[發明專利]一種基于用戶行為檢測HTTP FLOOD攻擊的方法和裝置

有效

• 申請號: 201810400534.1
• 申請日: 2018-04-28
• 公開（公告）號: CN109413022B
• 公開（公告）日: 2021-07-13
• 發明（設計）人: 曾祥祿
• 申請（專利權）人: 武漢思普崚技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;H04L29/08
• 代理公司: 北京弘權知識產權代理有限公司 11363
• 代理人: 逯長明;許偉群

1.一種基于用戶行為檢測HTTP FLOOD攻擊的方法，其特征在于，包括：

檢測裝置獲取主機發送的用于請求訪問目標網站的HTTP報文；

所述檢測裝置通過解析所述HTTP報文，獲取所述HTTP報文中包含的來源特征信息以及目的特征信息，并生成特征信息列表，在所述特征信息列表中，按照接收所述HTTP報文的時間先后順序依次排列所述HTTP報文；

所述檢測裝置根據所述特征信息列表，統計所述主機訪問目標網站的異常行為分數；

若所述主機的異常行為分數大于第一閾值，所述檢測裝置比較所述主機在固定時間段內發送所述HTTP報文的頻率與第二閾值；

若所述主機在固定時間段內發送所述HTTP報文的頻率大于第二閾值，所述檢測裝置確定所述主機向所述目標網站的服務器發出HTTP FLOOD攻擊；

其中，所述檢測裝置根據所述特征信息列表，統計所述主機訪問目標網站的異常行為分數，包括：

所述檢測裝置根據所述特征信息列表，確定所述主機發送的HTTP報文對應的各個類型的異常行為，并且確定各個類型的異常行為對應的異常分數；

所述檢測裝置計算所述各個類型的異常行為對應的異常分數的和，將所述各個類型的異常行為對應的異常分數的和作為所述主機的異常行為分數。

2.根據權利要求1所述的方法，其特征在于，所述檢測裝置根據所述特征信息列表，確定所述主機發送的HTTP報文對應的各個類型的異常行為，并且確定各個類型的異常行為對應的異常分數，包括：

所述檢測裝置選擇所述特征信息列表中的任意一個HTTP報文作為第一目標HTTP報文，判斷所述第一目標HTTP報文是否為所述特征信息列表中的第一個HTTP報文；

若所述第一目標HTTP報文為所述特征信息列表中的第一個HTTP報文，所述檢測裝置判斷所述第一目標HTTP報文包含的目標特征信息是否與所述目標網站的首頁相匹配；

若所述第一目標HTTP報文包含的目標特征信息與所述目標網站的首頁不匹配，所述檢測裝置確定所述第一目標HTTP報文對應的異常行為是第一異常行為，并且確定所述第一異常行為對應的異常分數為第一預設分數。

3.根據權利要求1所述的方法，其特征在于，所述檢測裝置根據所述特征信息列表，確定所述主機發送的HTTP報文對應的各個類型的異常行為，并且確定各個類型的異常行為對應的異常分數，包括：

所述檢測裝置確定所述HTTP報文中的第二目標HTTP報文，并將在所述特征信息列表上緊鄰的所述第二目標HTTP報文劃分為一個分組，其中，所述目的特征信息相同，并且來源特征信息不是目標網站的HTTP報文為所述第二目標HTTP報文；

若分組中所述第二目標HTTP報文的數量大于第一預設數值，所述檢測裝置確定所述分組中第二目標HTTP報文對應的異常行為是第二異常行為；

所述檢測裝置根據所述分組中第二目標HTTP報文的數量確定所述第二異常行為的異常系數，將所述第二異常行為的異常系數與第二預設分數的乘積作為所述第二異常行為對應的異常分數。

4.根據權利要求1所述的方法，其特征在于，所述檢測裝置根據所述特征信息列表，確定所述主機發送的HTTP報文對應的各個類型的異常行為，并且確定各個類型的異常行為對應的異常分數，包括：

所述檢測裝置確定所述HTTP報文中的第三目標HTTP報文，并將在所述特征信息列表上緊鄰的所述第三目標HTTP報文劃分為一個分組，其中，若所述HTTP報文的目的特征信息與所述特征信息列表中前一個HTTP報文的目的特征信息不同，所述HTTP報文的來源特征信息為所述目標網站中的任意一個網頁，并且所述HTTP報文的來源特征信息首次出現在所述特征信息列表中，則所述HTTP報文為第三目標HTTP報文；

若分組中所述第三目標HTTP報文的數量大于第二預設數值，所述檢測裝置確定所述分組中第三目標HTTP報文對應的異常行為是第三異常行為；

所述檢測裝置根據所述分組中第三目標HTTP報文的數量確定所述第三異常行為的異常系數，將所述第三異常行為的異常系數與第三預設分數的乘積作為所述第三異常行為對應的異常分數。