多个异常检测模型。
[0176]稳定状态确定模块402，用于在所述采用各个异常检测模型，分别检测目标web访问是否为异常web访问之前，通过统计所述异常检测模型中至少一个web访问特征的个数符合第一预设范围，和/或，检测结果的检测方差符合第二预设范围，确定所述异常检测模型处于稳定状态。
[0177]异常检测模块403，用于采用各个异常检测模型，分别检测目标web访问是否为异常web访问。
[0178]异常类型标记模块404，用于将检测结果为异常web访问的异常检测模型对应的web访问特征，标记为所述目标web访问的异常类型。
[0179]本发明实施例中，优选地，所述异常检测模型创建模块401包括:
[0? 8O]第一异常检测模型创建子模块，用于统计历史web访问记录中所述web访问特征的取值范围，创建判断所述web访问特征是否符合所述取值范围的第一异常检测模型。
[0181 ]本发明实施例中，优选地，所述异常检测模块403，具体用于采用所述异常检测模型判断所述目标web访问的web访问特征是否符合所述取值范围，若不符合，则确定所述目标web访问为异常web访问。
[0182]本发明实施例中，优选地，所述异常检测模型创建模块401，具体用于统计各个web访问特征出现的概率，并创建基于各个web访问特征预测所述web访问为异常web访问的概率的第二异常检测模型。
[0183]本发明实施例中，优选地，所述异常检测模块403包括:
[0184]目标概率预测子模块，用于分别采用各个异常检测模型预测所述目标web访问为异常web访问的目标概率；
[0?85] 异常web访问确定子模块，用于在所述web访问记录中所有web访问对应的概率中，若所述目标概率的排序低于预设值，则确定所述目标web访问为异常web访问。
[0186]本发明实施例中，优选地，所述web访问特征包括访问路径、访问参数和访问参数值中至少一种，所述异常检测模型创建模块401包括:
[0187]第三异常检测模型创建子模块，用于根据各个访问参数出现的次数统计各个访问路径出现的第一概率，并基于所述第一概率，创建基于所述访问路径预测所述web访问为异常web访问的概率的第三异常检测模型；
[0188]和/或，第四异常检测模型创建子模块，用于针对同一访问路径，统计各个访问参数出现的第二概率，并基于所述第二概率，创建基于所述访问参数预测所述web访问为异常web访问的概率的第四异常检测模型；
[0189]和/或，第五异常检测模型创建子模块，用于针对同一访问参数，统计各访问参数值出现的第三概率，并基于所述第三概率，创建基于所述访问参数值预测所述web访问为异常web访问的概率的第五异常检测模型。
[0190]本发明实施例中，优选地，所述第三异常检测模型创建子模块包括:
[0191]次数读取子单元，用于针对各个访问路径，从第一哈希表读取所述访问路径包括的访问参数出现的第一次数，以及从第二哈希表读取所述访问路径包括的访问参数二元组出现的第二次数；
[0192]第五概率统计子单元，用于根据所述第一次数和第二次数统计各个访问参数二元组出现的第五概率；
[0193]第一概率统计子单元，用于根据各个访问参数二元组出现的第五概率，统计各个访问路径出现的第一概率。
[0194]本发明实施例中，优选地，所述装置还包括:
[0195]稳定状态确定模块，用于在所述采用各个异常检测模型，分别检测目标web访问是否为异常web访问之前，通过统计所述异常检测模型中至少一个web访问特征的个数符合第一预设范围，和/或，检测结果的检测方差符合第二预设范围，确定所述异常检测模型处于稳定状态。
[0196]本发明实施例中，优选地，所述装置还包括:
[0197]信息展示模块，用于展示所述web访问的异常类型、访问源IP以及访问时间，所述web访问特征包括访问源IP和访问时间。
[0198]本发明实施例中，优选地，所述装置还包括:
[0199]web攻击事件确定模块，用于若在第一时间段内检测到同一访问源IP的异常web访问超出预设个数，则确定发生所述访问源IP的web攻击事件，并通报所述web攻击事件，所述web访问特征包括访问源IP和访问时间。
[0200]本发明实施例中，优选地，所述装置还包括:
[0201]异常检测模型重新创建模块，用于若在第二时间段内检测到预设个数的不同访问源IP的web攻击事件，则获取更新的历史web访问记录，并重新创建各个异常检测模型。
[0202]依据本发明实施例，根据从历史web访问记录中解析的多个web访问特征，创建基于所述web访问特征检测异常web访问的多个异常检测模型，利用创建的多个异常检测模型实现对未知漏洞和新型攻击进行自动检测，无需重新收集数据和制定规则，保证了较高的检出率和准确率，降低了人工的工作量，节省了人力和检测时间。进一步，因为使用web访问特征标记处于异常状态的目标web访问的异常类型，所以安全人员可以快速确定目标web访问中出现异常的web访问特征，及时对出现异常的web访问特征对应的异常检测模型进行模型修改或模型重建，保证了模型修改或模型重建的时效性。
