[發明專利]基于日志分析的CC攻擊識別方法和設備

有效

• 申請號: 201410230486.8
• 申請日: 2014-05-28
• 公開（公告）號: CN104065644B
• 公開（公告）日: 2017-11-21
• 發明（設計）人: 姚昌林;張永波
• 申請（專利權）人: 北京知道創宇信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F17/30
• 代理公司: 中國專利代理(香港)有限公司72001
• 代理人: 馬永利,李浩

1.一種基于日志分析的CC攻擊識別方法，包括：

獲取日志中的IP請求信息；

基于名單、攻擊特征庫對所述IP請求信息進行如下分析并輸出分析結果：

將所述IP請求信息中的源IP與黑名單進行匹配，如果所述源IP與所述黑名單中的任一源IP匹配，則輸出分析結果為“匹配”；

如果所述源IP與所述黑名單中的任一源IP不匹配，則統計所述源IP最近的訪問頻度并與源IP訪問頻度閾值進行比較，如果超過所述源IP訪問頻度閾值，則輸出分析結果為“超過閾值”，

如果沒有超過所述源IP訪問頻度閾值，則從所述IP請求信息中提取HTTP頭信息并且與所述HTTP頭信息頻度閾值進行比較；如果超過所述HTTP頭信息頻度閾值，則輸出分析結果為“超過閾值”，

如果沒有超過所述HTTP頭信息頻度閾值，則將所述IP請求信息中的請求內容與所述攻擊特征庫進行匹配；如果所述請求內容與特征庫匹配成功，則輸出分析結果為“匹配”，否則輸出分析結果為“正?！保?/p>

基于所述分析結果來進行如下識別：如果所述分析結果為“正?！?，則將IP請求識別為正常請求并且放行所述IP請求，否則將所述IP請求識別為CC攻擊并且將所述IP請求信息中的源IP添加到黑名單中、攔截來自所述源IP的請求并且自動從所述IP請求信息中提取特征加入所述攻擊特征庫，

所述方法進一步包括針對添加到所述黑名單中的源IP的有效性進行審核、基于審核結果向防火墻添加阻止規則來利用防火墻攔截以及在發現IP請求被錯誤地識別為CC時，清空針對該IP請求添加的阻止規則以便減少誤報所產生的影響。

2.根據權利要求1所述的方法，其中提取的特征包括來自所述IP請求信息中的目標網站URL、瀏覽器標識User-Agent、訪問來源Referrer以及訪問IP。

3.根據權利要求1所述的方法，其中所述源IP訪問頻度閾值由系統預先確定或者由用戶預先指定。

4.根據權利要求1所述的方法，其中所述HTTP頭信息頻度閾值由系統預先確定或者由用戶預先指定。

5.根據權利要求1所述的方法，其中確定頻度所依據的單位時間按照需要變化。

6.根據權利要求1所述的方法，進一步包括對所述攻擊特征庫中的特征進行添加、修改或刪除。

7.一種基于日志分析的CC攻擊識別的設備，包括：

獲取裝置，用于獲取日志中的IP請求信息；

分析裝置，用于基于名單、攻擊特征庫對所述IP請求信息進行綜合分析并輸出分析結果并且包括：

黑名單匹配裝置，用于將所述IP請求信息中的源IP與黑名單進行匹配，如果所述源IP與所述黑名單中的任一源IP匹配，則輸出分析結果為“匹配”；

IP訪問頻度比較裝置，用于如果所述源IP與所述黑名單中的任一源IP不匹配，則統計所述源IP最近的訪問頻度并與源IP訪問頻度閾值進行比較，如果超過所述源IP訪問頻度閾值，則輸出分析結果為“超過閾值”，

HTTP頭信息比較裝置，用于如果沒有超過所述源IP訪問頻度閾值，則從所述IP請求信息中提取HTTP頭信息并且與所述HTTP頭信息頻度閾值進行比較；如果超過所述HTTP頭信息頻度閾值，則輸出分析結果為“超過閾值”，

攻擊特征庫匹配裝置，用于如果沒有超過所述HTTP頭信息頻度閾值，則將所述IP請求信息中的請求內容與所述攻擊特征庫進行匹配；如果所述請求內容與特征庫匹配成功，則輸出分析結果為“匹配”，否則輸出分析結果為“正常”，

識別裝置，用于基于所述分析結果來進行如下識別：如果所述分析結果為“正常”，則將IP請求識別為正常請求并且放行所述IP請求，否則將所述IP請求識別為CC攻擊并且將所述IP請求信息中的源IP添加到黑名單中、攔截來自所述源IP的請求并且自動從所述IP請求信息中提取特征加入所述攻擊特征庫，

所述設備進一步包括審核裝置，用于針對添加到所述黑名單中的源IP的有效性進行審核、添加裝置，用于基于審核結果向防火墻添加阻止規則來利用防火墻攔截以及清空裝置，用于在發現IP請求被錯誤地識別為CC時，清空針對該IP請求添加的阻止規則以便減少誤報所產生的影響。

8.根據權利要求7所述的設備，其中提取的特征包括來自所述IP請求信息中的目標網站URL、瀏覽器標識User-Agent、訪問來源Referrer以及訪問IP。