[發明專利]一種網絡攻擊的檢測方法、裝置、設備及存儲介質

有效

• 申請號: 201811191807.2
• 申請日: 2018-10-12
• 公開（公告）號: CN111049784B
• 公開（公告）日: 2023-08-01
• 發明（設計）人: 張鑫;高雪峰
• 申請（專利權）人: 三六零科技集團有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京律誠同業知識產權代理有限公司 11006
• 代理人: 王玉雙

本發明實施例提供了一種網絡攻擊的檢測方法、裝置、計算機設備及存儲介質。其方法包括：獲取目標主機發送的DNS請求報文；從所述DNS請求報文中提取待檢測特征數據；對所述待檢測特征數據進行攻擊檢測，并根據檢測結果確定所述DNS請求報文中是否存在攻擊執行結果；在確定所述DNS請求報文中存在攻擊執行結果后，向所述目標主機發送告警提示信息，所述告警提示信息用于提示存在基于DNS報文的漏洞探測攻擊。本發明實施例實現了對漏洞探測攻擊的檢測。

技術領域

本發明實施例涉及網絡安全技術領域，尤其涉及一種網絡攻擊的檢測方法、裝置、設備及存儲介質。

背景技術

隨著計算機技術的不斷發展和互聯網的普及，網絡攻擊形式層出不窮，網絡安全問題日益突出，造成的社會影響和經濟損失越來越大，對網絡威脅檢測與防御提出了新的需求和挑戰。

其中一種網絡攻擊方式是基于DNS(Domain?Name?System，域名系統)報文對目標主機進行漏洞探測攻擊，具體攻擊方式為：攻擊者通過一臺主機向目標主機發送網絡命令，該網絡命令中不包含攻擊指令，但指示目標主機向攻擊者的DNS服務器發送DNS請求，并在該DNS請求中攜帶上述網絡命令指示需要獲取的信息。即目標主機在向攻擊者的DNS服務器發送的DNS請求中攜帶攻擊執行結果，相應的，攻擊者的DNS服務器可以通過該DNS請求中攜帶的信息(攻擊執行結果)獲知目標主機是否存在漏洞，以便后續利用漏洞實施攻擊。

上述攻擊方式僅用于探測目標主機是否存在漏洞，并沒有實施真正的攻擊行為，因此難以通過傳統檢測方法檢測。

發明內容

本發明實施例提供及一種網絡攻擊的檢測方法、裝置、設備及存儲介質，以實現對漏洞探測攻擊的檢測，以便目標主機及時發現該攻擊并進行漏洞修復，從而提高目標主機的安全性。

第一方面，本發明實施例提供一種網絡攻擊的檢測方法，包括：

獲取目標主機發送的DNS請求報文；

從所述DNS請求報文中提取待檢測特征數據；

對所述待檢測特征數據進行攻擊檢測，并根據檢測結果確定所述DNS請求報文中是否存在攻擊執行結果。

可選的，所述對所述待檢測特征數據進行攻擊檢測，包括：

調用預先建立的攻擊檢測模型對所述待檢測特征數據進行攻擊檢測，所述攻擊檢測模型是由包含已知攻擊執行結果的特征數據樣本訓練得到的。

可選的，建立所述攻擊檢測模型的過程包括：

收集模型訓練報文，所述模型訓練報文為包含已知攻擊執行結果的DNS請求報文；

從所述模型訓練報文中提取包含已知攻擊執行結果的特征數據；

對所述特征數據進行處理，獲得特征數據樣本；

根據所述特征數據樣本進行模型訓練，獲得所述攻擊檢測模型。

可選的，所述收集模型訓練數據包括：

收集互聯網已公開的包含已知攻擊執行結果的DNS請求報文、通過模擬攻擊采集的由所述目標主機發送的包含已知攻擊執行結果的DNS請求報文。

可選的，所述根據所述特征數據樣本進行模型訓練，獲得所述攻擊檢測模型，包括：

根據所述特征數據樣本，采用深度學習算法進行模型訓練，獲得所述攻擊檢測模型。

可選的，所述對所述待檢測特征數據進行攻擊檢測包括：

調用攻擊檢測腳本對所述待檢測特征數據進行攻擊檢測。

可選的，所述調用攻擊檢測腳本對所述待檢測特征數據進行攻擊檢測包括：