[發(fā)明專(zhuān)利]一種網(wǎng)絡(luò)攻擊的檢測(cè)方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 201811191807.2
• 申請(qǐng)日: 2018-10-12
• 公開(kāi)（公告）號(hào): CN111049784B
• 公開(kāi)（公告）日: 2023-08-01
• 發(fā)明（設(shè)計(jì)）人: 張?chǎng)?/a>;高雪峰
• 申請(qǐng)（專(zhuān)利權(quán)）人: 三六零科技集團(tuán)有限公司
• 主分類(lèi)號(hào): H04L9/40
• 分類(lèi)號(hào): H04L9/40
• 代理公司: 北京律誠(chéng)同業(yè)知識(shí)產(chǎn)權(quán)代理有限公司 11006
• 代理人: 王玉雙

1.一種網(wǎng)絡(luò)攻擊的檢測(cè)方法，其特征在于，包括：

獲取目標(biāo)主機(jī)發(fā)送的DNS請(qǐng)求報(bào)文；

從所述DNS請(qǐng)求報(bào)文中提取待檢測(cè)特征數(shù)據(jù)；

對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)，并根據(jù)檢測(cè)結(jié)果確定所述DNS請(qǐng)求報(bào)文中是否存在攻擊執(zhí)行結(jié)果；

在確定所述DNS請(qǐng)求報(bào)文中存在攻擊執(zhí)行結(jié)果后，向所述目標(biāo)主機(jī)發(fā)送告警提示信息，所述告警提示信息用于提示存在基于DNS報(bào)文的漏洞探測(cè)攻擊；

所述對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)，包括：

調(diào)用預(yù)先建立的攻擊檢測(cè)模型對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)，所述攻擊檢測(cè)模型是由包含已知攻擊執(zhí)行結(jié)果的特征數(shù)據(jù)樣本訓(xùn)練得到的；

其中，所述攻擊執(zhí)行結(jié)果包括攻擊命令執(zhí)行結(jié)果或SQL注入執(zhí)行結(jié)果或代碼執(zhí)行結(jié)果。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，建立所述攻擊檢測(cè)模型的過(guò)程包括：

收集模型訓(xùn)練報(bào)文，所述模型訓(xùn)練報(bào)文為包含已知攻擊執(zhí)行結(jié)果的DNS請(qǐng)求報(bào)文；

從所述模型訓(xùn)練報(bào)文中提取包含已知攻擊執(zhí)行結(jié)果的特征數(shù)據(jù)；

對(duì)所述特征數(shù)據(jù)進(jìn)行處理，獲得特征數(shù)據(jù)樣本；

根據(jù)所述特征數(shù)據(jù)樣本進(jìn)行模型訓(xùn)練，獲得所述攻擊檢測(cè)模型。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述收集模型訓(xùn)練數(shù)據(jù)包括：

收集互聯(lián)網(wǎng)已公開(kāi)的包含已知攻擊執(zhí)行結(jié)果的DNS請(qǐng)求報(bào)文、通過(guò)模擬攻擊采集的由所述目標(biāo)主機(jī)發(fā)送的包含已知攻擊執(zhí)行結(jié)果的DNS請(qǐng)求報(bào)文。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述根據(jù)所述特征數(shù)據(jù)樣本進(jìn)行模型訓(xùn)練，獲得所述攻擊檢測(cè)模型，包括：

根據(jù)所述特征數(shù)據(jù)樣本，采用深度學(xué)習(xí)算法進(jìn)行模型訓(xùn)練，獲得所述攻擊檢測(cè)模型。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)包括：

調(diào)用攻擊檢測(cè)腳本對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述調(diào)用攻擊檢測(cè)腳本對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)包括：

調(diào)用多個(gè)攻擊檢測(cè)腳本對(duì)所述檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)，不同攻擊檢測(cè)腳本對(duì)應(yīng)不同的攻擊執(zhí)行結(jié)果。

7.根據(jù)權(quán)利要求1～6任一項(xiàng)所述的方法，其特征在于，所述獲取目標(biāo)主機(jī)發(fā)送的DNS請(qǐng)求報(bào)文，包括：

獲取所述目標(biāo)主機(jī)的DNS日志；從所述DNS日志中獲取所述目標(biāo)主機(jī)發(fā)送的DNS請(qǐng)求報(bào)文；或者，

監(jiān)聽(tīng)所述目標(biāo)主機(jī)的DNS報(bào)文端口；從監(jiān)聽(tīng)結(jié)果中獲取所述目標(biāo)主機(jī)發(fā)送的DNS請(qǐng)求報(bào)文。

8.根據(jù)權(quán)利要求1～6任一項(xiàng)所述的方法，其特征在于，所述從所述DNS請(qǐng)求報(bào)文中提取待檢測(cè)特征數(shù)據(jù)，包括：

從所述DNS請(qǐng)求報(bào)文中提取報(bào)文載荷作為待檢測(cè)特征數(shù)據(jù)。

9.一種網(wǎng)絡(luò)攻擊的檢測(cè)裝置，其特征在于，包括：

DNS請(qǐng)求報(bào)文獲取模塊，用于獲取目標(biāo)主機(jī)發(fā)送的DNS請(qǐng)求報(bào)文；

待檢測(cè)特征提取模塊，用于從所述DNS請(qǐng)求報(bào)文中提取待檢測(cè)特征數(shù)據(jù)；

攻擊檢測(cè)模塊，用于對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)，并根據(jù)檢測(cè)結(jié)果確定所述DNS請(qǐng)求報(bào)文中是否存在攻擊執(zhí)行結(jié)果；

告警提示模塊，用于在確定所述DNS請(qǐng)求報(bào)文中存在攻擊執(zhí)行結(jié)果后，向所述目標(biāo)主機(jī)發(fā)送告警提示信息，所述告警提示信息用于提示存在基于DNS報(bào)文的漏洞探測(cè)攻擊；

所述攻擊檢測(cè)模塊用于：

調(diào)用預(yù)先建立的攻擊檢測(cè)模型對(duì)所述待檢測(cè)特征數(shù)據(jù)進(jìn)行攻擊檢測(cè)，所述攻擊檢測(cè)模型是由包含已知攻擊執(zhí)行結(jié)果的特征數(shù)據(jù)樣本訓(xùn)練得到的；

其中，所述攻擊執(zhí)行結(jié)果包括攻擊命令執(zhí)行結(jié)果或SQL注入執(zhí)行結(jié)果或代碼執(zhí)行結(jié)果。