[發(fā)明專利]對Web服務器群的攻擊的檢測方法和裝置

有效

• 申請?zhí)枺?/td>: 201410298911.7
• 申請日: 2014-06-26
• 公開（公告）號: CN105227528B
• 公開（公告）日: 2018-09-28
• 發(fā)明（設計）人: 王東暉;鄒福泰
• 申請（專利權(quán)）人: 華為技術(shù)有限公司;上海交通大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;G06F21/55
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務所(普通合伙) 44285
• 代理人: 王仲凱

1.一種對Web服務器群的攻擊的檢測方法，其特征在于，包括：

獲取潛在攻擊集合，其中，所述潛在攻擊集合是根據(jù)在預置時間段內(nèi)向所述Web服務器群發(fā)送的Web請求中的請求字符串確定的；

對所述潛在攻擊集合中的請求字符串進行聚類分析，獲取聚類分析的結(jié)果，并根據(jù)所述聚類分析的結(jié)果將所述潛在攻擊集合中的請求字符串劃分到潛在攻擊聚類中，其中，同一個潛在攻擊聚類中的任意兩個請求字符串之間的相似距離小于或者等于預置距離，且任意一個潛在攻擊聚類中的任意一個請求字符串與其他任意一個潛在攻擊聚類中的任意一個請求字符串之間的相似距離大于所述預置距離；

計算所述潛在攻擊聚類的過濾因子，其中任意一個所述潛在攻擊聚類的過濾因子為所述潛在攻擊聚類中請求字符串的數(shù)量與所述潛在攻擊集合中請求字符串所對應的Web服務器的數(shù)量的比值；

當所述過濾因子小于或者等于預置數(shù)值時確定存在攻擊，或，當所述過濾因子與所述預置距離的乘積小于或者等于所述預置數(shù)值時，確定存在攻擊。

2.根據(jù)權(quán)利要求1所述的對Web服務器群的攻擊的檢測方法，其特征在于，所述確定存在攻擊之后，還包括：

將所述過濾因子對應的潛在攻擊聚類確定為攻擊聚類；

將所述攻擊聚類加入到攻擊集合。

3.根據(jù)權(quán)利要求1所述的對Web服務器群的攻擊的檢測方法，其特征在于，所述確定存在攻擊之后，還包括：

將所述過濾因子對應的潛在攻擊聚類確定為攻擊聚類；

將所述攻擊聚類加入到攻擊集合。

4.根據(jù)權(quán)利要求1至3任一項所述的對Web服務器群的攻擊的檢測方法，其特征在于，所述獲取潛在攻擊集合之前還包括：

獲取請求集合，所述請求集合包括在所述預置時間段內(nèi)對所述Web服務器群發(fā)送的所有Web請求中的請求字符串；

所述獲取潛在攻擊集合具體包括：

對所述請求集合中的請求字符串與預置第一規(guī)則進行匹配，獲得匹配結(jié)果；

根據(jù)所述匹配結(jié)果，確定潛在攻擊集合。

5.根據(jù)權(quán)利要求4所述的對Web服務器群的攻擊的檢測方法，其特征在于，所述對所述請求集合中的請求字符串與預置第一規(guī)則進行匹配之前還包括：

對所述請求集合中的請求字符串與預置黑名單規(guī)則進行匹配；

若所述請求集合中的請求字符串符合所述預置黑名單規(guī)則，則加入所述攻擊集合；

所述對所述請求集合中的請求字符串與預置第一規(guī)則進行匹配具體包括：

對所述請求集合中不符合所述預置黑名單規(guī)則的請求字符串與預置第一規(guī)則進行匹配。

6.根據(jù)權(quán)利要求5所述的對Web服務器群的攻擊的檢測方法，其特征在于，所述方法還包括：

將所述攻擊集合生成正則表達式規(guī)則；

將所述正則表達式規(guī)則添加到所述預置黑名單規(guī)則中。

7.一種對Web服務器群的攻擊的檢測裝置，其特征在于，包括：

第一獲取模塊，用于獲取潛在攻擊集合，其中所述潛在攻擊集合是根據(jù)在預置時間段內(nèi)對所述Web服務器群發(fā)送的Web請求中的請求字符串確定的；

分析模塊，用于對所述潛在攻擊集合中的請求字符串進行聚類分析，獲取聚類分析的結(jié)果，并根據(jù)所述聚類分析的結(jié)果將所述潛在攻擊集合中的請求字符串劃分到潛在攻擊聚類中，其中同一個潛在攻擊聚類中的任意兩個請求字符串之間的相似距離小于或者等于預置距離，且任意一個潛在攻擊聚類中的任意一個請求字符串與其他任意一個潛在攻擊聚類中的任意一個請求字符串之間的相似距離大于預置距離；

計算模塊，用于計算所述潛在攻擊聚類的過濾因子，其中任意一個所述潛在攻擊聚類的過濾因子為所述潛在攻擊聚類中請求字符串的數(shù)量與所述潛在攻擊集合中請求字符串所對應的Web服務器的數(shù)量的比值；

第一確定模塊，用于當所述過濾因子小于或者等于預置數(shù)值時確定存在攻擊，或，當所述過濾因子與所述預置距離的乘積小于或者等于所述預置數(shù)值時，確定存在攻擊。