(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111676175.0 (22)申请日 2021.12.31 (71)申请人 深信服科技股份有限公司 地址 518055 广东省深圳市南 山区学苑大 道1001号南山智园A1栋一层 (72)发明人 胡晓晟　刘东　兰家旺　刘宇豪　 (74)专利代理 机构 深圳市深佳知识产权代理事 务所(普通 合伙) 44285 代理人 林志鹏 (51)Int.Cl. G06F 21/55(2013.01) G06K 9/62(2022.01) (54)发明名称 一种Web应用的异常检测方法、 系统、 存储介 质和终端 (57)摘要 本申请一种Web应用的异常检测方法， 包括： 获取Web应用的HTTP报 文； 解析所述HTTP报文， 确 定所述HTTP报 文的键值对； 利用预设业务检测模 型对所述键值对中的键值关系进行检测， 以判断 所述HTTP报文是否属于正常业务； 若否， 生成所 述Web应用的异常告警本申请接收到HTTP报文 后， 对HTTP报文进行解析， 从而得到HTTP报文包 含的全部键值对， 利用预设业务检测模型对键值 对中的键值 关系进行检测， 借助分析HTTP报文的 上下文信息来判断当前http报文是否为客户的 正常业务， 从而降低误报率。 本申请还提供一种 Web应用的异常检测系统、 计算机可读存储介质 和终端， 具有上述有益效果。 权利要求书2页 说明书7页 附图2页 CN 114297641 A 2022.04.08 CN 114297641 A 1.一种Web应用的异常检测方法， 其特 征在于， 包括： 获取所述Web应用的HT TP报文； 解析所述HTTP报文， 确定所述HT TP报文的键值对； 利用预设业务检测模型对所述键值对中的键值关系 进行检测， 以判断所述HTTP报文是 否属于正常业 务； 若否， 生成所述 Web应用的异常告警。 2.根据权利要求1所述的异常检测方法， 其特征在于， 所述获取Web应用的HTTP报文之 前， 还包括： 配置同一 IP地址的最大HT TP报文数量； 相应的， 所述获取Web应用的HT TP报文时包括： 获取同一 IP地址不超过 所述最大HTTP报文数量的HT TP报文。 3.根据权利 要求1所述的异常检测方法， 其特征在于， 获取Web应用的HTTP报文时， 还包 括： 对所述键值对进行正则判断； 若确认存在为 黑数据的键值对， 舍弃 所述黑数据对应的HT TP报文。 4.根据权利要求1所述的异常检测方法， 其特征在于， 利用预设业务检测模型对所述键 值对中的键值关系进行检测， 以判断所述HT TP报文是否属于正常业 务包括： 利用预设业 务检测模型计算所述键值对中的键值关系的流 量得分； 确定所述 正常业务对应所述预设业 务检测模型的训练得分； 若所述流量得分超过 所述训练得分的分数位阈值， 确认所述HT TP报文属于异常业 务； 若所述流量得分未超过所述训练得分的分数位阈值， 确认HTTP报文是否属于正常业 务。 5.根据权利要求4所述的异常检测方法， 其特征在于， 利用预设业务检测模型计算所述 键值对中的键值关系的流 量得分包括： 确定所述键值对中键值关系对应的键值对序列； 利用预设业 务检测模型计算所述键值对序列的流 量得分。 6.根据权利要求1所述的异常检测方法， 其特征在于， 解析所述HTTP报文， 确定所述 HTTP报文的键值对之前， 还 包括： 判断所述预设业 务检测模型 是否处于模型生命周期内； 若否， 在执行解析所述HTTP报文， 确定所述HTTP报文的键值对的步骤之后， 利用预设比 例的所述HT TP报文生成所述预设业 务检测模型。 7.根据权利要求1或6所述的异常检测方法， 其特征在于， 若所述HTTP报文属于非正常 业务， 还包括： 利用所述HT TP报文中作为样本集更新所述预设业 务检测模型。 8.一种Web应用的异常检测系统， 其特 征在于， 包括： 获取模块， 用于获取Web应用的HT TP报文； 解析模块， 用于解析 所述HTTP报文， 确定所述HT TP报文的键值对； 业务检测模块， 用于利用预设业务检测模型对所述键值对中的键值关系进行检测， 以 判断所述HT TP报文是否属于正常业 务；权　利　要　求　书 1/2 页 2 CN 114297641 A 2异常告警模块， 用于所述业务检测模块的判断结果为否时， 生成所述Web应用的异常告 警。 9.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序被 处理器执行时实现如权利要求1 ‑7任一项所述的Web应用的异常检测方法的步骤。 10.一种终端， 其特征在于， 包括存储器和处理器， 所述存储器中存有计算机程序， 所述 处理器调用所述存储器中的计算机程序时实现如权利要求1 ‑7任一项所述的Web应用的异 常检测方法的步骤。权　利　要　求　书 2/2 页 3 CN 114297641 A 3