[發(fā)明專利]基于Nginx代理服務(wù)器的入侵檢測方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201310085557.5
• 申請(qǐng)日: 2013-03-15
• 公開（公告）號(hào): CN103384242A
• 公開（公告）日: 2013-11-06
• 發(fā)明（設(shè)計(jì)）人: 王青峰;張興科
• 申請(qǐng)（專利權(quán)）人: 中標(biāo)軟件有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京聿宏知識(shí)產(chǎn)權(quán)代理有限公司 11372
• 代理人: 吳大建;鐘日紅

1.一種基于Nginx代理服務(wù)器的入侵檢測方法，其特征在于，包括以下步驟：

S101、捕獲步驟，在Nginx代理服務(wù)器處捕獲來自各個(gè)客戶端的數(shù)據(jù)包；

S102、驗(yàn)證步驟，對(duì)所捕獲的數(shù)據(jù)包進(jìn)行合法性驗(yàn)證，驗(yàn)證所述數(shù)據(jù)包是否攜帶有認(rèn)證服務(wù)器分配的合法證書；

S103、傳遞步驟，提取驗(yàn)證通過的客戶端數(shù)據(jù)包中的有效信息并進(jìn)行封裝后傳遞；

S104、匹配檢測步驟，接收所傳遞的有效信息，并根據(jù)弱點(diǎn)庫中存儲(chǔ)的弱點(diǎn)代碼來對(duì)所述有效信息進(jìn)行匹配檢測，判斷所述有效信息中是否包含與弱點(diǎn)庫中存儲(chǔ)的弱點(diǎn)代碼匹配的代碼，如果否，響應(yīng)所述客戶端發(fā)送的請(qǐng)求信息；

S105、隔離步驟，對(duì)所述客戶端進(jìn)行隔離，以防止其對(duì)網(wǎng)絡(luò)進(jìn)行惡意攻擊。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在所述驗(yàn)證步驟S102中，如果判斷所述數(shù)據(jù)包中帶有所述合法證書，則進(jìn)行傳遞步驟S103，如果不帶有所述合法證書，則進(jìn)行隔離步驟S105。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述有效信息包括客戶端IP地址、客戶端MAC地址、客戶端會(huì)話信息以及所請(qǐng)求的網(wǎng)頁地址和請(qǐng)求數(shù)據(jù)。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，在執(zhí)行所述步驟S104中，還包括以下步驟：

S104a、讀取弱點(diǎn)庫模塊中具有的危險(xiǎn)代碼，構(gòu)建搜索引擎，其中弱點(diǎn)庫中存儲(chǔ)的危險(xiǎn)代碼由所述弱點(diǎn)庫模塊不斷更新，其中危險(xiǎn)代碼包括SQL注入攻擊、XSS跨站攻擊、目錄遍歷攻擊、執(zhí)行遠(yuǎn)程命令；

S104b、分別對(duì)所述有效信息中的網(wǎng)頁地址和請(qǐng)求數(shù)據(jù)進(jìn)行檢測，如果所述有效信息中包含了與弱點(diǎn)庫中存儲(chǔ)的弱點(diǎn)代碼匹配的代碼，則將所述有效信息中的客戶端IP地址、客戶端MAC地址及檢測到的危險(xiǎn)代碼添加到黑名單列表中。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述黑名單列表是動(dòng)態(tài)更新的，其由數(shù)據(jù)庫維護(hù)模塊來進(jìn)行維護(hù)，如果在預(yù)定時(shí)間內(nèi)未檢測到黑名單中的客戶端有非法操作，則將所述客戶端從黑名單列表中刪除，從而解除對(duì)通過合法性驗(yàn)證的客戶端的隔離。

6.根據(jù)權(quán)利要求4所述的方法，其特征在于，在所述步驟S104a中，采用AC自動(dòng)機(jī)算法來構(gòu)建所述搜索引擎。

7.根據(jù)權(quán)利要求4所述的方法，其特征在于，在執(zhí)行所述步驟S102中，進(jìn)行合法性驗(yàn)證之后，進(jìn)一步還要進(jìn)行黑名單列表驗(yàn)證，查詢所述黑名單列表以判斷攜帶有認(rèn)證服務(wù)器分配的合法證書的客戶端是否記錄在所述黑名單列表中，如果是，則執(zhí)行隔離步驟S105以將所述客戶端進(jìn)行隔離。

8.根據(jù)權(quán)利要求1-7中任一項(xiàng)所述的方法，其特征在于，在所述傳遞步驟S103中，將所述有效信息通過socket套接字形式進(jìn)行封裝。

9.根據(jù)權(quán)利要求8所述的入侵檢測方法，其特征在于，采用自定義TLV的報(bào)文格式對(duì)所述有效信息進(jìn)行封裝。

10.一種基于Nginx代理服務(wù)器的入侵檢測系統(tǒng)，其特征在于，包括：

Nginx數(shù)據(jù)捕獲模塊（310），其設(shè)于Nginx代理服務(wù)器中，用于從所述代理服務(wù)器側(cè)捕獲來自各個(gè)客戶端的數(shù)據(jù)包；

Nginx客戶端驗(yàn)證模塊（320），其與所述Nginx數(shù)據(jù)捕獲模塊（310）通信，對(duì)所捕獲的數(shù)據(jù)包進(jìn)行合法性驗(yàn)證，驗(yàn)證所述數(shù)據(jù)包是否攜帶有認(rèn)證服務(wù)器分配的合法證書，如果是，與傳遞模塊（330）進(jìn)行通信，如果否，則與隔離模塊進(jìn)行通信；

傳遞模塊（330），其用于提取驗(yàn)證通過的客戶端數(shù)據(jù)包中的有效信息并進(jìn)行封裝后傳遞；

匹配檢測模塊（340），其用于接收所傳遞的有效信息，并根據(jù)弱點(diǎn)庫中存儲(chǔ)的弱點(diǎn)代碼來對(duì)所述有效信息進(jìn)行匹配檢測，判斷所述有效信息中是否包含與弱點(diǎn)庫中存儲(chǔ)的弱點(diǎn)代碼匹配的代碼；

隔離模塊（350），對(duì)未通過驗(yàn)證的客戶端以及所述有效信息中包含與弱點(diǎn)庫中存儲(chǔ)的弱點(diǎn)代碼匹配的代碼的客戶端進(jìn)行隔離，以防止其對(duì)網(wǎng)絡(luò)進(jìn)行惡意攻擊；

弱點(diǎn)庫模塊（360），其用于存儲(chǔ)弱點(diǎn)庫代碼以及與所述代碼相關(guān)的信息，為所述匹配檢測模塊（340）提供檢測依據(jù)。