[發明專利]一種基于行為識別的掃描類攻擊處置方法

有效

• 申請號: 201811415741.0
• 申請日: 2018-11-26
• 公開（公告）號: CN109474601B
• 公開（公告）日: 2021-06-01
• 發明（設計）人: 毛潤華;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州賽科專利代理事務所(普通合伙) 33230
• 代理人: 郭薇;馮年群

1.一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述方法包括以下步驟：

步驟1：統計t時間內，所有IP針對任一網頁的異常訪問頻次a、錯誤狀態碼觸發頻次b和攻擊行為頻次c；0＜t≤2min；

步驟2：若連續t時間內異常訪問頻次a、錯誤狀態碼觸發頻次b或攻擊行為頻次c滿足告警規則，告警；在t時間內，任一IP對樣式圖片類資源訪問次數為0，則異常訪問頻次a滿足告警規則；

步驟3：當存在任一IP觸發攔截機制，進行下一步，否則，返回步驟1；攔截機制為異常訪問頻次a和錯誤狀態碼觸發頻次b同時滿足告警規則，或攻擊行為頻次c滿足告警規則；

步驟4：對步驟3的IP進行掃描IP威脅情報庫匹配，如無匹配項，則對當前IP直接攔截時間T，將當前IP及關聯信息更新至掃描IP威脅情報庫，返回步驟1，如有匹配項，進行下一步；T＞0；

步驟5：查詢掃描IP威脅情報庫中當前IP上一次被攔截的時間T_n，對當前IP攔截時間T’，T’=T_n²；

步驟6：將T’更新至掃描IP威脅情報庫并與當前IP對應，返回步驟1。

2.根據權利要求1所述的一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述步驟2中，在t時間內，任一IP觸發的首位為4的狀態碼的個數占所有IP訪問所述網頁返回的狀態碼的個數的百分比超過m，則錯誤狀態碼觸發頻次b滿足告警規則；0＜m≤100%。

3.根據權利要求2所述的一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述m為40%。

4.根據權利要求1所述的一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述步驟2中，在t時間內，任一IP對所述網頁發起攻擊且攻擊行為的次數占所述IP訪問所述網頁的次數的百分比超過n，則攻擊行為頻次c滿足告警規則；0＜n≤100%。

5.根據權利要求4所述的一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述n為40%。

6.根據權利要求1所述的一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述t為1min。

7.根據權利要求1所述的一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述步驟4中，時間T為600s。

8.根據權利要求1所述的一種基于行為識別的掃描類攻擊處置方法，其特征在于：所述掃描IP威脅情報庫包括掃描時間、IP、IP所屬區域、掃描域名和IP最近一次攔截時間。