一终端设备每向服务器发出一次网络请求，就会形成一对对应的第一欧式距离和第二欧式距离。
在设定时间段内，获取同一终端设备每一次发出网络请求时的第二非线性组合特征集，并根据该第二非线性组合特征集中的多个特征值得到对应的维度向量。在本实施例中，根据第二非线性组合特征集的维度向量分别与所述正常状态簇的质心和所述异常状态簇的质心对应求取同一终端设备每一次网络请求的所述第一欧式距离和第二欧式距离。在设定时间段内，分别根据同一终端设备多次发出网络请求所得到的多个第一欧式距离和多个第二欧式距离中距离值的大小获取排序在前的设定个数的所述第一欧式距离的集合和所述第二欧式距离的集合，如分所述设定的个数为100，并分别就该100个所述第一欧式距离所组成的集合和所述第二欧式距离所组成的集合中得到各自的众数值，即在这设定个数中出现个数最多的距离值。并以该得到的所述第一欧式距离的集合和所述第二欧式距离的集合对应的众数值作为对应同一终端设备在设定时间段内的所述第一欧式距离和所述第二欧式距离。这样，可简化同一终端设备在短时间段内所产生的待处理数据，尽量排除因偶然因素所造成的异常数据影响相关欧式距离值的结果。
对于步骤S220，包括：
A1、通过终端设备上的脚本程序获取当前访问的第二设备参数，生成第二非线性组合特征集，并从所述第二非线性组合特征集中获取终端设备的用户代理；
A2、通过对用户代理进行解析，获取所述终端设备的型号。
在步骤A1-A2中，服务器通过终端设备的检测脚本获取当前的第二设备参数，得到关于发出网络请求的终端设备当前的第二非线性组合特征集，并从该第二非线性组合特征集中获取该终端设备的用户代理。通过对该用户代理进行解析，获得对应所述终端设备的型号。
在此基础上，通过在步骤S220之后，还可以包括：
A3、根据所述终端设备的型号，得到所述终端设备的第二非线性组合特征集的各个特征数值的正常范围；
A4、将所述第二非线性组合特征集的特征数值与所述正常范围进行比较；
A5、得到所述正常范围以外的特征数值对应非线性组合特征集作为第二非线性组合特征集。
根据上述步骤A2得到的终端设备的型号，对所述终端设备的第二非线性组合特征集的各个特征数值分别限定正常范围值。
将获取所述终端设备的第二非线性组合特征集的各个特征数值，与上述得到的对应型号的正常范围值进行对比，根据对比的结果预测对应地终端设备是否处于异常状态，以此作为对网络爬虫进行隔离的依据。
如果对应的终端设备的某一特征值不在其型号的正常范围值内，则所述终端设备可能处于异常状态，很可能被利用进行爬虫部署访问网络。
将该可能处于异常状态的终端设备的非线性组合特征集作为所述第二非线性组合特征集，以便通过对待比较的数据进行预先筛选，减少后期进行欧式距离的求取和数据对比等数据处理工作。
对于将获取所述终端设备的第二非线性组合特征集的各个特征数值，与上述得到的对应型号的正常范围值进行对比的过程，可以包括终端设备的像素比、关于分辨率的参数或者是验证时间和验证次数的综合情况。
具体地，可以参考以下例子：
(1)像素比与终端设备的系统平台是否一致的组合特征：
windows系统电脑的真实像素比一般为1左右，如果服务器所获取终端设备的windows系统电脑的像素比大于等于2，那么有可能是电脑模拟手机的官方模拟器进行攻击验证码，很有可能是异常的终端设备；
苹果手机的真实像素比一般为2-3左右，如果服务器所获取的苹果手机的像素比为1，那么很有可能是爬虫或自动化设备或官方模拟器等攻击验证码，那么对应的终端设备很可能是异常的终端设备；
苹果mac电脑的像素比一般为1-2左右，如果服务器所获取的mac电脑的像素比为3，那么对应的终端设备很可能是异常的终端设备。
(2)生成基于分辨率的非线性组合特征与系统平台是否一致的组合特征：
浏览器可用屏幕分辨率x,y乘积xy与终端设备屏幕分辨率x1,y1乘积x1y1的差值x1y1-xy与系统平台是否一致的组合特征：
比如正常情况下通过前端获取的电脑端chrome浏览器的xy-x1y1不为0，也就是正常情况下电脑端chrome浏览器通过服务器所获取终端设备的屏幕分辨率和浏览器可用分辨率有一定的差值，而电脑模拟手机时通过服务器所获取终端设备的屏幕分辨率和浏览器可用分辨率完全相同或差异很大(比如x1y1-xy大于150000)，那么对应的终端设备很可能是异常的终端设备。
(3)分辨率X*Y取值正常范围与系统平台是否一致的组合特征；
尤其是分辨率过低时，对应低端设备用于爬虫部署)。
对于步骤S210，可具体为：
获取历史采集的终端设备的第一设备参数，提取所述第一设备参数的特征信息，根据所述特征信息生成多个第一非线性组合特征集。
针对历史采集的关于终端设备的第一设备参数，服务器针对所述第一设备参数提取相关的特征信息，如像素比、分辨率或验证时间和频率等特征信息，并针对每个特征信息生成各自的第一非线性组合特征集，并综合同一终端设备每一次的发起网络请求所生成的所有第一非线性组合特征集，可形成一个多维向量的数据点，并可在对应的坐标上进行标注，以便进行后续的数据分析和统计。
在步骤S210之后，还可以包括：
B1、根据历史的终端设备的访问量得到网络访问的闲时段；
B2、获取在同一所述网络访问闲时段内同一终端设备的闲时访问频率；
