[發(fā)明專利]一種web攻擊檢測(cè)方法、裝置及電子設(shè)備和存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202010014713.9
• 申請(qǐng)日: 2020-01-07
• 公開（公告）號(hào): CN113158182A
• 公開（公告）日: 2021-07-23
• 發(fā)明（設(shè)計(jì)）人: 楊榮海
• 申請(qǐng)（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 常忠良

1.一種web攻擊檢測(cè)方法，其特征在于，包括：

獲取惡意訪問連接，基于所述惡意訪問連接中訪問請(qǐng)求的上下文特征構(gòu)建惡意訪問模型；

當(dāng)接收到目標(biāo)訪問請(qǐng)求時(shí)，確定所述目標(biāo)訪問請(qǐng)求所屬的目標(biāo)訪問連接；

將所述目標(biāo)訪問連接與所述惡意訪問模型進(jìn)行匹配，并基于匹配結(jié)果得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果。

2.根據(jù)權(quán)利要求1所述web攻擊檢測(cè)方法，其特征在于，所述基于所述惡意訪問連接中訪問請(qǐng)求的上下文特征構(gòu)建惡意訪問模型，包括：

識(shí)別所述惡意訪問連接中每個(gè)訪問請(qǐng)求的請(qǐng)求類型；

根據(jù)每個(gè)所述訪問請(qǐng)求的請(qǐng)求類型構(gòu)建所述惡意訪問連接對(duì)應(yīng)的惡意操作序列；

確定所述惡意訪問模型為所述惡意操作序列；

相應(yīng)的，將所述目標(biāo)訪問連接與所述惡意訪問模型進(jìn)行匹配，并基于匹配結(jié)果得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果，包括：

構(gòu)建所述目標(biāo)訪問連接對(duì)應(yīng)的目標(biāo)操作序列，將所述目標(biāo)操作序列與所述惡意操作序列進(jìn)行匹配得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果。

3.根據(jù)權(quán)利要求2所述web攻擊檢測(cè)方法，其特征在于，將所述目標(biāo)操作序列與所述惡意操作序列進(jìn)行匹配得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果，包括：

將所述目標(biāo)操作序列與所述惡意操作序列進(jìn)行匹配得到公共子串；

當(dāng)所述公共子串的長(zhǎng)度大于第一預(yù)設(shè)值時(shí)，判定所述目標(biāo)訪問請(qǐng)求為惡意訪問請(qǐng)求。

4.根據(jù)權(quán)利要求2所述web攻擊檢測(cè)方法，其特征在于，將所述目標(biāo)操作序列與所述惡意操作序列進(jìn)行匹配得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果，包括：

計(jì)算所述目標(biāo)操作序列與所述惡意操作序列的字符串相似度；

當(dāng)所述字符串相似度大于第二預(yù)設(shè)值時(shí)，判定所述目標(biāo)訪問請(qǐng)求為惡意訪問請(qǐng)求。

5.根據(jù)權(quán)利要求1所述web攻擊檢測(cè)方法，其特征在于，所述基于所述惡意訪問連接中訪問請(qǐng)求的上下文特征構(gòu)建惡意訪問模型，包括：

對(duì)所述惡意訪問連接中每個(gè)訪問請(qǐng)求進(jìn)行報(bào)文解析得到每個(gè)所述訪問請(qǐng)求對(duì)應(yīng)的所有字段；

根據(jù)每個(gè)所述訪問請(qǐng)求對(duì)應(yīng)的所有字段構(gòu)建每個(gè)所述訪問請(qǐng)求對(duì)應(yīng)的特征向量；

利用所有所述訪問請(qǐng)求的特征向量訓(xùn)練神經(jīng)網(wǎng)絡(luò)模型，并確定所述惡意訪問模型為訓(xùn)練完成的神經(jīng)網(wǎng)絡(luò)模型；

相應(yīng)的，將所述目標(biāo)訪問連接與所述惡意訪問模型進(jìn)行匹配，并基于匹配結(jié)果得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果，包括：

將所述目標(biāo)訪問連接中每個(gè)訪問請(qǐng)求對(duì)應(yīng)的特征向量輸入所述訓(xùn)練完成的神經(jīng)網(wǎng)絡(luò)模型中得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果。

6.根據(jù)權(quán)利要求5所述web攻擊檢測(cè)方法，其特征在于，所述根據(jù)每個(gè)所述訪問請(qǐng)求對(duì)應(yīng)的所有字段構(gòu)建每個(gè)所述訪問請(qǐng)求對(duì)應(yīng)的特征向量，包括：

將每個(gè)所述訪問請(qǐng)求對(duì)應(yīng)的每個(gè)字段映射為ASCII碼字符串，并根據(jù)映射結(jié)果構(gòu)建每個(gè)所述訪問請(qǐng)求對(duì)應(yīng)的特征向量；其中，每個(gè)所述ASCII碼字符串的長(zhǎng)度相同。

7.根據(jù)權(quán)利要求5所述web攻擊檢測(cè)方法，其特征在于，將所述目標(biāo)訪問連接中每個(gè)訪問請(qǐng)求對(duì)應(yīng)的特征向量輸入所述訓(xùn)練完成的神經(jīng)網(wǎng)絡(luò)模型中得到所述目標(biāo)訪問請(qǐng)求的檢測(cè)結(jié)果，包括：

將所述目標(biāo)訪問連接中每個(gè)訪問請(qǐng)求對(duì)應(yīng)的特征向量輸入所述訓(xùn)練完成的神經(jīng)網(wǎng)絡(luò)模型中，得到所述目標(biāo)訪問連接中每個(gè)訪問請(qǐng)求對(duì)應(yīng)的預(yù)測(cè)向量；其中，所述預(yù)測(cè)向量中的第i個(gè)元素為所述訪問請(qǐng)求為所述神經(jīng)網(wǎng)絡(luò)模型定義的第i個(gè)輸出狀態(tài)的概率；

基于所述目標(biāo)訪問請(qǐng)求對(duì)應(yīng)的預(yù)測(cè)向量計(jì)算所述目標(biāo)訪問請(qǐng)求對(duì)應(yīng)的預(yù)測(cè)值；

當(dāng)所述預(yù)測(cè)值大于第三預(yù)測(cè)值時(shí)，判定所述目標(biāo)訪問請(qǐng)求為惡意訪問請(qǐng)求。