API异常调用行为检测方法、装置、设备及存储介质.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN114329469A(43)申请公布日2022.04.12(21)申请号202111608508.6(22)申请日2021.12.24(71)申请人奇安信科技集团股份有限公司地址100032北京市西城区新街口外大街28号102号楼3层332号申请人网神信息技术（北京）股份有限公司(72)发明人范石林齐向东吴云坤田礼军张泽洲(74)专利代理机构成都维飞知识产权代理有限公司51311代理人张巧燕(51)Int.Cl.G06F21/56(2013.01)G06F21/57(2013.01)权利要求书3页说明书11页附图3页(54)发明名称API异常调用行为检测方法、装置、设备及存储介质(57)摘要本申请提供一种API异常调用行为检测方法、装置、设备及存储介质，通过接收到的API调用请求确定与该API调用请求对应的调用字段的字段特征信息以及需调用的API接口，基于该API接口以及预设的API接口与异常行为判定条件的对应关系，确定与该API接口对应的目标异常行为判定条件，根据API调用请求对应的字段特征信息以及目标异常行为判定条件，判断该API调用请求对应的API调用行为是否异常，实现了异常API调用行为的检测。CN114329469ACN114329469A权利要求书1/3页1.一种API异常调用行为检测方法，其特征在于，包括：根据接收到的API调用请求确定与所述API调用请求对应的调用字段的字段特征信息、以及需调用的API接口；基于预设的API接口与异常行为判定条件的对应关系，确定与所述API接口对应的目标异常行为判定条件；根据所述字段特征信息以及所述目标异常行为判定条件，判断所述API调用请求对应的API调用行为是否异常。2.如权利要求1所述的API异常调用行为检测方法，其特征在于，所述字段特征信息包括：字段集合和字段长度中的至少一种，所述根据接收到的API调用请求确定与所述API调用请求对应的调用字段的字段特征信息，包括：根据当前接收到的API调用请求确定与该API调用请求对应的调用字段的字段集合、和/或字段长度；当所述API调用请求为多条时，所述字段特征信息包括：多条所述API调用请求对应的字段变化频繁度，所述根据接收到的API调用请求确定与所述API调用请求对应的调用字段的字段特征信息，包括：根据接收到的针对所述API接口的多条API调用请求，确定与该多条API调用请求对应的字段变化频繁度，所述字段变化频繁度表征各所述API调用请求对应的调用字段间字段的变化程度。3.如权利要求2所述的API异常调用行为检测方法，其特征在于，所述字段变化频繁度包括：第一字段变化频繁度和第二字段变化频繁度中的至少一种，所述根据接收到的针对所述API接口的多条API调用请求，确定与该多条API调用请求对应的字段变化频繁度，包括：针对预设时长范围内接收到的对于所述API接口的多条API调用请求，统计第一预设情况的出现次数，将该次数作为第一字段变化频繁度；所述第一预设情况为：相邻两次所述API调用请求对应的调用字段不同；和/或，针对预设时长范围内接收到的对于所述API接口的多条API调用请求，统计目标API调用请求组中API调用请求的数量，将该数量作为第二字段变化频繁度；所述目标API调用请求组由连续接收到的多条所述API调用请求组成，且相邻两次所述API调用请求对应的调用字段不同。4.如权利要求3所述的API异常调用行为检测方法，其特征在于，所述根据所述字段特征信息以及所述目标异常行为判定条件，判断所述API调用请求对应的API调用行为是否异常，包括：确定所述字段特征信息满足以下目标异常行为判定条件中的至少一种时，判定所述API调用请求对应的API调用行为异常；第一目标异常行为判定条件：所述字段集合不在预设正常字段集合中；第二目标异常行为判定条件：所述字段长度不在预设字段长度范围内；第三目标异常行为判定条件：所述第一字段变化频繁度大于预设第一字段变化频繁度阈值；2CN114329469A权利要求书2/3页第四目标异常行为判定条件：所述第二字段变化频繁度大于预设第二字段变化频繁度阈值。5.如权利要求4所述的API异常调用行为检测方法，其特征在于，所述方法还包括确定所述预设正常字段集合的步骤：针对所述API接口，获取多条历史正常API调用请求；针对每一所述历史正常API调用请求对应的调用字段，获取对应的字段集合样本得到多个字段集合样本；对多个所述字段集合样本中每一所述调用字段的调用频繁度进行统计分析，根据统计分析结果确定所述预设正常字段集合，所述调用频繁度表征相应的所述调用字段在多个所述字段集合样本中出现的频繁程度。6.如权利要求4所述的API异常调用行为检测方法，其特征在于