[發(fā)明專利]一種Web攻擊檢測方法、裝置、電子設(shè)備及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 201911414827.6
• 申請日: 2019-12-31
• 公開（公告）號: CN113132316A
• 公開（公告）日: 2021-07-16
• 發(fā)明（設(shè)計）人: 王大偉;黃忠強;楊榮海
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 王兆林

1.一種Web攻擊檢測方法，其特征在于，包括：

利用正常流量檢測模型從接收到的流量中篩選得到可疑流量；

利用惡意流量檢測模型檢測所述可疑流量中是否存在Web攻擊；

攔截存在Web攻擊的可疑流量。

2.根據(jù)權(quán)利要求1所述的Web攻擊檢測方法，其特征在于，當(dāng)所述正常流量檢測模型基于全量正常字符串構(gòu)建得到時，所述利用正常流量檢測模型從待檢測流量中篩選得到可疑流量，包括：

將包含有非所述正常字符串的流量標(biāo)記為所述可疑流量。

3.根據(jù)權(quán)利要求1所述的Web攻擊檢測方法，其特征在于，當(dāng)所述正常流量檢測模型基于已知的用于實現(xiàn)Web攻擊的惡意字符串構(gòu)建得到時，所述利用正常流量檢測模型從待檢測流量中篩選得到可疑流量，包括：

將所述待檢測流量中包含任意一個所述惡意字符串的流量標(biāo)記為所述可疑流量。

4.根據(jù)權(quán)利要求1所述的Web攻擊檢測方法，其特征在于，所述利用惡意流量檢測模型檢測所述可疑流量中是否存在Web攻擊，包括：

將所述可疑流量分發(fā)給多個不同的惡意流量檢測模型，得到各檢測結(jié)果；

根據(jù)各所述檢測結(jié)果綜合確定所述可疑流量中是否存在Web攻擊。

5.根據(jù)權(quán)利要求4所述Web攻擊檢測方法，其特征在于，所述將所述可疑流量分發(fā)給多個不同的惡意流量檢測模型，包括：

將所述可疑流量分發(fā)給對應(yīng)不同Web攻擊種類的多個惡意流量檢測模型。

6.根據(jù)權(quán)利要求4所述的Web攻擊檢測方法，其特征在于，所述將所述可疑流量分發(fā)給多個不同的惡意流量檢測模型，包括：

將所述可疑流量分發(fā)給對應(yīng)相同Web攻擊種類的按不同方式構(gòu)建得到的多個惡意流量檢測模型。

7.根據(jù)權(quán)利要求1至6任一項所述的Web攻擊檢測方法，其特征在于，還包括：

將被攔截的可疑流量標(biāo)記為惡意流量；

從所述惡意流量中提取得到新惡意特征，并利用所述新惡意特征更新所述惡意流量檢測模型的特征庫。

8.一種Web攻擊檢測裝置，其特征在于，包括：

可疑流量篩選單元，用于利用正常流量檢測模型從待檢測流量中篩選得到可疑流量；

Web攻擊檢測單元，用于利用惡意流量檢測模型檢測所述可疑流量中是否存在Web攻擊；

惡意流量攔截單元，用于攔截存在Web攻擊的可疑流量。

9.一種電子設(shè)備，其特征在于，包括：

存儲器，用于存儲Web攻擊檢測程序；

處理器，用于在執(zhí)行所述Web攻擊檢測程序時實現(xiàn)如權(quán)利要求1至7任一項所述的Web攻擊檢測方法的各步驟。

10.一種可讀存儲介質(zhì)，其特征在于，所述可讀存儲介質(zhì)上存儲有Web攻擊檢測程序，所述Web攻擊檢測程序在被處理器執(zhí)行時可實現(xiàn)如權(quán)利要求1至7任一項所述的Web攻擊檢測方法的各步驟。