CN117978543B - 基于态势感知的网络安全预警方法及*** - Google Patents

Abstract

本发明涉及网络数据处理技术领域，具体涉及一种基于态势感知的网络安全预警方法及***。该发明获得每个请求地址的请求特征值，对所有请求地址进行聚类，获得多个请求地址聚类簇；根据每个请求地址聚类簇内请求地址的请求特征值，获得每个请求地址聚类簇的异常等级；筛选出参考聚类簇；将参考聚类簇外的其他每个请求地址聚类簇作为一个目标聚类簇；结合目标聚类簇与参考聚类簇之间请求地址的请求特征值的变化差异，获得目标聚类簇的异常请求可能性；结合目标聚类簇内请求地址的请求特征值分布，获得目标聚类簇内每个请求地址的最终异常程度；对当前时刻的请求地址进行异常预警。本发明获得每个请求地址准确的异常程度，提高安全预警的准确性。

Description

基于态势感知的网络安全预警方法及***

技术领域

本发明涉及网络数据处理技术领域，具体涉及一种基于态势感知的网络安全预警方法及***。

背景技术

网络安全是指计算机网络***中的硬件、软件和数据受到保护免受未经授权的访问、攻击和损害，可以确保网络***的可用性、完整性和保密性，防止网络中的信息泄露、数据篡改、服务中断和恶意攻击等事件，从而保障用户和组织的利益和安全；态势感知的网络安全预警方法是根据网络服务器的请求行为进行特征分析，从而判断是否存在异常和风险，及时进行预警。

现有技术中，采用k-means聚类算法将网络服务器的请求行为特征进行聚类分析，可以识别出与大多数正常请求行为不符的异常簇，进行预警；但由于网络服务器可能会受到单个或者多个异常的请求地址对象的攻击，当正常请求地址的数量远大于异常请求地址的数量，聚类算法可能会受到正常请求地址的影响，存在异常的请求地址被划分到正常簇内的情况，导致对异常请求地址的检测准确性存在偏差，安全预警的效果较差。

发明内容

为了解决存在异常的请求地址被划分到正常簇内的情况，导致对异常请求地址的检测准确性存在偏差，安全预警的效果较差的技术问题，本发明的目的在于提供一种基于态势感知的网络安全预警方法及***，所采用的技术方案具体如下：

本发明提出了一种基于态势感知的网络安全预警方法，所述方法包括：

获取当前时刻的历史范围内网络服务器日志中每个请求地址的请求数据；所述请求数据包括至少一种：发送数据包次数、请求登录次数以及权限变更次数；

根据每个请求地址的所述请求数据获得每个请求地址的请求特征值；根据每个请求地址的所述请求特征值对所有请求地址进行聚类，获得多个请求地址聚类簇；根据每个请求地址聚类簇内请求地址的所述请求特征值，获得每个请求地址聚类簇的异常等级；根据每个请求地址聚类簇的所述异常等级筛选出参考聚类簇；

将参考聚类簇外的其他每个请求地址聚类簇作为一个目标聚类簇；根据目标聚类簇内请求地址的所述请求特征值的分布特征、所述异常等级以及目标聚类簇与参考聚类簇之间请求地址的所述请求特征值的变化差异，获得目标聚类簇的异常请求可能性；根据目标聚类簇内请求地址的请求特征值分布以及对应所述异常请求可能性，获得目标聚类簇内每个请求地址的最终异常程度；

