[發(fā)明專利]一種黑客攻擊分級檢測方法及裝置

有效

• 申請?zhí)枺?/td>: 201910193522.0
• 申請日: 2019-03-14
• 公開（公告）號: CN110401626B
• 公開（公告）日: 2022-02-18
• 發(fā)明（設(shè)計）人: 陳劍;胡珀;郭冕;牛保龍;洪旭升;李相垚;易楠;周雨陽
• 申請（專利權(quán)）人: 騰訊科技（深圳）有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 廣州三環(huán)專利商標代理有限公司 44202
• 代理人: 郝傳鑫;賈允

1.一種黑客攻擊分級檢測方法，其特征在于，所述方法包括：

獲取日志信息，所述日志信息由日志匯總服務(wù)器匯總各個業(yè)務(wù)服務(wù)器輸出的日志得到，所述日志匯總服務(wù)器通過與各個業(yè)務(wù)服務(wù)器的通信控制所述各個業(yè)務(wù)服務(wù)器日志捕獲的開閉以及日志輸出的開閉；

根據(jù)聚合模型從所述日志信息中自動提取相關(guān)字段，所述相關(guān)字段均為所述日志信息中的字段的固有屬性；所述聚合模型為通過擬合日志信息中各個字段與黑客行為的對應(yīng)關(guān)系，并獲取對黑客行為判定具有指向作用的相關(guān)字段而得到的機器學(xué)習(xí)模型，所述聚合模型根據(jù)不同的使用場景，不同的黑客攻擊行為及其組合行為進行迭代優(yōu)化，其中，所述相關(guān)字段包括HTTP的client_ip字段、HTTP的HOST字段和HTTP的CGI字段；

獲取所述相關(guān)字段的對應(yīng)屬性值，包括通過獲取HTTP的client_ip字段的屬性值得到用戶IP地址屬性，通過獲取HTTP的HOST字段的屬性值得到業(yè)務(wù)屬性，通過獲取HTTP的CGI字段的屬性值得到接口屬性；

對所述相關(guān)字段的對應(yīng)屬性值進行聚合計算以得到所述日志信息對應(yīng)的評分；

根據(jù)所述評分和預(yù)設(shè)的黑客行為分級判定規(guī)則對日志信息對應(yīng)的行為進行分級判定。

2.根據(jù)權(quán)利要求1所述方法，其特征在于，還包括：根據(jù)所述判定結(jié)果生成黑客攻擊行為特征畫像。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于：

若所述日志信息對應(yīng)的行為為強黑客攻擊行為，則將所述日志信息納入第一信息庫，所述第一信息庫用于后續(xù)分析所述強黑客攻擊行為對應(yīng)的特征畫像。

4.根據(jù)權(quán)利要求1所述方法，其特征在于：

通過聚合模型進行擬合的字段包括日志信息中的HTTP的請求time字段、HTTP的client_ip字段、HTTP的HOST字段、HTTP的請求頭字段、HTTP的CGI字段、HTTP的GET參數(shù)字段、HTTP的POST body字段、HTTP的請求方法字段、HTTP的user_agent字段、HTTP的referer字段、HTTP的cookie字段和/或HTTP的POST body字段。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于：

所述用戶IP地址的屬性為代理、IDC、國外IP地址、網(wǎng)關(guān)IP地址、黑IP地址或特殊地區(qū)IP地址；

所述業(yè)務(wù)屬性為普通業(yè)務(wù)、重點業(yè)務(wù)或核心業(yè)務(wù)；

所述接口屬性為上傳接口、支付接口或登錄入口。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)所述評分和預(yù)設(shè)的黑客行為分級判定規(guī)則對日志信息對應(yīng)的行為進行分級判定，包括：

判斷所述評分是否低于第一閾值；

若低于第一閾值，則判定所述日志信息對應(yīng)的行為非黑客攻擊行為；

否則，判斷所述評分是否低于第二閾值；

若是，則判定所述日志信息對應(yīng)的行為為弱黑客攻擊行為；

若否，則判定所述日志信息對應(yīng)的行為為強黑客攻擊行為。