一种恶意网站检测方法、装置、系统及设备

技术领域

本发明涉及网络安全领域，尤其涉及一种恶意网站检测方法、装置、系统及设备。

背景技术

恶意网站是试图通过漏洞，安装恶意软件的方式来干扰计算机操作，收集用户个人信息甚至完全控制用户机器的网站。在多数情况下，恶意网站往往伪装成合法网站的样子，它可以让人们正常浏览页面内容，同时非法获取用户机器中的各种数据。恶意网站不仅是传播电脑病毒的重要源头，还会善用“伪装”手段，传播不良信息或者实现欺诈行为。严重影响了网民利益以及上网的安全性。

恶意网站一般有三种表现形式：钓鱼网站，垃圾邮件网站以及恶意软件网站。钓鱼网站会尽可能的模仿正常网站的表现形式，通过视觉上欺骗用户来窃取用户的隐私信息。当访问者输入自己的个人信息或者银行卡信息时，这些数据将会被不法分子窃取，甚至可能出售用户的个人信息，造成严重损失。垃圾网站是指通过一系列技术颠覆搜索引擎排名算法导致其搜索结果优先的不良网站。垃圾网站中可能含有指向不良网站的链接，虚假或非法的内容等。通过增加用户搜索的几率来像用户传播不良信息。恶意软件网站会在用户未注意时在用户设备上安装恶意软件。通过部署恶意软件来作为提取设备数据，控制设备的切入点。

传统的检测方法主要利用人为选定的网站定量特征结合机器学习方法进行检测，该方法在特征选择上过于依赖专家经验，并且仅考虑单个网站节点的特征，没有将网站节点放在网络整体环境中，忽略了相邻网站节点对于该网站的重要影响关系。基于单个网站节点的机器学习方法无法充分考虑网站的空间特性。

恶意网站作为一种重要的网络攻击手段，近年来随着网络技术的发展，恶意网站形式越来越多样化，增强了恶意网站的隐蔽性与加密性，使得检测越来越困难，对于恶意网站的检测需求也日益增加。传统的检测方法主要使用模式匹配算法或者机器学习算法对单个网站节点的相关统计特征进行检测，该类方法仅考虑了单个网站节点的特征，不能有效的表现相邻网站节点之间的强关系性以及空间特性，且没有考虑现实存在的网站种类数量严重不平衡问题。特征的提取方式也较为依赖专家经验。

近年来，随着自然语言处理的兴起，提供了许多抽取文本信息的方法。在网页中，文本是重要的组成部分，网页的文本语义是判断网页好坏的重要依据。依靠自然语言分析处理网页文本信息，不仅可以强化网页语义表示，还可以不完全依赖专家经验而获取网站特征信息。

有鉴于此，特提出本发明。

发明内容

本发明的目的是提供了一种恶意网站检测方法、装置、系统及设备，能通过检测网站的节点特征以及与网络的拓扑关系对恶意网站准确识别，进而解决现有技术中存在的上述技术问题。

本发明的目的是通过以下技术方案实现的：

本发明实施方式提供一种恶意网站攻击检测方法，包括：

步骤1，网站定量特征提取：获取待检测网站的网页源码，从网页源码中提取待检测网站的定量特征，所述定量特征包括：内容特征和链接特征；

步骤2，网站语义特征提取：从待检测网站的网页源码中选定与网站语义密切相关的重要标签，从选定的重要标签中提取各个标签的语义信息，将各个标签的语义信息合成为待检测网站的语义特征；

步骤3，生成网站的特征向量：将所述步骤1得出的待检测网站的定量特征与所述步骤2得出的待检测网站的语义特征合成为待检测网站的特征向量；

步骤4，检测恶意网站：以待检测网站的特征向量为输入，利用以过采样拓展图拓扑结构方式构建的网站拓扑增广图数据作为训练数据预先训练好的图卷积神经网络分类器进行预测得出该待检测网站的类型分类，所述类型分类包括：恶意网站与合法网站。