根据所述最终异常程度对当前时刻的请求地址进行异常预警。

进一步地，所述请求特征值的获取方法包括：

计算每个请求地址的请求数据中包括的所述发送数据包次数、所述请求登录次数和所述权限变更次数的和值，并进行归一化，获得每个请求地址的请求特征值。

进一步地，所述请求地址聚类簇的获取方法包括：

依据所有请求地址的所述请求特征值，对所有请求地址采用K-means聚类算法，获得多个请求地址聚类簇。

进一步地，所述异常等级的获取方法包括：

计算每个请求地址聚类簇内所有请求地址的所述请求特征值的均值，并进行归一化，获得每个请求地址聚类簇的异常等级。

进一步地，所述参考聚类簇的获取方法包括：

选取所有请求地址聚类簇中异常等级最小的请求地址聚类簇，作为参考聚类簇。

进一步地，所述异常请求可能性的获取方法包括：

计算目标聚类簇内请求地址的最大请求特征值与最小请求特征值之间的差异，作为第一差异；

计算参考聚类簇内请求地址的最大请求特征值与最小请求特征值之间的差异，并将差异结果与预设常数相加，作为第二差异；

计算所述第一差异比上所述第二差异的比值，作为第一异常性；

计算目标聚类簇内所有请求地址的所述请求特征值的标准差，并进行正相关映射，作为第二异常性；

根据所述第一异常性、所述第二异常性以及目标聚类簇的所述异常等级，获得目标聚类簇的异常请求可能性。

进一步地，所述获得目标聚类簇的异常请求可能性的获取方法包括：

计算所述第一异常性、所述第二异常性以及目标聚类簇的所述异常等级的乘积，获得目标聚类簇的异常请求可能性。

进一步地，所述最终异常程度的获取方法包括：

根据最终异常程度的获取公式获得最终异常程度，最终异常程度的获取公式为：

；其中，/>表示目标聚类簇/>内第/>个请求地址的最终异常程度；/>表示目标聚类簇/>内的异常请求可能性；/>表示目标聚类簇/>内第/>个请求地址的请求特征值；/>表示目标聚类簇/>内第/>个其他请求地址的请求特征值；/>表示目标聚类簇/>内请求地址的数量；/>表示归一化函数。

进一步地，所述根据所述最终异常程度对当前时刻的请求地址进行异常预警包括：

若请求地址的所述最终异常程度大于预设异常阈值，对应请求地址为异常请求地址。

本发明还提出了一种基于态势感知的网络安全预警***，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时，实现任意一项所述一种基于态势感知的网络安全预警方法的步骤。

本发明具有如下有益效果：

本发明为了更准确地反映***的实际情况，根据每个请求地址的请求数据获得每个请求地址的请求特征值；根据每个请求地址的请求特征值对所有请求地址进行聚类，获得多个请求地址聚类簇，可以将具有相似特征的请求地址归为一类，便于发现异常；根据每个请求地址聚类簇内请求地址的请求特征值，获得每个请求地址聚类簇的异常等级，反映每个请求地址聚类簇内存在异常请求行为的可能性；根据每个请求地址聚类簇的异常等级筛选出参考聚类簇，筛选出具有代表性的参考聚类簇，更准确地判断其他聚类簇是否存在异常请求；将参考聚类簇外的其他每个请求地址聚类簇作为一个目标聚类簇；根据目标聚类簇内请求地址的请求特征值的分布特征、异常等级以及目标聚类簇与参考聚类簇之间请求地址的请求特征值的变化差异，获得目标聚类簇的异常请求可能性，更加准确地识别出潜在的异常请求；根据目标聚类簇内请求地址的请求特征值分布以及对应异常请求可能性，获得目标聚类簇内每个请求地址的最终异常程度，量化评估异常程度，更直观地了解每个请求地址的异常情况；全面分析每个请求地址的异常程度；对当前时刻的请求地址进行异常预警。本发明获得每个请求地址准确的异常程度，提高安全预警的准确性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案和优点，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它附图。

图1为本发明一个实施例所提供的一种基于态势感知的网络安全预警方法的流程图。

具体实施方式

为了更进一步阐述本发明为达成预定发明目的所采取的技术手段及功效，以下结合附图及较佳实施例，对依据本发明提出的一种基于态势感知的网络安全预警方法及***，其具体实施方式、结构、特征及其功效，详细说明如下。在下述说明中，不同的“一个实施例”或“另一个实施例”指的不一定是同一实施例。此外，一或多个实施例中的特定特征、结构或特点可由任何合适形式组合。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。

下面结合附图具体的说明本发明所提供的一种基于态势感知的网络安全预警方法及***的具体方案。

请参阅图1，其示出了本发明一个实施例提供的基于态势感知的网络安全预警方法的流程图，具体方法包括：

步骤S1：获取当前时刻的历史范围内网络服务器日志中每个请求地址的请求数据；请求数据包括至少一种：发送数据包次数、请求登录次数、权限变更次数。

在本发明的实施例中，网络服务器中的日志记录着每个访问服务器的请求地址以及请求行为，为了对网络服务器中存在的异常访问行为的请求地址进行预警拦截，确保网络的安全性；首先，获取当前时刻的历史范围内网络服务器日志中每个请求地址的请求数据；请求数据包括至少一种：发送数据包次数、请求登录次数以及权限变更次数。

