[發明專利]入侵檢測的方法、裝置和系統

在審

• 申請號: 201610285472.5
• 申請日: 2016-04-29
• 公開（公告）號: CN107332811A
• 公開（公告）日: 2017-11-07
• 發明（設計）人: 李可弈
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京博浩百睿知識產權代理有限責任公司11134
• 代理人: 宋子良

1.一種入侵檢測的方法，其特征在于，包括：

獲取前端客戶端的交互行為；

檢測所述交互行為是否為攻擊網絡應用的攻擊行為；

在確定所述交互行為是攻擊網絡應用的攻擊行為的情況下，觸發所述前端客戶端監控發生在本地的行為。

2.根據權利要求1所述的方法，其特征在于，通過部署在前端應用層的入侵檢測系統檢測所述前端客戶端的交互行為，其中，在觸發所述前端客戶端監控發生在本地的行為之前，所述方法還包括：所述入侵檢測系統透傳所述攻擊行為至所述前端客戶端。

3.根據權利要求2所述的方法，其特征在于，通過部署在前端應用層的入侵檢測系統檢測所述前端客戶端的交互行為，包括：

讀取預先配置的安全策略信息，所述安全策略信息包括：用于確定所述交互行為是否具備攻擊性的信息；

根據所述安全策略信息判斷所述交互行為對應的請求內容是否具有攻擊性；

在所述交互行為對應的請求內容具有攻擊性的情況下，確定所述交互行為為所述攻擊行為；

在所述交互行為對應的請求內容不具有攻擊性的情況下，確定所述交互行為為安全行為，并根據所述請求內容得到返回給所述前端客戶端的響應信息。

4.根據權利要求1所述的方法，其特征在于，在觸發所述前端客戶端監控發生在本地的行為之前，所述方法還包括：

獲取所述攻擊行為所對應的入侵等級；

根據所述攻擊行為所對應的入侵等級選擇與所述入侵等級相匹配的行為監控模塊；

將與所述入侵等級相匹配的行為監控模塊加載至所述前端客戶端，其中，所述行為監控模塊用于監控并記錄所述前端客戶端發生的行為。

5.根據權利要求4所述的方法，其特征在于，獲取所述攻擊行為所對應的入侵等級， 包括：

獲取所述攻擊行為所對應的流量數據；

分析所述攻擊行為所對應的流量數據，得到至少如下任意一個或多個參數：所述網絡應用的重要程度、發起所述攻擊行為的次數和漏洞危險程度；

根據所述網絡應用的重要程度、發起所述攻擊行為的次數和漏洞危險程度以及對應的權重值，計算得到所述攻擊行為所對應的入侵值；

將所述入侵值與至少一個入侵閾值進行比較，確定所述攻擊行為所對應的入侵等級，其中，所述入侵等級包括：低級入侵等級、中級入侵等級和高級入侵等級。

6.根據權利要求5所述的方法，其特征在于，根據所述攻擊行為所對應的入侵等級選擇與所述入侵等級相匹配的行為監控模塊，包括：

根據所述攻擊行為所對應的入侵等級在行為分析監測服務器中查詢得到對應的行為監控模塊；其中，

當所述入侵等級為所述低級入侵等級的情況下，所述行為監控模塊為空；

當所述入侵等級為所述中級入侵等級的情況下，所述行為監控模塊包括:數據收集模塊；

當所述入侵等級為所述高級入侵等級的情況下，所述行為監控模塊包括：所述數據收集模塊和/或全流量檢測模塊。

7.根據權利要求6所述的方法，其特征在于，在所述行為監控模塊為空的情況下，確定所述前端客戶端為安全用戶。

8.根據權利要求6所述的方法，其特征在于，所述數據收集模塊至少包括：輸入信息監控模塊和/或前端基礎信息監控模塊，其中，所述輸入信息監控模塊用于監控并記錄如下任意一種或多種輸入輸出設備的操作信息：鍵盤、鼠標和觸摸板，所述前端基礎信息監控模塊用于監控并記錄所述前端客戶端的如下任意一個或多個信息：所述前端客戶端的IP地址、MAC地址、登錄用戶信息和序列號。

9.根據權利要求6所述的方法，其特征在于，所述全流量檢測模塊用于探測所述前端客戶端所在的網絡環境中的如下一個或多個參數信息：所述前端客戶端的內網IP地址、路由器地址、網關地址和DNS服務器地址。

10.根據權利要求1至9中任意一項所述的方法，其特征在于，在觸發所述前端客戶 端監控發生在本地的行為之后，所述方法還包括：

獲取監控所述前端客戶端本地發生的行為而得到的監控數據；

通過大數據引擎將所述監控數據進行數據結構化處理和/或可視化處理，得到所述前端客戶端的攻擊分析結果。