(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111360998.2 (22)申请日 2021.11.17 (71)申请人 北京华清信安科技有限公司 地址 100043 北京市石景山区实兴东 街11 号1楼1306室 (72)发明人 田新远　 (74)专利代理 机构 北京汇智胜知识产权代理事 务所(普通 合伙) 11346 代理人 赵立军 (51)Int.Cl. G06F 21/56(2013.01) G06F 16/955(2019.01) G06N 20/00(2019.01) (54)发明名称 用于恶意访问的检测分析方法及系统 (57)摘要 本发明公开了一种用于恶意访问的检测分 析方法及系统， 所述方法包括以下步骤： 步骤一， 获取安全日志数据， 清洗处理后进行待测数据的 特征提取， 再次进行数据清洗； 步骤二， 将步骤一 中清洗后的待测数据推送入检测模型组进行攻 击识别， 所述检测模型组包括恶意请求识别模型 和威胁情报库识别模型； 步骤三， 优先阻断所述 检测模型组识别出的恶意数据； 同时， 所述检测 模型组对识别出的恶意数据和非恶意数据进行 呈现， 供后续阻断使用。 本发明能够有效提高恶 意访问数据检测的效率和准确性， 并精准识别出 对应的攻击类型， 对存在恶意访问黑历史数据进 行挖掘， 提高恶意访问检测结果的准确性和完整 性， 并且对恶意访问进行 快捷的响应 。 权利要求书2页 说明书5页 附图1页 CN 114238965 A 2022.03.25 CN 114238965 A 1.用于恶意访问的检测分析 方法， 其特 征在于， 包括以下步骤： 步骤一， 获取安全日志数据， 清洗处理后进行待测数据的特征提取， 再次进行数据清 洗； 步骤二， 将步骤一中清洗后的待测数据推送入检测模型组进行攻击识别， 所述检测模 型组包括恶意请求识别模型和威胁情 报库识别模型； 步骤三， 优先阻断所述检测模型组识别出的恶意数据； 同时， 所述检测模型组对识别出 的恶意数据和非恶意数据进行 呈现， 供后续阻断使用。 2.如权利要求1所述的用于恶意访问的检测分析方法， 其特征在于， 所述恶意请求识别 模型采用机器学习方法来检测URL， 恶意访问地址的检测采用逻辑回归算法来进 行检测， 具 体包括： S201， 将待测数据进行分类处 理； S202， 进行TD重要程度衡量， TD值计算公式如式( Ⅰ)： TD(d,t)＝tsef(d,t)*isef(t)   (Ⅰ) 式(Ⅰ)中， tsef(d,t)代 表url中第d个id索引为t的字符串出现的次数， isef(t)的值 通过式(Ⅱ)计算获得， 式( Ⅱ)如下： 式(Ⅱ)中， dsef(t)代 表id为t的字符串出现在几个url中； S203， 将TD值做归一处 理， 计算所有的TD值， 输出 结果。 3.如权利要求1所述的用于恶意访 问的检测分析方法， 其特征在于， 所述步骤一中， 所 述清洗处理为对安全日志数据进行缺失值处理； 所述缺失值处理采用均值填充、 中位数填 充以及全局常量 ‘Unknow’方式填充。 4.如权利要求1所述的用于恶意访问的检测分析方法， 其特征在于， 所述特征提取采用 词集模型和词袋模型分别对待测数据进行 特征提取。 5.如权利要求4所述的用于恶意访 问的检测分析方法， 其特征在于， 所述步骤一中， 进 行特征提取后， 还需对待测数据再次清洗， 并对待测数据中的关键字进 行分词处理， 对分词 后的数据用作逻辑回归 模型的输入数据转换为逻辑回归的二元格式。 6.如权利要求1所述的用于恶意访问的检测分析方法， 其特征在于， 所述步骤二中的恶 意请求识别模型包括： XS S检测模型、 SQ L注入检测模型以及WebShel l检测模型。 7.如权利要求1所述的用于恶意访问的检测分析方法， 其特征在于， 所述威胁情报库识 别模型具体为： 基于威胁情报库计算待测数据的IP威胁信誉值， 当信誉值低于预设阈值时， 判定其为恶意IP。 8.一种基于如权利要求1 ‑7任一项所述的用于恶意访问的检测分析方法的检测分析系 统， 其特征在于， 包括： 日志采集模块， 其用于获取网络平台的安全日志； 数据清洗模块， 其用于对安全日志数据进行缺失值处理和对特征提取后的待测数据中 的“\”反斜线进行再次清洗； 特征提取模块， 其包括进行 特征提取的词集模型和词袋模型； 检测模块， 其包括： 恶意请求识别模型， 其用于识别待测数据的攻击类别； 和威胁情报权　利　要　求　书 1/2 页 2 CN 114238965 A 2库识别模块， 其基于威胁情 报库计算待测数据的IP威胁信誉值， 并判断其是否为恶意请求； 以及响应模块， 其用于根据检测模块的输出结果， 优先阻断恶意请求识别模型和威胁 情报库识别模块同时命中的恶意请求。 9.如权利要求8所述的检测分析系统， 其特征在于， 还包括： 数据库， 其包括恶意攻击类 型库和威胁情 报库。权　利　要　求　书 2/2 页 3 CN 114238965 A 3