本发明实施例还提供一种恶意网站攻击检测装置，包括：网站定量特征提取模块、网站语义特征提取模块、网站特征向量生成模块和恶意网站检测模块；其中，

所述网站定量特征提取模块，与所述网站特征向量生成模块通信连接，能获取待检测网站的网页源码，从网页源码中提取待检测网站的定量特征，所述定量特征包括：内容特征和链接特征；

所述网站语义特征提取模块，与所述网站特征向量生成模块通信连接，能从待检测网站的网页源码中选定与网站语义密切相关的重要标签，从选定的重要标签中提取各个标签的语义信息，将各个标签的语义信息合成为待检测网站的语义特征；

所述网站特征向量生成模块，与所述恶意网站检测模块通信连接，能将所述网站定量特征提取模块得出的待检测网站的定量特征与所述网站语义特征提取模块得出的待检测网站的语义特征合成为待检测网站的特征向量；

所述恶意网站检测模块，能以所述网站特征向量生成模块输出的待检测网站的特征向量为输入，利用以过采样拓展图拓扑结构方式构建的网站拓扑增广图数据作为训练数据预先训练好的图卷积神经网络分类器进行预测得出该待检测网站的类型分类，所述类型分类包括：恶意网站与合法网站。

本发明实施方式还提供一种恶意网站攻击检测系统包括若干终端设备和至少一个应用数据安全网关，所述应用数据安全网关采用本发明所述的恶意网站攻击检测装置；

各终端设备均通过应用数据安全网关访问互联网的网站，在任一终端设备通过应用数据安全网关访问互联网的网站时，由所述应用数据安全网关对所访问的网站进行检测，若检测确认所访问网站为恶意网站时，则禁止终端设备对该恶意网站的访问。

本发明实施方式进一步提供一种处理设备，包括：

至少一个存储器，用于存储一个或多个程序；

至少一个处理器，能执行所述存储器所存储的一个或多个程序，在一个或多个程序被处理器执行时，使得所述处理器能实现本发明所述的方法。

与现有技术相比，本发明所提供的恶意网站检测方法、装置、系统及设备，其有益效果包括：

通过网站语义特征提取将网站标签文本语义引入特征提取环节，摒弃了传统特征提取方式过于依赖专家经验的缺陷，强化表达了网站文本标签主题的相关性以及相邻网页的语义连接性；在预先训练阶段，利用过采样处理方式得到网站拓扑增广图数据训练图卷积神经网络分类器，充分考虑到恶意网站与合法网站数据不平衡的问题，避免了恶意网站样本量不足，若直接用于训练，存在过拟合降低检测准确率的问题；检测恶意网站步骤利用图卷积神经网络作为特征提取器以及分类器，不同于传统方式考虑单节点特征，能挖掘网站之间的关联关系，以构建拓扑图的方式将邻居节点网站的属性融入网站特征学习中，可以更有效地检测网站是否为恶意网站。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的恶意网站检测方法的流程图。

图2为本发明实施例提供的恶意网站检测方法的训练阶段流程图。

图3为本发明实施例提供的恶意网站检测方法的网站语义特征提取步骤的page2vec算法流程图。

图4为本发明实施例提供的恶意网站检测方法的图卷积神经网络分类器的训练框架图。

图5为本发明实施例提供的恶意网站检测装置的构成示意图。

图6为本发明实施例提供的恶意网站检测系统的构成示意图。

具体实施方式

下面结合本发明的具体内容，对本发明实施例中的技术方案进行清楚、完整地描述；显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例，这并不构成对本发明的限制。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

首先对本文中可能使用的术语进行如下说明：

术语“和/或”是表示两者任一或两者同时均可实现，例如，X和/或Y表示既包括“X”或“Y”的情况也包括“X和Y”的三种情况。

术语“包括”、“包含”、“含有”、“具有”或其它类似语义的描述，应被解释为非排它性的包括。例如：包括某技术特征要素(如原料、组分、成分、载体、剂型、材料、尺寸、零件、部件、机构、装置、步骤、工序、方法、反应条件、加工条件、参数、算法、信号、数据、产品或制品等)，应被解释为不仅包括明确列出的某技术特征要素，还可以包括未明确列出的本领域公知的其它技术特征要素。

