[發明專利]一種反彈式網絡攻擊的檢測方法、裝置、設備及存儲介質

有效

• 申請號: 201811191763.3
• 申請日: 2018-10-12
• 公開（公告）號: CN111049781B
• 公開（公告）日: 2023-08-15
• 發明（設計）人: 張鑫;高雪峰
• 申請（專利權）人: 三六零科技集團有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/141
• 代理公司: 北京律誠同業知識產權代理有限公司 11006
• 代理人: 王玉雙

1.一種反彈式網絡攻擊的檢測方法，其特征在于，包括：

獲取由目標主機發起建立的鏈路中的網絡會話報文；

從所述網絡會話報文中識別疑似攻擊請求報文；

檢測所述疑似攻擊請求報文中是否存在攻擊特征；

所述網絡會話報文包括會話請求報文和會話響應報文，所述從所述網絡會話報文中識別疑似攻擊請求報文，包括：

判斷所述鏈路中的第一個會話請求報文的發起方是否為目標主機，若是所述目標主機，所述第一個會話請求報文不是疑似攻擊請求報文，獲取所述鏈路中的至少一個會話響應報文作為疑似攻擊請求報文；若不是所述目標主機，所述第一個會話請求報文是疑似攻擊請求報文。

2.根據權利要求1所述的方法，其特征在于，所述網絡會話報文包括會話請求報文和會話響應報文，所述從所述網絡會話報文中識別疑似攻擊請求報文，包括：

獲取所述鏈路中的第一個會話請求報文；

判斷所述第一個會話請求報文是否為疑似攻擊請求報文；

在判斷出所述第一個會話請求報文不是疑似攻擊請求報文后，獲取所述鏈路中的至少一個會話響應報文作為疑似攻擊請求報文。

3.根據權利要求1~2任一項所述的方法，其特征在于，所述從所述網絡會話報文中識別疑似攻擊請求報文，包括：

從所述網絡會話報文中識別疑似攻擊請求響應報文對，所述疑似攻擊請求響應報文對包括疑似攻擊請求報文和疑似攻擊響應報文；

在所述疑似攻擊請求報文中檢測出攻擊特征后，檢測所述疑似攻擊請求響應報文對中的疑似攻擊響應報文中是否存在與所述攻擊特征對應的預期響應特征。

4.根據權利要求3所述的方法，其特征在于，所述從所述網絡會話報文中識別疑似攻擊請求響應報文對，包括：識別所述鏈路中的每個疑似攻擊請求響應報文對；

所述檢測所述疑似攻擊請求報文中是否存在攻擊特征，包括：檢測每個識別疑似攻擊請求響應報文對中的疑似攻擊請求報文中是否存在攻擊特征。

5.根據權利要求1~2任一項所述的方法，其特征在于，所述檢測所述疑似攻擊請求報文中是否存在攻擊特征，包括：

調用預先建立的攻擊檢測模型檢測所述疑似攻擊請求報文中是否存在攻擊特征，所述攻擊檢測模型是由已知反彈式網絡攻擊的攻擊特征樣本訓練得到的。

6.根據權利要求3所述的方法，其特征在于，所述檢測所述疑似攻擊請求響應報文對中的疑似攻擊響應報文中是否存在與所述攻擊特征對應的預期響應特征，包括：

利用預先建立的規則集和/或檢測腳本檢測所述疑似攻擊請求響應報文對中的疑似攻擊響應報文中是否存在與所述攻擊特征對應的預期響應特征。

7.根據權利要求3所述的方法，其特征在于，在所述疑似攻擊響應報文中檢測出與所述攻擊特征對應的預期響應特征后，該方法還包括：

輸出反彈式網絡攻擊成功提示。

8.一種反彈式網絡攻擊的檢測裝置，其特征在于，包括：

網絡會話報文獲取模塊，用于獲取由目標主機發起建立的鏈路中的網絡會話報文；

疑似攻擊請求報文識別模塊，用于從所述網絡會話報文中識別疑似攻擊請求報文；

攻擊檢測模塊，用于檢測所述疑似攻擊請求報文中是否存在攻擊特征；

所述網絡會話報文包括會話請求報文和會話響應報文，所述疑似攻擊請求報文識別模塊用于：

判斷所述鏈路中的第一個會話請求報文的發起方是否為目標主機，若是所述目標主機，所述第一個會話請求報文不是疑似攻擊請求報文，獲取所述鏈路中的至少一個會話響應報文作為疑似攻擊請求報文；若不是所述目標主機，所述第一個會話請求報文是疑似攻擊請求報文。