[發明專利]基于云的網站日志安全分析方法、裝置及系統

有效

• 申請號: 201510347493.0
• 申請日: 2015-06-19
• 公開（公告）號: CN104935601B
• 公開（公告）日: 2018-11-09
• 發明（設計）人: 王鵬;董方;何鑫鑫
• 申請（專利權）人: 北京奇安信科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京鼎佳達知識產權代理事務所(普通合伙) 11348
• 代理人: 王偉鋒;劉鐵生

1.一種基于云的網站日志安全分析方法，其特征在于，所述方法包括：

實時獲取網站服務器側記錄的最新的網站日志；

將所述最新的網站日志與強規則進行匹配，所述強規則為硬性規定某條網站日志為攻擊日志的規則；

若所述最新的網站日志與所述強規則匹配成功，則確定所述最新的網站日志為明顯攻擊日志；

將在特定時間段內獲取的網站日志與異常模型進行匹配；

若所述在特定時間段內獲取的網站日志中存在與所述異常模型匹配成功的網站日志，則確定所述與所述異常模型匹配成功的網站日志為隱蔽攻擊日志；

若檢測到所述明顯攻擊日志和/或所述隱蔽攻擊日志，則向云平臺上報所述明顯攻擊日志和/或所述隱蔽攻擊日志的攻擊信息，以便所述云平臺對各個網站服務器的攻擊信息進行統計與分析；

若所述在特定時間段內獲取的網站日志中不存在與所述異常模型匹配成功的網站日志，則所述方法還包括：

向所述云平臺發送獲取的所有網站日志，以便所述云平臺根據其他網站的異常模型對所述所有網站日志進行檢測；

接收所述云平臺發送的檢測結果，并根據所述檢測結果對本網站的異常模型的參數進行修改。

2.根據權利要求1所述的方法，其特征在于，所述將在特定時間段內獲取的網站日志與異常模型進行匹配，包括：

將所述在特定時間段內獲取的網站日志與歷史網站日志進行比較，分析所述在特定時間段內獲取的網站日志所反映的行為信息與所述歷史網站日志所反映的常態化行為信息之間的差別；

若所述差別大于預設門限值，則確定所述在特定時間段內獲取的網站日志中存在與所述異常模型匹配成功的網站日志。

3.根據權利要求2所述的方法，其特征在于，所述方法還包括：

將檢測到的所述明顯攻擊日志和/或所述隱蔽攻擊日志從歷史網站日志中刪除。

4.根據權利要求2所述的方法，其特征在于，所述將在特定時間段內獲取的網站日志與異常模型進行匹配，包括：

將在預設時間間隔內獲取的網站日志與所述異常模型進行匹配。

5.根據權利要求2所述的方法，其特征在于，所述方法還包括：

若確定所述最新的網站日志為明顯攻擊日志，則觸發所述異常模型，將獲取的網站日志與所述異常模型進行匹配；

若獲取的網站日志中存在與所述異常模型匹配成功的網站日志，則確定所述與所述異常模型匹配成功的網站日志為所述隱蔽攻擊日志。

6.根據權利要求5所述的方法，其特征在于，所述將獲取的網站日志與所述異常模型進行匹配，包括：

將當前確定的明顯攻擊日志與上一次確定的明顯攻擊日志之間的網站日志與所述異常模型進行匹配。

7.根據權利要求1所述的方法，其特征在于，所述接收所述云平臺發送的檢測結果，包括：

接收所述云平臺發送的檢測結果以及對應網站的異常模型；

所述根據所述檢測結果對本網站的異常模型的參數進行修改，包括：

根據檢測出隱蔽攻擊日志的異常模型的參數，對本網站的異常模型的參數進行修改。

8.根據權利要求7所述的方法，其特征在于，所述接收所述云平臺發送的檢測結果以及對應網站的異常模型，包括：

接收所述云平臺發送的經同類異常模型檢測的檢測結果，以及對應的同類異常模型，所述同類異常模型為與本網站同類的其他網站所對應的異常模型。

9.根據權利要求1至8中任一項所述的方法，其特征在于，所述異常模型的參數為根據預設專屬配置分析策略設置的。

10.根據權利要求1至8中任一項所述的方法，其特征在于，若檢測到所述明顯攻擊日志和/或所述隱蔽攻擊日志，則所述方法進一步包括：

向所述網站服務器發送所述明顯攻擊日志和/或所述隱蔽攻擊日志的攻擊信息。