[發明專利]基于云的網站日志安全分析方法、裝置及系統

有效

• 申請號: 201510347493.0
• 申請日: 2015-06-19
• 公開（公告）號: CN104935601B
• 公開（公告）日: 2018-11-09
• 發明（設計）人: 王鵬;董方;何鑫鑫
• 申請（專利權）人: 北京奇安信科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京鼎佳達知識產權代理事務所(普通合伙) 11348
• 代理人: 王偉鋒;劉鐵生

本發明公開了一種基于云的網站日志安全分析方法、裝置及系統，涉及互聯網技術領域，能夠分析出網站日志中隱蔽的攻擊日志。本發明的方法包括：實時獲取網站服務器側記錄的最新的網站日志；將最新的網站日志與強規則進行匹配；若最新的網站日志與強規則匹配成功，則確定最新的網站日志為明顯攻擊日志；將在特定時間段內獲取的網站日志與異常模型進行匹配；若在特定時間段內獲取的網站日志中存在與異常模型匹配成功的網站日志，則確定與異常模型匹配成功的網站日志為隱蔽攻擊日志；若檢測到明顯攻擊日志和/或隱蔽攻擊日志，則向云平臺上報明顯攻擊日志和/或隱蔽攻擊日志的攻擊信息。本發明適用于網關對網站日志分析的場景中。

技術領域

本發明涉及互聯網技術領域，尤其涉及一種基于云的網站日志安全分析方法、裝置及系統。

背景技術

網站日志(也叫服務器日志)是記錄網站服務器接收的訪問請求以及運行時發生錯誤等各種原始信息的文件。網站管理員通過網站日志可以查看訪問者的IP(InternetProtocol，網間協議)地址、訪問時間、操作系統類型、瀏覽器類型、具體訪問對象(頁面)和訪問成功與否等信息。

因此，通過網站日志可以分析出訪問者對網站服務器的攻擊情況。現有技術中的網站日志分析工具，可以針對指定路徑下的網站日志進行分析，并作出分析報告。然而有些攻擊過于隱蔽，使用網站日志分析工具也無法將其檢測出來。例如，對于訪問者一分鐘向網站服務器發送1000個ping測試包而言，網站日志分析工具可以分析出這是個流量攻擊，而對于訪問者一分鐘向網站服務器發送100個ping測試包，卻持續發送了兩天而言，網站日志分析工具卻分析不出這也是個流量攻擊。在這種情況下，網站管理員無法獲知這些沒有測出來的攻擊源的信息，從而無法對這些攻擊源的后續攻擊實現防御操作，進而使得網站服務器的安全問題無法得到保障。

發明內容

有鑒于此，本發明提供一種基于云的網站日志安全分析方法、裝置及系統，能夠分析出網站日志中隱蔽的攻擊日志。

第一方面，本發明提供了一種基于云的網站日志安全分析方法，所述方法包括：

實時獲取網站服務器側記錄的最新的網站日志；

將所述最新的網站日志與強規則進行匹配；

若所述最新的網站日志與所述強規則匹配成功，則確定所述最新的網站日志為明顯攻擊日志；

將在特定時間段內獲取的網站日志與異常模型進行匹配；

若所述在特定時間段內獲取的網站日志中存在與所述異常模型匹配成功的網站日志，則確定所述與所述異常模型匹配成功的網站日志為隱蔽攻擊日志；

若檢測到所述明顯攻擊日志和/或所述隱蔽攻擊日志，則向云平臺上報所述明顯攻擊日志和/或所述隱蔽攻擊日志的攻擊信息，以便所述云平臺對各個網站服務器的攻擊信息進行統計與分析。

第二方面，本發明提供了一種基于云的網站日志安全分析裝置，所述裝置包括：

獲取單元，用于實時獲取網站服務器側記錄的最新的網站日志；

匹配單元，用于將所述獲取單元獲取的所述最新的網站日志與強規則進行匹配；

確定單元，用于當所述匹配單元的匹配結果為所述最新的網站日志與所述強規則匹配成功時，確定所述最新的網站日志為明顯攻擊日志；

所述匹配單元，還用于將所述獲取單元在特定時間段內獲取的網站日志與異常模型進行匹配；

所述確定單元，還用于當所述匹配單元的匹配結果為所述在特定時間段內獲取的網站日志中存在與所述異常模型匹配成功的網站日志時，確定所述與所述異常模型匹配成功的網站日志為隱蔽攻擊日志；