[發(fā)明專利]一種網(wǎng)絡(luò)攻擊行為檢測(cè)方法及終端設(shè)備

在審

• 申請(qǐng)?zhí)枺?/td>: 201710905163.8
• 申請(qǐng)日: 2017-09-29
• 公開（公告）號(hào): CN107786545A
• 公開（公告）日: 2018-03-09
• 發(fā)明（設(shè)計(jì)）人: 林李保;湯盛華;劉明娟;李瑚;嚴(yán)愛華;趙汝偉;陳澤鵬
• 申請(qǐng)（專利權(quán)）人: 中國(guó)平安人壽保險(xiǎn)股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 深圳中一專利商標(biāo)事務(wù)所44237
• 代理人: 官建紅

1.一種網(wǎng)絡(luò)攻擊行為檢測(cè)方法，其特征在于，包括：

接收訪問者發(fā)送的對(duì)目標(biāo)網(wǎng)絡(luò)系統(tǒng)的訪問請(qǐng)求；

從所述訪問請(qǐng)求中解析出所述訪問者的IP地址；

在預(yù)設(shè)的IP地址白名單中查找所述訪問者的IP地址；

若在預(yù)設(shè)的IP地址白名單中未查找到所述訪問者的IP地址，則從所述訪問請(qǐng)求中解析出請(qǐng)求類型和請(qǐng)求內(nèi)容；

從預(yù)設(shè)的正則表達(dá)式資源庫中查找與所述請(qǐng)求類型對(duì)應(yīng)的若干正則表達(dá)式；

根據(jù)所述若干正則表達(dá)式判斷所述請(qǐng)求內(nèi)容中是否包含對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的攻擊內(nèi)容；

若所述請(qǐng)求內(nèi)容中包含對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的攻擊內(nèi)容，則判定所述訪問請(qǐng)求為網(wǎng)絡(luò)攻擊行為。

2.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)攻擊行為檢測(cè)方法，其特征在于，所述根據(jù)所述若干正則表達(dá)式判斷所述請(qǐng)求內(nèi)容中是否包含對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的攻擊內(nèi)容包括：

根據(jù)歷史匹配成功記錄確定所述若干正則表達(dá)式的匹配優(yōu)先級(jí)，所述匹配優(yōu)先級(jí)與所述正則表達(dá)式在所述歷史匹配成功記錄中的匹配成功次數(shù)正相關(guān)；

從所述若干正則表達(dá)式中選取一個(gè)尚未被選取過的匹配優(yōu)先級(jí)最高的正則表達(dá)式；

使用當(dāng)前選取的所述正則表達(dá)式對(duì)所述請(qǐng)求內(nèi)容進(jìn)行文本模式匹配；

若文本模式匹配成功，則判定所述請(qǐng)求內(nèi)容中包含對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的攻擊內(nèi)容；

若文本模式匹配失敗，則返回執(zhí)行所述從所述若干正則表達(dá)式中選取一個(gè)尚未被選取過的匹配優(yōu)先級(jí)最高的正則表達(dá)式的步驟，直至文本模式匹配成功或者所述若干正則表達(dá)式中不存在尚未被選取過的正則表達(dá)式為止。

3.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)攻擊行為檢測(cè)方法，其特征在于，還包括：

若所述請(qǐng)求內(nèi)容中未包含對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的攻擊內(nèi)容，則獲取預(yù)設(shè)時(shí)間段內(nèi)的所述訪問者的IP地址對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的歷史訪問記錄；

根據(jù)所述歷史訪問記錄統(tǒng)計(jì)所述訪問者的IP地址出現(xiàn)的總次數(shù)；

判斷所述訪問者的IP地址出現(xiàn)的總次數(shù)是否大于第一閾值；

若所述訪問者的IP地址出現(xiàn)的總次數(shù)大于第一閾值，則判定所述訪問請(qǐng)求為網(wǎng)絡(luò)攻擊行為。

4.根據(jù)權(quán)利要求3所述中的網(wǎng)絡(luò)攻擊行為檢測(cè)方法，其特征在于，還包括：

若所述訪問者的IP地址出現(xiàn)的總次數(shù)小于或等于第一閾值，則從所述歷史訪問記錄獲取與所述訪問者的IP地址對(duì)應(yīng)的返回碼；

從與所述訪問者的IP地址對(duì)應(yīng)的返回碼中選取異常返回碼；

統(tǒng)計(jì)與所述訪問者的IP地址對(duì)應(yīng)的返回碼的數(shù)量，以第一數(shù)目計(jì)，以及統(tǒng)計(jì)所述異常返回碼的數(shù)量，以第二數(shù)目計(jì)；

計(jì)算所述第二數(shù)目與所述第一數(shù)目的比值；

若所述比值大于第二閾值，則判定所述訪問請(qǐng)求為網(wǎng)絡(luò)攻擊行為。

5.根據(jù)權(quán)利要求1至4中任一項(xiàng)所述中的網(wǎng)絡(luò)攻擊行為檢測(cè)方法，在從預(yù)設(shè)的正則表達(dá)式資源庫中查找與所述請(qǐng)求類型對(duì)應(yīng)的若干正則表達(dá)式之前，還包括：

獲取輸入的新的正則表達(dá)式；

判斷在所述正則表達(dá)式資源庫中是否存在所述新的正則表達(dá)式；

若在所述正則表達(dá)式資源庫中不存在所述新的正則表達(dá)式，則根據(jù)請(qǐng)求類型確定所述新的正則表達(dá)式所屬的類別，并將所述新的正則表達(dá)式添加入所述正則表達(dá)式資源庫對(duì)應(yīng)的所述類別中。

6.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，所述計(jì)算機(jī)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1至5中任一項(xiàng)所述的網(wǎng)絡(luò)攻擊行為檢測(cè)方法的步驟。

7.一種終端設(shè)備，包括存儲(chǔ)器、處理器以及存儲(chǔ)在所述存儲(chǔ)器中并可在所述處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述計(jì)算機(jī)程序時(shí)實(shí)現(xiàn)如下步驟：

接收訪問者發(fā)送的對(duì)目標(biāo)網(wǎng)絡(luò)系統(tǒng)的訪問請(qǐng)求；

從所述訪問請(qǐng)求中解析出所述訪問者的IP地址；

在預(yù)設(shè)的IP地址白名單中查找所述訪問者的IP地址；

若在預(yù)設(shè)的IP地址白名單中未查找到所述訪問者的IP地址，則從所述訪問請(qǐng)求中解析出請(qǐng)求類型和請(qǐng)求內(nèi)容；

從預(yù)設(shè)的正則表達(dá)式資源庫中查找與所述請(qǐng)求類型對(duì)應(yīng)的若干正則表達(dá)式；

根據(jù)所述若干正則表達(dá)式判斷所述請(qǐng)求內(nèi)容中是否包含對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的攻擊內(nèi)容；

若所述請(qǐng)求內(nèi)容中包含對(duì)所述目標(biāo)網(wǎng)絡(luò)系統(tǒng)的攻擊內(nèi)容，則判定所述訪問請(qǐng)求為網(wǎng)絡(luò)攻擊行為。