需要说明的是，发送数据包次数表示在计算机网络通信中，从一个节点向另一个节点发送数据包的次数；请求登录次数表示用户或***尝试登录某个账号或平台的次数；权限变更次数表示用户的权限级别或权限范围发生变化的次数。

需要说明的是，在本发明的一个实施例中，历史范围为10分钟；在本发明的其他实施例中，历史范围的大小可根据具体情况具体分析，在此不做限定及赘述。

步骤S2：根据每个请求地址的请求数据获得每个请求地址的请求特征值；根据每个请求地址的请求特征值对所有请求地址进行聚类，获得多个请求地址聚类簇；根据每个请求地址聚类簇内请求地址的请求特征值，获得每个请求地址聚类簇的异常等级。

请求地址的请求数据可以反映请求地址的特定行为模式或属性，例如服务器的使用情况、用户的访问行为以及潜在的安全风险等；通过将请求数据量化为可比较的请求特征值，便于更直观地了解每个请求地址的运行状态和异常情况；所以根据每个请求地址的请求数据获得每个请求地址的请求特征值。

优选地，在本发明的一个实施例中，请求特征值的获取方法包括：

计算每个请求地址的请求数据中包括的发送数据包次数、请求登录次数和权限变更次数的和值，并进行归一化，获得每个请求地址的请求特征值。在本发明的一个实施例中，请求特征值的公式表示为：

；

其中，表示第/>个请求地址的请求特征值；/>表示当前时刻的历史范围/>内第/>个请求地址的发送数据包次数；/>表示当前时刻的历史范围/>内第/>个请求地址的请求登录次数；/>表示当前时刻的历史范围/>内第/>个请求地址的权限变更次数；/>表示归一化函数。

在请求特征值的公式中，当前时刻的历史范围内发送数据包次数越多，可能存在网络DDoS攻击或异常行为的迹象；请求登录次数越多，网络服务器可能受到密码破解尝试、暴力攻击或者恶意访问；权限变更次数越多，可能受到未经授权的权限修改、网络服务器内部滥用或者潜在的数据泄露；网络服务器越受到攻击，请求数据越多，潜在的异常请求越多，请求特征值越大；相反地，网络服务器越安全，请求数据越少，潜在的异常请求越少，请求特征值越小。

不同的请求地址可能有不同的行为模式和风险特征，使得请求特征值存在差异；网络服务器受到攻击时，请求地址的请求特征值可能是较大的，与其他正常的请求地址相比请求特征值也越高；通过聚类可以将具有相似请求特征值的请求地址分组，有助于发现潜在的风险和异常；所以根据每个请求地址的请求特征值对所有请求地址进行聚类，获得多个请求地址聚类簇。

优选地，在本发明的一个实施例中，请求地址聚类簇的获取方法包括：

K-means聚类算法是将多个聚类对象依据聚类对象之间的相似性聚集到指定的K个聚类簇中，每个聚类对象属于且仅属于一个其到请求地址聚类簇中心距离最小的聚类簇中。

依据所有请求地址的请求特征值，对所有请求地址采用K-means聚类算法，获得多个请求地址聚类簇。

需要说明的是，在本发明的一个实施例中，采用K-means聚类算法对所有请求地址进行聚类时，K值的获取方法为：采用肘部法则确定K值，获得对应数量的请求地址聚类簇。具体K-means聚类算法和肘部法则为本领域技术人员熟知的技术手段，在此不做赘述。

请求特征值可以体现每个请求地址受到异常请求的情况，通过分析请求特征值，可以识别出与正常行为偏差较大的异常请求，更精确的评估每个请求地址聚类簇的风险水平，进一步划分对应的异常等级；所以根据每个请求地址聚类簇内请求地址的请求特征值，获得每个请求地址聚类簇的异常等级。

优选地，在本发明的一个实施例中，异常等级的获取方法包括：

计算每个请求地址聚类簇内所有请求地址的请求特征值的均值，并进行归一化，获得每个请求地址聚类簇的异常等级。在本发明的一个实施例中，异常等级的公式表示为：

；

其中，表示第/>个请求地址聚类簇的异常等级；/>表示第/>个请求地址聚类簇内所有请求地址的请求特征值均值；/>表示请求地址聚类簇的数量；/>表示所有请求地址聚类簇对应的请求特征值均值的和值。

