(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111578668.0 (22)申请日 2021.12.2 2 (71)申请人 北京天融信网络安全技 术有限公司 地址 100085 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 徐自全　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 杨奇松 (51)Int.Cl. H04L 9/40(2022.01) G06F 16/2458(2019.01) G06F 16/22(2019.01) (54)发明名称 一种异常访问检测方法、 装置、 电子设备及 存储介质 (57)摘要 本申请实施例提供一种异常访问检测方法、 装置、 电子设备及存储介质， 涉及网络安全技术 领域。 该方法包括对流经网关的网络报文进行解 析， 以获取所述网络报文的源IP； 若所述源IP存 在于预设的布隆过滤访问记录表中， 则计算所述 网络报文的访问哈希值； 基于所述访问哈希值匹 配所述布隆过滤访问记录表， 以确定所述网络报 文是否为异常访问， 无需提前确定每个ip的边界 信息或者可信任资源池， 不用访问大量日志信 息， 而且消耗的计算资源和内存资源小， 实时性 强， 安全网关类设备均可部署， 解决了现有方法 消耗大量计算资源和内存资源并且耗时较长， 实 时性也较差的问题。 权利要求书2页 说明书8页 附图4页 CN 114244618 A 2022.03.25 CN 114244618 A 1.一种异常访问检测方法， 其特 征在于， 所述方法包括： 对流经网关的网络报文 进行解析， 以获取 所述网络报文的源IP； 若所述源IP存在于预设的布隆过滤访问记录表中， 则计算所述网络报文的访问哈希 值； 基于所述访问哈希值匹配所述布隆过滤访问记录表， 以确定所述网络报文是否为异常 访问。 2.根据权利要求1所述的异常访问检测方法， 其特征在于， 在所述若所述源IP存在于预 设的布隆过滤访问记录表中， 则计算所述网络报文的访问哈希值的步骤之前， 所述方法还 包括： 记录已知内网IP在设定时间周期内的访问记录， 所述访问记录包括源IP、 目的IP、 网络 协议、 源端口和目的端口； 计算所述访问记录的哈希值， 并将所述哈希值存储至以源IP为节点的布隆过滤访问记 录表。 3.根据权利要求1所述的异常访问检测方法， 其特征在于， 所述基于所述访问哈希值匹 配所述布隆过 滤访问记录表， 以确定所述网络报文是否为异常访问， 包括： 若所述网络报文的最新记录时间在设定时间周期内， 则以所述访问哈希值在所述布隆 过滤访问记录表中的当前 过滤器中进行查找； 若不在所述当前 过滤器中， 则在非空的历史过 滤器中查找； 若不在所述历史过滤器中， 则将所述网络报文判定为异常访问并存储至异常访问数据 库中。 4.根据权利要求3所述的异常访问检测方法， 其特征在于， 所述若所述网络报文的最新 记录时间在设定时间周期内， 则以所述访问 哈希值在所述访问记录表中的当前过滤器中进 行查找， 包括： 若在所述当前 过滤器中， 则更新所述当前 过滤器的当前时间。 5.根据权利要求1所述的异常访问检测方法， 其特征在于， 所述基于所述访问哈希值匹 配所述布隆过 滤访问记录表， 以确定所述网络报文是否为异常访问， 包括： 若所述网络报文的最新记录时间不在 设定时间周期内， 则清 空历史过滤器并替换为当 前过滤器； 清空所述当前 过滤器并记录当前时间。 6.根据权利要求1所述的异常访问检测方法， 其特 征在于， 所述方法还 包括： 若所述源IP不存在于预设的布隆过滤访问记录表中， 则新建hash节点、 初始化当前过 滤器并记录当前时间； 将所述访问哈希值存储至当前过滤器中， 所述访问哈希值为以源IP、 目的IP、 网络协 议、 源端口和目的端口计算 生成的哈希值。 7.一种异常访问检测装置， 其特 征在于， 所述装置包括： 解析模块， 用于对流经网关的网络报文 进行解析， 以获取 所述网络报文的源IP； 计算模块， 用于若所述源IP存在于预设的访问记录表中， 则计算所述网络报文的访问 哈希值； 检测模块， 用于基于所述访 问哈希值匹配所述访 问记录表， 以确定所述网络报文是否权　利　要　求　书 1/2 页 2 CN 114244618 A 2为异常访问。 8.根据权利要求7 所述的异常访问检测装置， 其特 征在于， 所述检测模块包括： 时间判断模块， 用于若所述网络报文的最新记录时间在设定时间周期内， 则以所述访 问哈希值在所述访问记录表中的当前 过滤器中进行查找； 查找模块， 用于若不在所述当前 过滤器中， 则在非空的历史过 滤器中查找； 判定模块， 用于若不在所述历史过滤器中， 则将所述网络报文判定为异常访 问并存储 至异常访问数据库中。 9.一种电子设备， 其特征在于， 所述电子设备包括存储器以及处理器， 所述存储器用于 存储计算机程序， 所述处理器运行所述计算机程序以使所述电子设备执行根据权利要求1 至6中任一项所述的异常访问检测方法。 10.一种可读存储介质， 其特征在于， 所述可读存储介质中存储有计算机程序指令， 所 述计算机程序指 令被一处理器读取并运行时， 执行权利要求 1至6任一项 所述的异常访问检 测方法。权　利　要　求　书 2/2 页 3 CN 114244618 A 3