[發(fā)明專利]Web攻擊檢測方法及裝置

有效

• 申請?zhí)枺?/td>: 201710534596.7
• 申請日: 2017-07-03
• 公開（公告）號: CN107346388B
• 公開（公告）日: 2020-06-02
• 發(fā)明（設計）人: 盧康;劉亮;張磊;何祥;鄒曉波;劉露平;黃勇
• 申請（專利權）人: 四川無聲信息技術有限公司;四川大學
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙) 11371
• 代理人: 王術蘭

1.一種Web攻擊檢測方法，其特征在于，所述方法包括：

獲得待檢測Web請求，對所述待檢測Web請求進行預處理得到對應的目標字符串；

對所述目標字符串進行向量化處理，得到對應的目標向量；

根據(jù)檢測模型對所述目標向量進行檢測，并判斷所述待檢測Web請求是否為攻擊請求；

其中，所述獲得待檢測Web請求，對所述待檢測Web請求進行預處理得到對應的目標字符串的步驟包括：

獲得待檢測Web請求的路徑及參數(shù)；

對獲得的待檢測Web請求的參數(shù)進行參數(shù)拆解處理，得到對應的鍵值對，并對所述鍵值對進行保存；

對所述鍵值對中經過編碼的字符參數(shù)進行解碼處理；

對經過解碼處理的鍵值對中屬于非規(guī)范編碼類型的字符參數(shù)進行編碼類型轉化處理；

將經過編碼類型轉化處理的鍵值對與所述待檢測Web請求的路徑進行合并處理，得到字符串；

根據(jù)預設分詞規(guī)則對所述字符串進行分詞處理，得到目標字符串。

2.根據(jù)權利要求1所述的方法，其特征在于，所述對所述目標字符串進行向量化處理，得到對應的目標向量的步驟包括：

根據(jù)向量空間模型及預設向量算法對所述目標字符串進行向量化處理，得到對應的目標向量。

3.根據(jù)權利要求2所述的方法，其特征在于，所述方法還包括：

構建機器學習的訓練集；

根據(jù)異常檢測算法對所述訓練集進行訓練運算，得到所述檢測模型。

4.根據(jù)權利要求3所述的方法，其特征在于，所述構建機器學習的訓練集的步驟包括：

獲得多個Web樣本，其中，所述Web樣本包括Web請求和/或Web日志；

對獲得的多個Web樣本進行預處理，得到字符串樣本集，其中，所述預處理包括：參數(shù)拆解處理、解碼處理、編碼類型轉化處理、合并處理及分詞處理；

對字符串樣本集中的每個字符串進行向量化處理，得到對應的訓練集。

5.根據(jù)權利要求1-4任意一項所述的方法，其特征在于，所述根據(jù)檢測模型對所述目標向量進行檢測，并判斷所述待檢測Web請求是否為攻擊請求的步驟包括：

使用檢測模型對所述目標向量進行檢測；

當檢測結果異常時，判定所述待檢測Web請求為攻擊請求，記錄所述待檢測Web請求，并進行預警處理；

當檢測結果正常時，判定所述待檢測Web請求為非攻擊請求，不進行預警處理。

6.一種Web攻擊檢測裝置，其特征在于，所述裝置包括：

預處理模塊，用于獲得待檢測Web請求，對所述待檢測Web請求進行預處理得到對應的目標字符串；

向量化處理模塊，用于對所述目標字符串進行向量化處理，得到對應的目標向量；

檢測模塊，用于根據(jù)檢測模型對所述目標向量進行檢測，并判斷所述待檢測Web請求是否為攻擊請求；

所述預處理模塊獲得待檢測Web請求，對所述待檢測Web請求進行預處理得到對應的目標字符串的方式包括：

獲得待檢測Web請求的路徑及參數(shù)；

對獲得的待檢測Web請求的參數(shù)進行參數(shù)拆解處理，得到對應的鍵值對，并對所述鍵值對進行保存；

對所述鍵值對中經過編碼的字符參數(shù)進行解碼處理；

對經過解碼處理的鍵值對中屬于非規(guī)范編碼類型的字符參數(shù)進行編碼類型轉化處理；

將經過編碼類型轉化處理的鍵值對與所述待檢測Web請求的路徑進行合并處理，得到字符串；

根據(jù)預設分詞規(guī)則對所述字符串進行分詞處理，得到目標字符串。

7.根據(jù)權利要求6所述的裝置，其特征在于，所述裝置還包括：

構建模塊，用于構建機器學習的訓練集；

訓練模塊，用于根據(jù)異常檢測算法對所述訓練集進行訓練運算，得到所述檢測模型。

8.根據(jù)權利要求7所述的裝置，其特征在于，所述構建模塊構建機器學習的訓練集的方式包括：

獲得多個Web樣本，其中，所述Web樣本包括Web請求和/或Web日志；

對獲得的多個Web樣本進行預處理，得到字符串樣本集，其中，所述預處理包括：參數(shù)拆解處理、解碼處理、編碼類型轉化處理、合并處理及分詞處理；

對字符串樣本集中的每個字符串進行向量化處理，得到對應的訓練集。