在异常等级的公式中，表示第/>个请求地址聚类簇内所有请求地址的请求特征值均值比上所有请求地址聚类簇对应的请求特征值均值的和值的比值，即对第/>个请求地址聚类簇内所有请求地址的请求特征值均值进行归一化，请求特征均值越小，存在的异常请求越少，对应的异常等级越低；相反地，第/>个请求地址聚类簇内所有请求地址的请求特征值均值越大，请求地址聚类簇内存在的异常请求越多，对应的异常等级越高。

需要说明的是，在本发明的其他实施例中也可通过其他基础数学运算构建归一化方法，具体手段为本领域技术人员熟知的技术手段，在此不做赘述。

通过异常等级可以识别出高风险和低风险的请求地址聚类簇；由于请求地址的请求不存在都是异常的情况，也包括正常的请求，异常等级越低，存在异常请求行为的可能性越小，越是正常请求的聚类簇，可以作为参考聚类簇，用于评估其他请求地址聚类簇的异常程度。所以根据每个请求地址聚类簇的异常等级筛选出参考聚类簇。

优选地，在本发明的一个实施例中，参考聚类簇的获取方法包括：

选取所有请求地址聚类簇中异常等级最小的请求地址聚类簇，作为参考聚类簇。

步骤S3：将参考聚类簇外的其他每个请求地址聚类簇作为一个目标聚类簇；根据目标聚类簇内请求地址的请求特征值的分布特征、异常等级以及目标聚类簇与参考聚类簇之间请求地址的请求特征值的变化差异，获得目标聚类簇的异常请求可能性；根据目标聚类簇内请求地址的请求特征值分布以及对应异常请求可能性，获得目标聚类簇内每个请求地址的最终异常程度。

不同的请求地址聚类簇可代表不同的请求行为模式，通过对其他每个请求地址聚类簇进行分析，确保其中每个请求地址都被评估，更加深入地理解聚类簇内请求地址的特定行为特征；将参考聚类簇外的其他每个请求地址聚类簇作为一个目标聚类簇；

由于异常请求可能受到单个请求地址或者多个请求地址的攻击，在单个请求地址异常攻击时，存在将其划分到正常请求的聚类簇内的情况，使得正常请求的聚类簇内的请求特征值存在差异，分布均匀性较差；在多个请求地址异常攻击时，可能会被划分为同一个聚类簇内，但由于异常请求存在随机性，相比于正常请求的聚类簇内对应的请求特征值的变化差异较大，分布均匀性也较差；基于参考聚类簇，对目标聚类簇进行请求特征值的分析，识别出目标聚类簇中可能存在的异常行为或潜在问题；异常等级用来评估目标聚类簇的风险水平，综合多方面的信息，使得评估结果更加全面和准确；所以根据目标聚类簇内请求地址的请求特征值的分布特征、异常等级以及目标聚类簇与参考聚类簇之间请求地址的请求特征值的变化差异，获得目标聚类簇的异常请求可能性。

优选地，在本发明的一个实施例中，异常请求可能性的获取方法包括：

计算目标聚类簇内请求地址的最大请求特征值与最小请求特征值之间的差异，作为第一差异；计算参考聚类簇内请求地址的最大请求特征值与最小请求特征值之间的差异，并将差异结果与预设常数相加，作为第二差异；计算第一差异比上第二差异的比值，作为第一异常性；

计算目标聚类簇内所有请求地址的请求特征值的标准差，并进行正相关映射，作为第二异常性；根据第一异常性、第二异常性以及目标聚类簇的异常等级，获得目标聚类簇的异常请求可能性。

优选地，在本发明的一个实施例中，获得目标聚类簇的异常请求可能性的获取方法包括：

计算第一异常性、第二异常性以及目标聚类簇的异常等级的乘积，获得目标聚类簇的异常请求可能性。在本发明的一个实施例中，异常请求可能性的公式表示为：

；

其中，表示目标聚类簇/>的异常请求可能性；/>表示目标聚类簇/>的异常等级；表示目标聚类簇/>内请求地址的最大请求特征值；/>表示目标聚类簇/>内请求地址的最小请求特征值；/>表示参考聚类簇/>内请求地址的最大请求特征值；/>表示参考聚类簇/>内请求地址的最小请求特征值；/>表示目标聚类簇/>内所有请求地址的请求特征值的标准差；/>表示预设常数；/>表示自然常数。

