python案例怎么看这波进攻的威胁程度？

wen python案例 2026-09-29 2

Python案例怎么看这波进攻的威胁程度？从流量、行为到风险评分的完整实战解析

在网络安全、风控反欺诈、甚至是业务数据分析中，我们经常会遇到一个典型问题：“这波进攻的威胁程度到底有多高？”
如果只靠肉眼观察日志，很容易被海量噪声淹没；如果只靠单一规则，又容易误判或漏判，Python 案例的价值，就在于把“感觉”变成“可计算、可复现、可解释”的威胁评估流程。

这篇文章会围绕一个完整的 Python 分析案例，讲清楚如何从原始数据出发，判断一波进攻的威胁程度，文章包含目录导读、实战步骤、常见问答，并尽量避免空泛概念，直接给你可落地的思路。

目录导读

为什么“这波进攻”不能只看数量？
Python 案例：威胁程度评估的 5 个核心维度
实战流程：从日志到威胁评分
代码拆解：如何用 Python 计算威胁指数
如何解释结果：低危、中危、高危怎么分？
常见问答：关于威胁程度判断的高频问题
让威胁评估成为可复用的能力

为什么“这波进攻”不能只看数量？

很多人第一反应是：攻击次数越多，威胁越大。
但真实情况往往更复杂。

10 万次请求全部来自同一个 IP，但都是低速、分散、无敏感路径试探，威胁可能只是“扫描”。
只有 50 次请求，但集中打在登录接口、携带异常 Token、命中多个高危规则，威胁反而可能是“定向攻击”。
某个 IP 今天突然暴涨，但它昨天、上周同一时间也暴涨，那可能只是定时任务或爬虫。

判断威胁程度,不能只看“量”，而要看 量、来源、行为、目标、时间、历史基线 的组合。

Python 的优势在于：它可以把这些维度统一成一个可计算的评分模型。

Python 案例：威胁程度评估的 5 个核心维度

在实际案例中,我通常会把威胁程度拆成以下 5 个维度：

1 攻击频率与集中度

单位时间内请求数
是否集中在短时间窗口
是否来自少量 IP 或大量分散 IP

2 攻击来源可信度

IP 历史信誉
是否来自代理、云主机、Tor
地理位置是否异常
ASN 是否属于高风险网络

3 行为异常程度

请求路径是否偏离正常用户
参数是否异常
User-Agent 是否伪造
是否命中 SQL 注入、XSS、路径穿越等特征

4 目标价值

打的是登录、支付、 admin 接口，还是静态资源
是否涉及敏感数据
是否命中业务核心链路

5 历史基线与趋势

与过去 7 天同一时段相比，是否显著偏离
是否首次出现
是否持续升级

把这 5 个维度量化后，再用 Python 做加权评分，就能得到一个相对客观的威胁指数。

实战流程：从日志到威胁评分

假设我们有一份 Web 访问日志，字段包括：

ip
time
method
path
status
ua
payload

目标：判断“这波进攻”的威胁程度。

1 数据清洗

先把日志转成结构化数据,去掉静态资源、健康检查等噪声。

2 特征提取

对每个 IP 或每个攻击批次，提取：

请求总数
高危路径命中数
异常状态码比例
攻击特征命中次数
时间窗口内的峰值
独立路径数
UA 异常标记

3 归一化

不同特征量纲不同,比如请求数可能是几千，而高危规则命中可能只有几次，需要归一化到 0-1 或 0-100。

4 加权评分

根据业务场景设置权重。

高危路径命中：30%
攻击特征命中：25%
频率突增：20%
来源信誉：15%
历史偏离：10%

5 输出威胁等级

最终得分可以映射为：

0-30：低危
31-60：中危
61-85：高危
86-100：严重

这样,你就能回答：“这波进攻的威胁程度是多少？”

代码拆解：如何用 Python 计算威胁指数

下面是一个简化但完整的 Python 案例思路。

import pandas as pd
from sklearn.preprocessing import MinMaxScaler
# 假设 df 是清洗后的日志
# 特征工程
def extract_features(df):
    features = {}
    features['total_requests'] = len(df)
    features['high_risk_path_hits'] = df['path'].str.contains('/login|/admin|/pay').sum()
    features['attack_signature_hits'] = df['payload'].str.contains('union|select|<script>|../').sum()
    features['error_rate'] = (df['status'] >= 400).mean()
    features['unique_paths'] = df['path'].nunique()
    features['peak_rate'] = df.groupby(df['time'].dt.floor('min')).size().max()
    return features
# 归一化与评分
def threat_score(features):
    scaler = MinMaxScaler()
    # 这里用模拟基准，实际应用需用历史数据拟合
    values = [[
        features['total_requests'],
        features['high_risk_path_hits'],
        features['attack_signature_hits'],
        features['error_rate'],
        features['unique_paths'],
        features['peak_rate']
    ]]
    normalized = scaler.fit_transform(values)[0]
    weights = [0.15, 0.30, 0.25, 0.10, 0.10, 0.10]
    score = sum(n * w for n, w in zip(normalized, weights)) * 100
    return round(score, 2)

这个案例的重点不是代码本身,而是 把“威胁程度”拆成可解释的指标。
当你把结果展示给团队时，可以说：