术语“由……组成”表示排除任何未明确列出的技术特征要素。若将该术语用于权利要求中，则该术语将使权利要求成为封闭式，使其不包含除明确列出的技术特征要素以外的技术特征要素，但与其相关的常规杂质除外。如果该术语只是出现在权利要求的某子句中，那么其仅限定在该子句中明确列出的要素，其他子句中所记载的要素并不被排除在整体权利要求之外。

除另有明确的规定或限定外，术语“安装”、“相连”、“连接”、“固定”等术语应做广义理解，例如：可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本文中的具体含义。

下面对本发明所提供的恶意网站检测方法、装置、系统及设备进行详细描述。本发明实施例中未作详细描述的内容属于本领域专业技术人员公知的现有技术。本发明实施例中未注明具体条件者，按照本领域常规条件或制造商建议的条件进行。本发明实施例中所用试剂或仪器未注明生产厂商者，均为可以通过市售购买获得的常规产品。

如图1所示，本发明实施例提供一种恶意网站攻击检测方法，包括：

步骤1，网站定量特征提取：获取待检测网站的网页源码，从网页源码中提取待检测网站的定量特征，所述定量特征包括：内容特征和链接特征；

步骤2，网站语义特征提取：从待检测网站的网页源码中选定与网站语义密切相关的重要标签，从选定的重要标签中提取各个标签的语义信息，将各个标签的语义信息合成为待检测网站的语义特征；

步骤3，生成网站的特征向量：将所述步骤1得出的待检测网站的定量特征与所述步骤2得出的待检测网站的语义特征合成为待检测网站的特征向量；

步骤4，检测恶意网站：以待检测网站的特征向量为输入，利用以过采样拓展图拓扑结构方式构建的网站拓扑增广图数据作为训练数据预先训练好的图卷积神经网络分类器进行预测得出该待检测网站的类型分类，所述类型分类包括：恶意网站与合法网站。

上述方法中，按以下方式以过采样拓展图拓扑结构方式构建的网站拓扑增广图数据作为训练数据训练图卷积神经网络分类器，包括：

步骤401，对现有网站拓扑进行特征提取：通过图神经网络分类器对输入的网站的特征向量进行提取，学习网站节点表示，得出网站节点属性和图拓扑信息；

步骤402，在嵌入空间中生成少数类节点的特征属性：利用恶意网站的特征值与它们在嵌入空间中最近的邻域进行插值生成新节点属性，该新节点属性属于恶意网站节点类别；

步骤403，构造新合成节点与旧节点之间的链接关系：

新合成节点后需要构造新、旧节点的链接关系，对网站原拓扑图进行扩充，采用带权内积解码器计算新合成节点与旧节点之间的相关性，推导边的生成，根据生成的边在网站原拓扑图上链接新合成节点完成网站原拓扑图的扩充得到网站拓扑增广图数据；

步骤404，以得到的网站拓扑增广图数据作为训练数据训练图卷积神经网络分类器。

上述方法中，所述图卷积神经网络分类器的结构是由输入层、隐藏层和输出层组成的双层图卷积神经网络；

其中，输入层的输入为网站拓扑增广图数据的邻接矩阵以及各网站的特征向量，输入层的图卷积公式为：

其中，g

隐藏层作为特征提取器，接收所述输入层的输出，该隐藏层的传递函数为：

其中，各参数含义为：σ是非线性激活函数；

输出层的前向传播公式为：

其中，W

输出层分类的损失函数为：

其中，Loss是输出层的分类损失函数；Y

上述方法的步骤1中，按以下方式从网页源码中提取待检测网站的内容特征和链接特征，包括：

以标签为单位对网页源码进行拆分，拆分后得到以标签为单位的HTML代码，从