在异常请求可能性的公式中，表示第一异常性，目标聚类簇/>内请求数据的请求特征值相较于参考聚类簇内请求数据的请求特征值的变化越大，分布差异越大，越偏离正常请求，即第一异常性越大，异常请求可能性越大；通过以自然常数为底的指数函数将/>进行正相关映射，目标聚类簇内所有请求地址的请求特征值的标准差越大,所有请求地址的请求特征值之间的差异越大，对应聚类簇内请求地址的请求特征值分布越不均匀，异常请求可能性越大；目标聚类簇/>的异常等级越大，异常请求可能性越大。

需要说明的是，在本发明的一个实施中，为了避免公式为0，预设常数取经验值为0.1。

需要说明的是，在本发明的其他实施例中也可通过其他基础数学运算构建正负相关映射，具体手段为本领域技术人员熟知的技术手段，在此不做赘述。

由于不同请求地址的请求特征值存在差异，通过分析目标聚类簇内请求地址的请求特征值分布，精确地定位表现出异常请求的请求地址；结合异常请求可能性，考虑了聚类簇的整体特征和个体特征，可以更精确地识别出每个请求地址的异常程度，提高了异常识别的准确性；所以根据目标聚类簇内请求地址的请求特征值分布以及对应异常请求可能性，获得目标聚类簇内每个请求地址的最终异常程度。

优选地，在本发明的一个实施例中，异常请求可能性的获取方法包括：

根据最终异常程度的获取公式获得最终异常程度，最终异常程度的获取公式为：

；

其中，表示目标聚类簇/>内第/>个请求地址的最终异常程度；/>表示目标聚类簇内的异常请求可能性；/>表示目标聚类簇内第/>个请求地址的请求特征值；/>表示目标聚类簇/>内第/>个其他请求地址的请求特征值；/>表示目标聚类簇/>内请求地址的数量；表示归一化函数。

在异常请求可能性的公式中，表示目标聚类簇内第/>个请求地址与所有其他请求地址之间请求特征值的差异的均值，差异越大，第/>个请求地址与其他请求地址之间的请求特征越不相似，请求地址为离群异常的可能性越高，最终异常程度越大；以请求特征值和异常请求可能性对/>进行修正，请求特征值越大，异常请求越多，最终异常程度越大；异常请求可能性越大，存在异常的可能性程度越大，对应请求地址的最终异常程度越大。

步骤S4：根据最终异常程度对当前时刻的请求地址进行异常预警。

最终异常程度能够为异常预警提供明确的依据，使得能够根据不同的最终异常程度采取相应的预警措施；当请求地址出现异常时，通过异常预警可以及时发现并解决这些问题。所以根据最终异常程度对当前时刻的请求地址进行异常预警。

优选地，在本发明的一个实施例中，根据最终异常程度对当前时刻的请求地址进行异常预警包括：

若请求地址的最终异常程度大于预设异常阈值，对应请求地址为异常请求地址。

需要说明的是，在本发明的一个实施例中，预设异常阈值为0.4；在本发明的其他实施例中，预设异常阈值的大小可根据具体情况具体设置，在此不做限定及赘述。

获得异常请求地址进行预警之后，需要及时的采取限流或者拦截操作，降低异常请求地址对网络服务器的恶意访问和攻击，从而提高网络服务器的安全性以及运行效率。

综上所述，本发明根据每个请求地址的请求数据获得每个请求地址的请求特征值，对所有请求地址进行聚类，获得多个请求地址聚类簇；根据每个请求地址聚类簇内请求地址的请求特征值，获得每个请求地址聚类簇的异常等级；筛选出参考聚类簇；将参考聚类簇外的其他每个请求地址聚类簇作为一个目标聚类簇；结合目标聚类簇与参考聚类簇之间请求特征值的变化差异，获得目标聚类簇的异常请求可能性；结合目标聚类簇内请求地址的请求特征值分布，获得目标聚类簇内每个请求地址的最终异常程度；对当前时刻的请求地址进行异常预警。本发明获得每个请求地址准确的异常程度，提高安全预警的准确性。

本发明还提出了一种基于态势感知的网络安全预警***，包括存储器、处理器以及存储在存储器中并可在处理器上运行的计算机程序，处理器执行计算机程序时，实现任意一项一种基于态势感知的网络安全预警方法的步骤。