B3、将所述闲时访问频率与预设值进行对比；
B4、若所述闲时访问频率大于预设值，获取对应终端设备的第二非线性组合特征集。
依据上述步骤B1-B4，根据历史的终端设备的访问数量得到网络访问闲时段。并根据所述网络访问闲时段获取同一终端设备的闲时访问频率。将就同一终端设备的显示访问频率与预设值进行对比。在本实施例中，所述预设值可以通过获取历史的终端设备在所述网络访问闲时段的访问量统计得到。
如果所述终端设备的访问频率大于预设值，则将该终端设备设定为监控对象，并获取其第二非线性组合特征集。通过获得的第二非线性组合特征集提取其他特征信息，进行进一步的监控、对比分析，以便网络访问异常检测更具针对性，提高异常情况的捕获效率，提升对网络爬虫造成的异常访问进行隔离的效果。
基于与上述终端设备异常访问的隔离方法相同的发明构思，本申请实施例还提供了一种终端设备异常访问的隔离装置，如图4所示，包括：
获取模块410，用于根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
生成模块420，用于通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
计算模块430，用于分别计算所述第二非线性组合特征集与所述正常 状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
隔离模块440，用于当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
请参考图5，图5为一个实施例中服务器的内部结构示意图。如图4所示，该服务器包括通过系统总线连接的处理器510、存储介质520、存储器530和网络接口540。其中，该服务器的存储介质520存储有操作系统、数据库和计算机可读指令，数据库中可存储有控件信息序列，该计算机可读指令被处理器510执行时，可使得处理器510实现一种终端设备异常访问的隔离方法，处理器510能实现图4所示实施例中的一种终端设备异常访问的隔离装置中的获取模块410、生成模块420、计算模块430和隔离模型440的功能。该服务器的处理器510用于提供计算和控制能力，支撑整个服务器的运行。该服务器的存储器530中可存储有计算机可读指令，该计算机可读指令被处理器510执行时，可使得处理器510执行一种终端设备异常访问的隔离方法。该服务器的网络接口540用于与终端连接通信。本领域技术人员可以理解，图5中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的服务器的限定，具体的服务器可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
在一个实施例中，本申请还提出了一种非易失性存储有计算机可读指令的存储介质，该计算机可读指令被一个或多个处理器执行时，使得一个或多个处理器执行以下步骤：根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
综合上述实施例可知，本申请最大的有益效果在于：
本申请所提供的一种终端设备异常访问的隔离方法和装置，分别对所述历史采集的终端设备的网络访问和当前的网络访问分别生成多个第一非线性组合特征集和对应的第二非线性组合特征集，并将所述多个第一非线性组合特征集的数据点分为正常状态簇和异常状态簇，分别计算得到所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及 与异常状态簇的质心之间的第二欧式距离；根据所述第一欧式距离与所述第二欧式距离的比较结果，判定所述网络访问是否为异常访问，并对异常访问对应的请求进行隔离处理。
本申请所提供的技术方案将所述终端设备在发起网络访问请求时所生成的特征信息转化为相应的数据点，并根据数据点相互之间的空间位置关系，并以此得到判定结果。这样，可以将终端设备终端网络访问得到的特性信息以通过相关间的距离参数的比较结果，直观地反映所述终端设备网络访问是否为异常访问，使得更容易判断所述终端设备是否通过网络爬虫访问入侵网站，提高对终端设备的异常访问的隔离效果。
综上，本申请通过终端设备异常访问的隔离方法和装置，通过将终端设备网络访问所生成的特征信息数据进行可视化的距离对比，并得到判定是否为异常访问的判定结果的技术方案，解决了现有技术中通过终端设备登录网络时用户的使用痕迹数据容易将真实用户判别为异常用户的问题，提高了对终端设备异常访问的检测能力。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，该计算机程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，前述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)等存储介质，或随机存储记忆体(Random Access Memory，RAM)等。
以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (20)

