[發明專利]WEB后門攻擊事件的檢測方法、裝置及電子設備

在審

• 申請號: 201911132004.4
• 申請日: 2019-11-18
• 公開（公告）號: CN110868419A
• 公開（公告）日: 2020-03-06
• 發明（設計）人: 周忠錦;范淵;黃進
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F40/289;G06F16/953
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 安衛靜

1.一種WEB后門攻擊事件的檢測方法，其特征在于，包括：

獲取WEB服務器產生的告警日志；

將所述告警日志輸入預先訓練好的WEB后門攻擊檢測模型；其中，所述WEB后門攻擊檢測模型為基于標注好的告警日志樣本訓練得到的，所述告警日志樣本包括標注有WEB后門攻擊事件的告警日志正樣本和標注有非WEB后門攻擊事件的告警日志負樣本；

通過所述WEB后門攻擊檢測模型檢測所述告警日志對應網址的網頁內容，得到所述告警日志的檢測結果；其中，所述檢測結果包括所述告警日志為WEB后門攻擊事件或所述告警日志不為WEB后門攻擊事件。

2.根據權利要求1所述的方法，其特征在于，所述通過所述WEB后門攻擊檢測模型檢測所述告警日志對應網址的網頁內容，得到所述告警日志的檢測結果的步驟，包括：

利用所述WEB后門攻擊檢測模型從所述告警日志中提取滿足預設條件的目標網址；

獲取所述目標網址的網頁內容，并從所述目標網址的網頁內容中提取關鍵詞信息；

利用k-近鄰算法對所述關鍵詞信息進行分類，將得到的分類結果作為所述告警日志的檢測結果。

3.根據權利要求2所述的方法，其特征在于，所述利用所述WEB后門攻擊檢測模型從所述告警日志中提取滿足預設條件的目標網址的步驟，包括：

基于所述告警日志中的響應碼信息，提取所述響應碼信息為響應成功的網址作為目標網址。

4.根據權利要求2或3所述的方法，其特征在于，所述獲取所述目標網址的網頁內容，并從所述網址的網頁內容中提取關鍵詞信息的步驟，包括：

基于所述目標網址的網頁內容獲取所述目標網址的關鍵信息，并利用分詞算法和詞袋模型生成所述關鍵信息的數據集；

基于關鍵詞提取算法從所述數據集中提取關鍵詞和所述關鍵詞的詞頻。

5.根據權利要求4所述的方法，其特征在于，所述基于所述目標網址的網頁內容獲取所述目標網址的關鍵信息，利用分詞算法和詞袋模型生成所述關鍵信息的數據集的步驟，包括：

剔除所述目標網址的網頁內容中的無用信息，獲取所述目標網址的關鍵信息；其中，所述無用信息包括標點符號和數值；

利用jieba分詞算法對所述關鍵信息進行分詞，獲得所述關鍵信息包含的詞語；

利用詞袋模型統計所述詞語的出現次數，并根據所述詞語和所述詞語的出現次數生成所述關鍵信息的數據集。

6.根據權利要求4所述的方法，其特征在于，所述關鍵詞提取算法為TextRank關鍵詞提取算法。

7.一種WEB后門攻擊事件的檢測裝置，其特征在于，包括：

日志獲取模塊，用于獲取WEB服務器產生的告警日志；

日志輸入模塊，用于將所述告警日志輸入預先訓練好的WEB后門攻擊檢測模型；其中，所述WEB后門攻擊檢測模型為基于標注好的告警日志樣本訓練得到的，所述告警日志樣本包括標注有WEB后門攻擊事件的告警日志正樣本和標注有非WEB后門攻擊事件的告警日志負樣本；

日志檢測模塊，用于通過所述WEB后門攻擊檢測模型檢測所述告警日志對應網址的網頁內容，得到所述告警日志的檢測結果；其中，所述檢測結果包括所述告警日志為WEB后門攻擊事件或所述告警日志不為WEB后門攻擊事件。

8.根據權利要求7所述的裝置，其特征在于，所述日志檢測模塊，進一步用于利用所述WEB后門攻擊檢測模型從所述告警日志中提取滿足預設條件的目標網址；獲取所述目標網址的網頁內容，并從所述目標網址的網頁內容中提取關鍵詞信息；利用k-近鄰算法對所述關鍵詞信息進行分類，將得到的分類結果作為所述告警日志的檢測結果。

9.一種電子設備，包括存儲器、處理器，所述存儲器中存儲有可在所述處理器上運行的計算機程序，其特征在于，所述處理器執行所述計算機程序時實現上述權利要求1-6任一項所述的方法。

10.一種計算機可讀介質，其特征在于，所述計算機可讀介質存儲有計算機可執行指令，所述計算機可執行指令在被處理器調用和執行時，所述計算機可執行指令促使所述處理器實現權利要求1-6任一項所述的方法。