[0203]对于上述基于地理位置的来电管理装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
[0204]本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。
[0205]本领域技术人员易于想到的是:上述各个实施例的任意组合应用都是可行的，故上述各个实施例之间的任意组合都是本发明的实施方案，但是由于篇幅限制，本说明书在此就不一一详述了。
[0206]在此提供的基于地理位置的来电管理方案不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造具有本发明方案的系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
[0207]在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
[0208]类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图:即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循【具体实施方式】的权利要求书由此明确地并入该【具体实施方式】，其中每个权利要求本身都作为本发明的单独实施例。
[0209]本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
[0210]此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
[0211]本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的web异常检测方案中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
[0212]应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
[0213]本发明公开了Al、一种web异常检测方法，其中，包括:
[0214]根据从历史web访问记录中解析的多个web访问特征，创建基于所述web访问特征检测异常web访问的多个异常检测模型；
[0215]采用各个异常检测模型，分别检测目标web访问是否为异常web访问；
[0216]将检测结果为异常web访问的异常检测模型对应的web访问特征，标记为所述目标web访问的异常类型。
[0217]A2、根据Al所述的方法，其中，所述根据从历史web访问记录中解析的多个web访问特征，创建基于所述web访问特征检测异常web访问的多个异常检测模型包括:
[0218]统计历史web访问记录中所述web访问特征的取值范围，创建判断所述web访问特征是否符合所述取值范围的第一异常检测模型。
[0219]A3、根据A2所述的方法，其中，所述采用各个异常检测模型，分别检测目标web访问是否为异常web访冋包括:
[0220]采用所述异常检测模型判断所述目标web访问的web访问特征是否符合所述取值范围，若不符合，则确定所述目标web访问为异常web访问。
[0221 ] A4、根据Al所述的方法，其中，所述根据从历史web访问记录中解析的多个web访问特征，创建基于所述web访问特征检测异常web访问的多个异常检测模型包括:
[0222]统计各个web访问特征出现的概率，并创建基于各个web访问特征预测所述web访问为异常web访问的概率的第二异常检测模型。
[0223]A5、根据A4所述的方法，其中，所述采用各个异常检测模型，分别检测目标web访问是否为异常web访问包括:
[0224]分别采用各个异常检测模型预测所述目标web访问为异常web访问的目标概率；
[0225]在所述web访问记录中所有web访问对应的概率中，若所述目标概率的排序低于预设值，则确定所述目标web访问为异常web访问。
?0226] Α6、根据Α4所述的方法，其中，所述web访问特征包括访问路径、访问参数和访问参数值中至少一种，所述统计各个web访问特征出现的概率，并创建基于各个web访问特征预测所述web访问为异常web访问的概率的第二异常检测模型包括:
[0227]根据各个访问参数出现的次数统计各个访问路径出现的第一概率，并基于所述第一概率，创建基于所述访问路径预测所述web访问为异常web访