  1. 一种终端设备异常访问的隔离方法，包括以下步骤：
    根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
    通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
    分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
    当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
  2. 根据权利要求1所述的方法，在所述分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离的步骤之前，还包括：
    分别对所述第一非线性组合特征集的正常状态簇和异常状态簇预设初始质心。
  3. 根据权利要求1或2所述的方法，所述分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离的步骤包括：
    分别计算在设定时间段内每一次访问的所述第二非线性组合特征集与正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
    就同一终端设备在设定时间段内获取排序在前的设定个数所述第一欧式距离的集合和所述第二欧式距离的集合，并分别得到所述第一欧式距离的集合和所述第二欧式距离的集合的众数值；
    并分别以所述第一欧式距离的集合和所述第二欧式距离的集合的众数值作为所述同一终端设备在设定时间段内所述第一欧式距离和所述第二欧式距离。
  4. 根据权利要求1所述的方法，所述通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集的步骤包括：
    通过终端设备上的脚本程序获取当前访问的第二设备参数，生成第二非线性组合特征集，并从所述第二非线性组合特征集中获取终端设备的用户代理；
    通过对用户代理进行解析，获取所述终端设备的型号。
  5. 根据权利要求4所述的方法，在所述通过对用户代理进行解析，获取所述终端设备的型号的步骤之后，还包括：
    根据所述终端设备的型号，得到所述终端设备的第二非线性组合特征集的各个特征数值的正常范围；
    将所述第二非线性组合特征集的特征数值与所述正常范围进行比较；
    得到所述正常范围以外的特征数值对应终端设备的非线性组合特征集作为第二非线性组合特征集。
  6. 根据权利要求1所述的方法，所述根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集的步骤包括：
    获取历史采集的终端设备的第一设备参数，提取所述第一设备参数的特征信息，根据所述特征信息生成多个第一非线性组合特征集。
  7. 根据权利要求1所述的方法，所述根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集的步骤之后，还包括：
    根据历史的终端设备的访问量得到网络访问闲时段；
    获取在同一所述网络访问闲时段内同一终端设备的闲时访问频率；
    将所述闲时访问频率与预设值进行对比；
    若所述闲时访问频率大于预设值，获取对应终端设备的第二非线性组合特征集。
  8. 一种终端设备异常访问的隔离装置，包括：
    获取模块，用于根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；
    生成模块，用于通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；
    计算模块，用于分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
    隔离模块，用于当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
  9. 一种服务器，包括：
    一个或多个处理器；
    存储器；
    一个或多个计算机程序，其中所述一个或多个计算机程序被存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个计算机程序配置用于执行一种终端设备异常访问的隔离方法，所述终端设备异常访问的隔离方法包括以下步骤：
    根据历史的终端设备的第一设备参数获取多个第一非线性组合特征 集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
    通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
    分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
    当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
  10. 根据权利要求9所述的服务器，在所述分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离的步骤之前，还包括：
    分别对所述第一非线性组合特征集的正常状态簇和异常状态簇预设初始质心。
  11. 根据权利要求9或10所述的服务器，所述分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离的步骤包括：
    分别计算在设定时间段内每一次访问的所述第二非线性组合特征集与正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
