恶意网站识别方法、系统、电子设备及存储介质与流程

本技术涉及计算机，尤其涉及一种恶意网站识别方法、系统、电子设备及存储介质。

背景技术：

1、随着信息技术的飞速发展，网络安全越来越重要。而互联网快速发展带来便利的同时，恶意信息在网络上传播也越来越方便。恶意网站即“三无网站”，是指没有获得许可，没有合法登记注册的网站。这类网站内容多样，这些网站所传播的言论和图片可能会损害网民的利益，因此，运营商的互联网数据中心(internet data center，idc)需要对网络上的恶意网站进行及时识别和打击。

2、针对运营商的各个idc集群服务器，传统的方法是使用流量分析、域名分析以及人工内容分析的方式对恶意网站进行识别，进而对其封堵。但恶意网站的类别较多、形式更新较快，单个idc集群服务器的监控参考数据有限，识别方式单一，导致识别准确率较低。

技术实现思路

1、本技术实施例的主要目的在于提出一种恶意网站识别方法、系统、电子设备及存储介质，旨在提高恶意网站识别的准确性。

2、为实现上述目的，本技术实施例的第一方面提出了一种恶意网站识别方法，应用于idc集群服务器中，所述idc集群服务器作为区块链节点，多个所述区块链节点形成区块链网络，所述恶意网站识别方法包括以下步骤：

3、根据各个用户网站的流量信息、页面信息和操作行为信息，从多个所述用户网站中筛选出异常网站；

4、根据所述异常网站检索网站黑名单，得到所述异常网站的第一置信度，其中，所述网站黑名单共享在所述区块链网络中；

5、将所述异常网站输入恶意网站识别模型，得到所述异常网站的第二置信度，其中，所述恶意网站识别模型的模型参数由共享在所述区块链网络中的训练样本进行更新；

6、根据所述第一置信度和所述第二置信度对所述异常网站进行判定，得到恶意网站识别结果。

7、在一些实施例中，所述用户网站的流量信息通过以下步骤获得：

8、获取同一访问对象在第一预设时间段内访问所述用户网站的访问次数；

9、通过访问阈值对所述访问次数进行判定，得到连续访问特征；

10、获取所述用户网站在第二预设时间段内的流量曲线；

11、通过流量阈值对所述流量曲线进行判定，得到网站流量特征；

12、根据所述连续访问特征和所述网站流量特征，得到用户网站的流量信息。

13、在一些实施例中，所述用户网站的页面信息通过以下步骤获得：

14、通过敏感词汇表提取所述用户网站的页面文本内容的敏感词；

15、根据提取出的敏感词的个数确定文本内容特征；

16、分别对每一个所述敏感词进行页面位置评估，得到敏感词位置特征；

17、根据所述文本内容特征和所述敏感词位置特征，得到用户网站的页面信息。

18、在一些实施例中，所述用户网站的操作行为信息通过以下步骤获得：

19、获取所述用户网站的访问对象的网络行为信息，其中，所述网络行为信息包括支付行为时间和接收短信行为时间；

20、根据访问对象的网络行为信息判断访问对象对于所述用户网站是否发生异常访问流量；

21、根据对所述用户网站的多个访问对象的异常访问流量判断结果，确定用户网站的操作行为信息。

22、在一些实施例中，所述根据各个用户网站的流量信息、页面信息和操作行为信息，从多个所述用户网站中筛选出异常网站包括以下步骤：

23、分别对用户网站的流量信息、页面信息和操作行为信息进行异常判定；

24、当所述流量信息、所述页面信息或者所述操作行为信息其中任意一项异常，则将所述用户网站确定为异常网站。

25、在一些实施例中，所述根据所述第一置信度和所述第二置信度对所述异常网站进行判定，得到恶意网站识别结果包括以下步骤：

26、对所述第一置信度和所述第二置信度进行加权计算，得到机器识别置信度；

27、当所述机器识别置信度大于置信度阈值，则显示所述异常网站，以获取审核结果；

28、根据所述审核结果确定恶意网站识别结果。

29、在一些实施例中，所述恶意网站识别方法还包括以下步骤：

30、将所述恶意网站识别结果上传至所述区块链网络，以使所述区块链网络根据所述恶意网站识别结果更新所述恶意网站识别模型的模型参数，其中，所述恶意网站识别结果包括网站异常类型和网站置信度；

31、接收来自所述区块链网络的模型参数；

32、根据所述模型参数更新本地的恶意网站识别模型。

33、为实现上述目的，本技术实施例的第二方面提出了一种恶意网站识别系统，应用于idc集群服务器中，所述idc集群服务器作为区块链节点，多个所述区块链节点形成区块链网络，所述恶意网站识别系统包括：

34、第一模块，用于根据各个用户网站的流量信息、页面信息和操作行为信息，从多个所述用户网站中筛选出异常网站；

35、第二模块，用于根据所述异常网站检索网站黑名单，得到所述异常网站的第一置信度，其中，所述网站黑名单共享在所述区块链网络中；

36、第三模块，用于将所述异常网站输入恶意网站识别模型，得到所述异常网站的第二置信度，其中，所述恶意网站识别模型的模型参数由共享在所述区块链网络中的训练样本进行更新；

37、第四模块，用于根据所述第一置信度和所述第二置信度对所述异常网站进行判定，得到恶意网站识别结果。

38、为实现上述目的，本技术实施例的第三方面提出了一种电子设备，所述电子设备包括存储器、处理器、存储在所述存储器上并可在所述处理器上运行的程序以及用于实现所述处理器和所述存储器之间的连接通信的数据总线，所述程序被所述处理器执行时实现上述第一方面所述的恶意网站识别方法。

39、为实现上述目的，本技术实施例的第四方面提出了一种存储介质，所述存储介质为计算机可读存储介质，用于计算机可读存储，所述存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现上述第一方面所述的恶意网站识别方法。

40、本技术提出的恶意网站识别方法、系统、电子设备及存储介质，每一个idc集群服务器作为一个区块链节点，多个区块链节点构成区块链网络，各个idc集群服务器将识别到的恶意网站共享在区块链网络上并形成网站黑名单，同时区块链网络利用各节点共享的数据对恶意网站的识别模型的模型参数进行更新。对于单个idc集群服务器，其根据各个用户网站的流量信息、页面信息和操作行为信息，从多个用户网站中筛选出异常网站后，利用网站黑名单对异常网站进行进一步比对确定异常网站的第一置信度，以及利用恶意网站识别模型对异常网站进一步识别得到异常网站的第二置信度，根据第一置信度和第二置信度对异常网站进行判定以确认恶意网站识别结果。本技术的网站黑名单和恶意网站识别模型由区块链网络的各个节点共同维护和构建更新，能够提高第一置信度和第二置信度分析的可靠性，从而提高恶意网站识别结果的准确性，单个idc集群服务器在通过流量信息、页面信息和操作行为信息初步筛选可疑的异常网站的基础上，进一步结合网站黑名单和恶意网站识别模型两种方式对异常网站进行判定，进一步提高了恶意网站识别的准确性。