[發(fā)明專利]一種基于云平臺的大規(guī)模Web攻擊檢測方法和系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201811159762.0
• 申請日: 2018-09-30
• 公開（公告）號: CN109274675A
• 公開（公告）日: 2019-01-25
• 發(fā)明（設計）人: 滕景偉
• 申請（專利權）人: 上海視岳計算機科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62;H04L29/08
• 代理公司: 上海旭誠知識產權代理有限公司 31220
• 代理人: 鄭立

1.一種基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，包括以下步驟：

步驟1、針對Web請求流量，執(zhí)行請求審計算法，收集得到潛在攻擊集；

步驟2、針對所述潛在攻擊集執(zhí)行協(xié)同分析算法，進行聚類分析，形成m個潛在攻擊聚類；

步驟3、針對所述m個潛在攻擊聚類執(zhí)行攻擊規(guī)則生成算法，得到最終的攻擊規(guī)則集。

2.如權利要求1所述的基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，所述步驟1中的請求審計算法包括以下步驟：

步驟101、針對所述Web請求流量，取出Web中的請求字符串；

步驟102、將所述請求字符串與黑名單規(guī)則進行匹配判斷，若所述請求字符串在所述黑名單規(guī)則中，則審計判斷結果為黑；若所述請求字符串不在所述黑名單規(guī)則中，則將所述請求字符串與一個寬泛的規(guī)則進行匹配判斷，若所述請求字符串在所述寬泛的規(guī)則中，則所述審計判斷結果為灰，若所述請求字符串不在所述寬泛的規(guī)則中，則所述審計判斷結果為白；

步驟103、對于所述審計判斷結果為白的所述請求字符串，直接放行通過；對于所述審計判斷結果為黑的所述請求字符串，阻止訪問；對于所述審計判斷結果為灰的所述請求字符串，放行通過同時將所述請求字符串加入所述潛在攻擊集。

3.如權利要求1所述的基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，所述步驟2中的協(xié)同分析算法包括以下步驟：

步驟201、獲取所述步驟1執(zhí)行所述請求審計算法后得到的所述潛在攻擊集；

步驟202、對所述潛在攻擊集進行聚類分析，依據(jù)Web攻擊的特點，以攻擊字符串的相似距離distance為聚類依據(jù)，并依照聚類結束標準進行協(xié)同分析后，形成m個潛在攻擊聚類。

4.如權利要求1所述的基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，所述步驟3中的攻擊規(guī)則生成算法包括以下步驟：

步驟301、獲取所述步驟2執(zhí)行所述協(xié)同分析算法后得到的所述m個潛在攻擊聚類；

步驟302、對所述m個潛在攻擊聚類進行過濾，去除部分所述潛在攻擊聚類；

步驟303、過濾后剩余的所述潛在聚類即為攻擊串集合，生成正則表達式規(guī)則加入系統(tǒng)黑名單，得到最終的攻擊規(guī)則集。

5.如權利要求2所述的基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，所述步驟1中的所述Web請求流量包括通過自建云平臺實時獲取的Web流量，以及來自第三方的Web流量集。

6.如權利要求2所述的基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，所述寬泛的規(guī)則為除了大小寫字母和阿拉伯數(shù)字以外的其他所有特殊字符集。

7.如權利要求3所述的基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，所述聚類結束標準為所述相似距離distance低于特定值。

8.如權利要求4所述的基于云平臺的大規(guī)模Web攻擊檢測方法，其特征在于，所述步驟3中的過濾基于的是過濾因子α＝n/m，其中，n為聚類中請求條數(shù)，m為請求的不同Web服務器的數(shù)量；針對每個聚類，計算c_distance＝DISTANCE*α，當c_distance值大于γ時，則去除此聚類，其中，DISTANCE被設置為根據(jù)試驗選擇的一個經驗常數(shù)，取值區(qū)間為(0，1)，γ被設置為一個用以區(qū)分攻擊聚類和非攻擊聚類的閥值。

9.一種基于云平臺的大規(guī)模Web攻擊檢測系統(tǒng)，其特征在于，包括云平臺、審計模塊、協(xié)同分析模塊和規(guī)則生成模塊；所述云平臺為所述審計模塊、所述協(xié)同分析模塊和所述規(guī)則生成模塊提供Web流量牽引服務；所述審計模塊執(zhí)行所述步驟1中的所述請求審計算法，得到所述潛在攻擊集；所述協(xié)同分析模塊針對所述潛在攻擊集執(zhí)行所述步驟2的所述協(xié)同分析算法，進行聚類分析，形成所述m個潛在攻擊聚類；所述規(guī)則生成模塊針對所述m個潛在攻擊聚類執(zhí)行所述步驟3的所述攻擊規(guī)則生成算法，得到最終的攻擊規(guī)則集。

10.如權利要求9所述的基于云平臺的大規(guī)模Web攻擊檢測系統(tǒng)，其特征在于，所述云平臺基于Nginx代理服務器。