    就同一终端设备在设定时间段内获取排序在前的设定个数所述第一欧式距离的集合和所述第二欧式距离的集合，并分别得到所述第一欧式距离的集合和所述第二欧式距离的集合的众数值；
    并分别以所述第一欧式距离的集合和所述第二欧式距离的集合的众数值作为所述同一终端设备在设定时间段内所述第一欧式距离和所述第二欧式距离。
  12. 根据权利要求9所述的服务器，所述通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集的步骤包括：
    通过终端设备上的脚本程序获取当前访问的第二设备参数，生成第二非线性组合特征集，并从所述第二非线性组合特征集中获取终端设备的用户代理；
    通过对用户代理进行解析，获取所述终端设备的型号。
  13. 根据权利要求12所述的服务器，在所述通过对用户代理进行解析，获取所述终端设备的型号的步骤之后，还包括：
    根据所述终端设备的型号，得到所述终端设备的第二非线性组合特征集的各个特征数值的正常范围；
    将所述第二非线性组合特征集的特征数值与所述正常范围进行比较；
    得到所述正常范围以外的特征数值对应终端设备的非线性组合特征集作为第二非线性组合特征集。
  14. 根据权利要求9所述的服务器，所述根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集的步骤包括：
    获取历史采集的终端设备的第一设备参数，提取所述第一设备参数的特征信息，根据所述特征信息生成多个第一非线性组合特征集。
  15. 根据权利要求9所述的服务器，所述根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集的步骤之后，还包括：
    根据历史的终端设备的访问量得到网络访问闲时段；
    获取在同一所述网络访问闲时段内同一终端设备的闲时访问频率；
    将所述闲时访问频率与预设值进行对比；
    若所述闲时访问频率大于预设值，获取对应终端设备的第二非线性组合特征集。
  16. 一种非易失性计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现一种终端设备异常访问的隔离方法，所述终端设备异常访问的隔离方法包括以下步骤：
    根据历史的终端设备的第一设备参数获取多个第一非线性组合特征集，并将所述第一非线性组合特征集划为正常状态簇和异常状态簇；其中，所述第一非线性组合特征集为历史获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
    通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集；其中，所述第二非线性组合特征集为当前获取的终端设备的非线性特征信息，该特征信息包括终端设备的属性数据和访问数据；
    分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离；
    当所述第一欧式距离大于所述第二欧式距离，判定所述终端设备进行异常访问，并对对应的终端设备的异常访问进行隔离处理。
  17. 根据权利要求16所述的非易失性计算机可读存储介质，在所述分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离的步骤之前，还包括：
    分别对所述第一非线性组合特征集的正常状态簇和异常状态簇预设初始质心。
  18. 根据权利要求16或17所述的非易失性计算机可读存储介质，所述分别计算所述第二非线性组合特征集与所述正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第二欧式距离的步骤包括：
    分别计算在设定时间段内每一次访问的所述第二非线性组合特征集与正常状态簇的质心的第一欧式距离，以及与异常状态簇的质心之间的第 二欧式距离；
    就同一终端设备在设定时间段内获取排序在前的设定个数所述第一欧式距离的集合和所述第二欧式距离的集合，并分别得到所述第一欧式距离的集合和所述第二欧式距离的集合的众数值；
    并分别以所述第一欧式距离的集合和所述第二欧式距离的集合的众数值作为所述同一终端设备在设定时间段内所述第一欧式距离和所述第二欧式距离。
  19. 根据权利要求16所述的非易失性计算机可读存储介质，所述通过终端设备上的脚本程序获取所述终端设备当前访问的第二设备参数，生成第二非线性组合特征集的步骤包括：
    通过终端设备上的脚本程序获取当前访问的第二设备参数，生成第二非线性组合特征集，并从所述第二非线性组合特征集中获取终端设备的用户代理；
    通过对用户代理进行解析，获取所述终端设备的型号。
  20. 根据权利要求19所述的非易失性计算机可读存储介质，在所述通过对用户代理进行解析，获取所述终端设备的型号的步骤之后，还包括：
    根据所述终端设备的型号，得到所述终端设备的第二非线性组合特征集的各个特征数值的正常范围；
    将所述第二非线性组合特征集的特征数值与所述正常范围进行比较；
    得到所述正常范围以外的特征数值对应终端设备的非线性组合特征集作为第二非线性组合特征集。
PCT/CN2019/103663 2019-06-28 2019-08-30 终端设备异常访问的隔离方法和装置 WO2020258509A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201910580052.3 2019-06-28
CN201910580052.3A CN110445753A (zh) 2019-06-28 2019-06-28 终端设备异常访问的隔离方法和装置

