[發明專利]基于云的網站日志安全分析方法、裝置和系統

有效

• 申請號: 201510375392.4
• 申請日: 2015-06-30
• 公開（公告）號: CN104954188B
• 公開（公告）日: 2018-05-01
• 發明（設計）人: 王鵬;董方;何鑫鑫
• 申請（專利權）人: 北京奇安信科技有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06;H04L29/08
• 代理公司: 北京鼎佳達知識產權代理事務所(普通合伙)11348
• 代理人: 王偉鋒,劉鐵生

1.一種基于云的網站日志安全分析方法，其特征在于，所述方法包括：

云平臺實時獲取當前網站服務器側記錄的最新的網站日志；

將所述最新的網站日志與強規則進行匹配，所述強規則為硬性規定某條網站日志為攻擊日志的規則；

若所述最新的網站日志與所述強規則匹配成功，則確定所述最新的網站日志為明顯攻擊日志；

根據所述明顯攻擊日志確定攻擊源；

查找所述攻擊源訪問所有網站服務器所產生的目標網站日志，并將所述目標網站日志與異常模型進行匹配；

若所述目標網站日志與所述異常模型匹配成功，則確定對應所述攻擊源的目標網站日志為隱蔽攻擊日志。

2.根據權利要求1所述的方法，其特征在于，所述根據所述明顯攻擊日志確定攻擊源，包括：

在所述明顯攻擊日志中查找預設標識；

將對應所述預設標識的網間協議IP地址確定為所述攻擊源。

3.根據權利要求2所述的方法，其特征在于，所述在所述明顯攻擊日志中查找預設標識，包括：

在所述明顯攻擊日志中查找Cookie和/或用戶代理UA。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

向各個網站服務器發送其他網站的攻擊信息，以使得各個網站根據其他網站的攻擊信息優化自身的異常模型。

5.根據權利要求1所述的方法，其特征在于，所述方法還包括：

根據預設分類條件對各個網站進行分類。

6.根據權利要求5所述的方法，其特征在于，所述查找所述攻擊源訪問所有網站服務器所產生的目標網站日志，包括：

查找所述攻擊源訪問所述當前網站服務器以及同類網站服務器所產生的目標網站日志，所述同類網站服務器為與當前網站同類的網站所對應的服務器。

7.根據權利要求5所述方法，其特征在于，所述將所述目標網站日志與異常模型進行匹配，包括：

將所述目標網站日志與對應網站的異常模型進行匹配，其中同類網站對應使用同一個異常模型。

8.根據權利要求1所述的方法，其特征在于，若檢測到所述明顯攻擊日志和/或所述隱蔽攻擊日志，則所述方法還包括：

對所述攻擊源對所有網站服務器所進行的攻擊的攻擊信息進行統計與分析；

根據分析結果預測所述攻擊源未來將對各個網站服務器進行攻擊的攻擊行為信息，并向各個網站服務器發送對應自身的攻擊行為信息。

9.根據權利要求1所述的方法，其特征在于，所述方法還包括：

統計在各個網站中檢測出的所有攻擊源的攻擊信息；

向各個網站服務器發送所述在各個網站中檢測出的所有攻擊源的攻擊信息。

10.根據權利要求1至9中任一項所述的方法，其特征在于，所述異常模型為根據預設專屬配置分析策略設置的。

11.一種基于云的網站日志安全分析裝置，其特征在于，所述裝置包括：

獲取單元，用于云平臺實時獲取當前網站服務器側記錄的最新的網站日志；

匹配單元，用于將所述獲取單元獲取的所述最新的網站日志與強規則進行匹配，所述強規則為硬性規定某條網站日志為攻擊日志的規則；

確定單元，用于當所述匹配單元的匹配結果為所述最新的網站日志與所述強規則匹配成功時，確定所述最新的網站日志為明顯攻擊日志；

所述確定單元，還用于根據所述明顯攻擊日志確定攻擊源；

查找單元，用于查找所述確定單元確定的所述攻擊源訪問所有網站服務器所產生的目標網站日志；

所述匹配單元，用于將所述查找單元查找的所述目標網站日志與異常模型進行匹配；

所述確定單元，還用于當所述匹配單元的匹配結果為所述目標網站日志與所述異常模型匹配成功時，確定對應所述攻擊源的目標網站日志為隱蔽攻擊日志。

12.根據權利要求11所述的裝置，其特征在于，所述確定單元，包括：

查找模塊，用于在所述明顯攻擊日志中查找預設標識；

確定模塊，用于將對應所述查找模塊查找的所述預設標識的網間協議IP地址確定為所述攻擊源。