[發(fā)明專利]一種服務(wù)器異常檢測方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201710546502.8
• 申請日: 2017-07-06
• 公開（公告）號: CN107204991A
• 公開（公告）日: 2017-09-26
• 發(fā)明（設(shè)計）人: 郭開;劉伯仲;鄧永
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙)44285
• 代理人: 王仲凱

技術(shù)領(lǐng)域

本發(fā)明涉及服務(wù)器技術(shù)領(lǐng)域，特別涉及一種服務(wù)器異常檢測方法及系統(tǒng)。

背景技術(shù)

防火墻作為服務(wù)器的第一道防線，能夠起到對入侵行為進(jìn)行攔截的作用。傳統(tǒng)的防火墻技術(shù)是一種基于規(guī)則匹配的防火墻技術(shù)，能夠?qū)τ涩F(xiàn)有已知的入侵行為引起的服務(wù)器異常事件進(jìn)行有效檢測，從而可以使得人們能夠及時地知曉當(dāng)前服務(wù)器的工作狀態(tài)是否正常。

隨著攻防技術(shù)的不斷發(fā)展，許多新興的黑客技術(shù)涌現(xiàn)出來。然而，目前人們普遍還是利用傳統(tǒng)的基于規(guī)則匹配的防火墻技術(shù)來對服務(wù)器進(jìn)行異常檢測和防御。當(dāng)未知的黑客技術(shù)正在入侵服務(wù)器時，基于規(guī)則匹配的防火墻技術(shù)并無法檢測出服務(wù)器正在處于被這種黑客技術(shù)攻陷的異常狀態(tài)，從而嚴(yán)重影響了服務(wù)器的安全狀況。

綜上所述可以看出，如何在未知的黑客技術(shù)正在入侵服務(wù)器的情況下及時地檢測出當(dāng)前服務(wù)器處于異常狀態(tài)是目前亟待解決的問題。

發(fā)明內(nèi)容

有鑒于此，本發(fā)明的目的在于提供一種服務(wù)器異常檢測方法及系統(tǒng)，能夠在未知的黑客技術(shù)正在入侵服務(wù)器的情況下及時地檢測出當(dāng)前服務(wù)器處于異常狀態(tài)。其具體方案如下：

一種服務(wù)器異常檢測方法，包括：

提取目標(biāo)服務(wù)器的當(dāng)前行為的統(tǒng)計特征，得到待檢驗統(tǒng)計特征；

計算所述待檢驗統(tǒng)計特征與基準(zhǔn)統(tǒng)計特征之間的相異度；其中，所述基準(zhǔn)統(tǒng)計特征為預(yù)先對所述目標(biāo)服務(wù)器的正常行為進(jìn)行統(tǒng)計特征提取處理后得到的特征；

判斷所述相異度是否大于預(yù)設(shè)閾值，得到相應(yīng)的判斷結(jié)果；

利用所述判斷結(jié)果確定當(dāng)前所述目標(biāo)服務(wù)器是否處于異常狀態(tài)。

可選的，所述提取目標(biāo)服務(wù)器的當(dāng)前行為的統(tǒng)計特征，得到待檢驗統(tǒng)計特征的過程，包括：

對所述目標(biāo)服務(wù)器在當(dāng)前外連場景下的行為進(jìn)行統(tǒng)計特征的提取，得到所述待檢驗統(tǒng)計特征；

其中，所述外連場景包括端口掃描場景和/或IP掃描場景和/或數(shù)據(jù)收集場景和/或數(shù)據(jù)外發(fā)場景和/或Dos攻擊場景。

可選的，所述對所述目標(biāo)服務(wù)器在當(dāng)前外連場景下的行為進(jìn)行統(tǒng)計特征的提取，得到所述待檢驗統(tǒng)計特征的過程，包括：

獲取與所述目標(biāo)服務(wù)器的當(dāng)前運(yùn)行過程對應(yīng)的日志流數(shù)據(jù)；

利用所述日志流數(shù)據(jù)，對當(dāng)前所述目標(biāo)服務(wù)器進(jìn)行實例化處理，得到相應(yīng)的服務(wù)器實例化對象；

從所述服務(wù)器實例化對象中分別提取出與所述外連場景中的每種場景一一對應(yīng)的統(tǒng)計特征，得到所述待檢驗統(tǒng)計特征。

可選的，所述計算所述待檢驗統(tǒng)計特征與基準(zhǔn)統(tǒng)計特征之間的相異度的過程，包括：

計算所述待檢驗統(tǒng)計特征與所述基準(zhǔn)統(tǒng)計特征之間的歐氏距離，得到第一歐式距離；

利用所述第一歐式距離確定所述相異度。

可選的，所述計算所述待檢驗統(tǒng)計特征與所述基準(zhǔn)統(tǒng)計特征之間的歐氏距離，得到第一歐式距離的過程，包括：

分別計算所述待檢驗統(tǒng)計特征與N個基準(zhǔn)統(tǒng)計特征之間的歐式距離，得到相應(yīng)的N個歐式距離；其中，N為正整數(shù)；

對所述N個歐式距離進(jìn)行求平均處理，得到所述第一歐氏距離；

其中，所述N個基準(zhǔn)統(tǒng)計特征為預(yù)先對所述目標(biāo)服務(wù)器在N次不同的正常運(yùn)行過程中的行為進(jìn)行統(tǒng)計特征提取處理后得到的特征。

可選的，所述預(yù)設(shè)閾值的確定過程，包括：

分別計算K個基準(zhǔn)統(tǒng)計特征中每兩個基準(zhǔn)統(tǒng)計特征之間的歐式距離，得到相應(yīng)的個歐氏距離；其中，K為不小于2的整數(shù)；

對所述個歐氏距離進(jìn)行求平均處理，得到第二歐式距離；

利用所述第二歐式距離確定所述預(yù)設(shè)閾值；

其中，所述K個基準(zhǔn)統(tǒng)計特征為預(yù)先對所述目標(biāo)服務(wù)器在K次不同的正常運(yùn)行過程中的行為進(jìn)行統(tǒng)計特征提取處理后得到的特征。

可選的，所述服務(wù)器異常檢測方法，還包括：

利用基于防火墻規(guī)則匹配的防御技術(shù)，對所述目標(biāo)服務(wù)器展開安全保護(hù)。

可選的，所述服務(wù)器異常檢測方法，還包括：

若利用所述判斷結(jié)果確定出當(dāng)前所述目標(biāo)服務(wù)器處于正常狀態(tài)，則利用所述待檢驗統(tǒng)計特征對所述基準(zhǔn)統(tǒng)計特征進(jìn)行更新處理。

可選的，所述利用所述判斷結(jié)果確定當(dāng)前所述目標(biāo)服務(wù)器是否處于異常狀態(tài)的過程，包括：

若所述判斷結(jié)果為所述相異度大于所述預(yù)設(shè)閾值，則判定當(dāng)前所述目標(biāo)服務(wù)器處于異常狀態(tài)；

若所述判斷結(jié)果為所述相異度小于或等于所述預(yù)設(shè)閾值，則判定當(dāng)前所述目標(biāo)服務(wù)器處于正常狀態(tài)。

可選的，所述利用所述判斷結(jié)果確定當(dāng)前所述目標(biāo)服務(wù)器是否處于異常狀態(tài)的過程，包括：