Publications (1)

Publication Number Publication Date
WO2020258509A1 true WO2020258509A1 (zh) 2020-12-30

Family

ID=68428743

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2019/103663 WO2020258509A1 (zh) 2019-06-28 2019-08-30 终端设备异常访问的隔离方法和装置

Country Status (2)

Country Link
CN (1) CN110445753A (zh)
WO (1) WO2020258509A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111600880A (zh) * 2020-05-14 2020-08-28 深信服科技股份有限公司 异常访问行为的检测方法、系统、存储介质和终端
CN116150542B (zh) * 2023-04-21 2023-07-14 河北网新数字技术股份有限公司 一种动态页面的生成方法和装置及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110016525A1 (en) * 2009-07-14 2011-01-20 Chi Yoon Jeong Apparatus and method for detecting network attack based on visual data analysis
CN107819631A (zh) * 2017-11-23 2018-03-20 东软集团股份有限公司 一种设备异常检测方法、装置及设备
CN109391620A (zh) * 2018-10-22 2019-02-26 武汉极意网络科技有限公司 异常行为判定模型的建立方法、系统、服务器及存储介质
CN109886290A (zh) * 2019-01-08 2019-06-14 平安科技（深圳）有限公司 用户请求的检测方法、装置、计算机设备及存储介质

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107465648B (zh) * 2016-06-06 2020-09-04 腾讯科技（深圳）有限公司 异常设备的识别方法及装置
CN109446768B (zh) * 2018-10-09 2020-10-13 北京北信源软件股份有限公司 应用访问行为异常检测方法及系统
CN109714311B (zh) * 2018-11-15 2021-12-31 北京天地和兴科技有限公司 一种基于聚类算法的异常行为检测的方法
CN109800130A (zh) * 2019-01-31 2019-05-24 郑州云海信息技术有限公司 一种设备监控方法、装置、设备及介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110016525A1 (en) * 2009-07-14 2011-01-20 Chi Yoon Jeong Apparatus and method for detecting network attack based on visual data analysis
CN107819631A (zh) * 2017-11-23 2018-03-20 东软集团股份有限公司 一种设备异常检测方法、装置及设备
CN109391620A (zh) * 2018-10-22 2019-02-26 武汉极意网络科技有限公司 异常行为判定模型的建立方法、系统、服务器及存储介质
CN109886290A (zh) * 2019-01-08 2019-06-14 平安科技（深圳）有限公司 用户请求的检测方法、装置、计算机设备及存储介质

Also Published As

Publication number Publication date
CN110445753A (zh) 2019-11-12

Similar Documents

Publication Publication Date Title
CN112417439B (zh) 账号检测方法、装置、服务器及存储介质
AU2015201161B2 (en) Event correlation
US10922206B2 (en) Systems and methods for determining performance metrics of remote relational databases
CN110392046B (zh) 网络访问的异常检测方法和装置
CN107305611B (zh) 恶意账号对应的模型建立方法和装置、恶意账号识别的方法和装置
WO2020181897A1 (zh) 终端设备识别方法、系统及存储介质
US20210014124A1 (en) Feature-based network embedding
CN113162923B (zh) 基于用户行为的用户可信度评估方法、装置及存储介质
WO2020258509A1 (zh) 终端设备异常访问的隔离方法和装置
CN111953665B (zh) 服务器攻击访问识别方法及系统、计算机设备、存储介质
CN112016078A (zh) 一种登录设备的封禁检测方法、装置、服务器和存储介质
CN111935820A (zh) 基于无线网络的定位实现方法及相关设备
WO2017054307A1 (zh) 用户信息的识别方法及装置
CN110580171B (zh) App分类方法、相关装置及产品
CN110311909B (zh) 终端设备网络访问的异常判定方法和装置
CN112671724A (zh) 一种终端安全检测分析方法、装置、设备及可读存储介质
CN110401639B (zh) 网络访问的异常判定方法、装置、服务器及其存储介质
US20230118341A1 (en) Inline validation of machine learning models
CN112929369B (zh) 一种分布式实时DDoS攻击检测方法
CN110417744B (zh) 网络访问的安全判定方法和装置
CN113139182A (zh) 一种在线电商平台的数据入侵检测方法
CN115134102A (zh) 异常访问检测方法、装置、存储介质及电子设备
CN112307475A (zh) 一种系统检测方法及装置
CN114944962B (zh) 一种数据安全防护方法及系统
CN117471421B (zh) 对象跌倒检测模型的训练方法及跌倒检测方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19934840

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19934840

Country of ref document: EP

Kind code of ref document: A1