需要说明的是：上述本发明实施例先后顺序仅仅为了描述，不代表实施例的优劣。在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

Claims (8)

1.一种基于态势感知的网络安全预警方法，其特征在于，所述方法包括：

获取当前时刻的历史范围内网络服务器日志中每个请求地址的请求数据；所述请求数据包括至少一种：发送数据包次数、请求登录次数、权限变更次数；

根据每个请求地址的所述请求数据获得每个请求地址的请求特征值；根据每个请求地址的所述请求特征值对所有请求地址进行聚类，获得多个请求地址聚类簇；根据每个请求地址聚类簇内请求地址的所述请求特征值，获得每个请求地址聚类簇的异常等级；根据每个请求地址聚类簇的所述异常等级筛选出参考聚类簇；

将参考聚类簇外的其他每个请求地址聚类簇作为一个目标聚类簇；根据目标聚类簇内请求地址的所述请求特征值的分布特征、所述异常等级以及目标聚类簇与参考聚类簇之间请求地址的所述请求特征值的变化差异，获得目标聚类簇的异常请求可能性；根据目标聚类簇内请求地址的请求特征值分布以及对应所述异常请求可能性，获得目标聚类簇内每个请求地址的最终异常程度；

根据所述最终异常程度对当前时刻的请求地址进行异常预警；

所述异常等级的获取方法包括：

计算每个请求地址聚类簇内所有请求地址的所述请求特征值的均值，并进行归一化，获得每个请求地址聚类簇的异常等级；

所述参考聚类簇的获取方法包括：

选取所有请求地址聚类簇中异常等级最小的请求地址聚类簇，作为参考聚类簇。

2.根据权利要求1所述的一种基于态势感知的网络安全预警方法，其特征在于，所述请求特征值的获取方法包括：

计算每个请求地址的请求数据中包括的所述发送数据包次数、所述请求登录次数和所述权限变更次数的和值，并进行归一化，获得每个请求地址的请求特征值。

3.根据权利要求1所述的一种基于态势感知的网络安全预警方法，其特征在于，所述请求地址聚类簇的获取方法包括：

依据所有请求地址的所述请求特征值，对所有请求地址采用K-means聚类算法，获得多个请求地址聚类簇。

4.根据权利要求1所述的一种基于态势感知的网络安全预警方法，其特征在于，所述异常请求可能性的获取方法包括：

计算目标聚类簇内请求地址的最大请求特征值与最小请求特征值之间的差异，作为第一差异；

计算参考聚类簇内请求地址的最大请求特征值与最小请求特征值之间的差异，并将差异结果与预设常数相加，作为第二差异；

计算所述第一差异比上所述第二差异的比值，作为第一异常性；

计算目标聚类簇内所有请求地址的所述请求特征值的标准差，并进行正相关映射，作为第二异常性；

根据所述第一异常性、所述第二异常性以及目标聚类簇的所述异常等级，获得目标聚类簇的异常请求可能性。

5.根据权利要求4所述的一种基于态势感知的网络安全预警方法，其特征在于，所述获得目标聚类簇的异常请求可能性的获取方法包括：

计算所述第一异常性、所述第二异常性以及目标聚类簇的所述异常等级的乘积，获得目标聚类簇的异常请求可能性。

6.根据权利要求1所述的一种基于态势感知的网络安全预警方法，其特征在于，所述最终异常程度的获取方法包括：

根据最终异常程度的获取公式获得最终异常程度，最终异常程度的获取公式为：

；

其中，表示目标聚类簇/>内第/>个请求地址的最终异常程度；/>表示目标聚类簇/>内的异常请求可能性；/>表示目标聚类簇/>内第/>个请求地址的请求特征值；/>表示目标聚类簇/>内第/>个其他请求地址的请求特征值；/>表示目标聚类簇/>内请求地址的数量；表示归一化函数。

7.根据权利要求1所述的一种基于态势感知的网络安全预警方法，其特征在于，所述根据所述最终异常程度对当前时刻的请求地址进行异常预警包括：

若请求地址的所述最终异常程度大于预设异常阈值，对应请求地址为异常请求地址。

8.一种基于态势感知的网络安全预警***，所述***包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1~7任意一项所述一种基于态势感知的网络安全预警方法的步骤。