[發明專利]網絡攻擊檢測方法及裝置

有效

• 申請號: 202010060523.0
• 申請日: 2020-01-19
• 公開（公告）號: CN113141335B
• 公開（公告）日: 2022-10-28
• 發明（設計）人: 龔玉山;黎健欣;張鑫
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京英特普羅知識產權代理有限公司 11015
• 代理人: 程超

1.一種網絡攻擊檢測方法，其特征在于，應用于內部網絡，包括：

獲取所述內部網絡中多終端設備的待檢測信息，所述待檢測信息包括系統數據和web日志數據；

系統數據包括：進程列表數據、系統服務數據、敏感目錄數據、系統安全日志數據、系統注冊表數據和網絡鏈接數據中的至少一種數據；

分別對每一個所述待檢測信息進行威脅檢測，獲取相應的異常數據，包括：識別每一個所述待檢測信息中各個待檢測數據的數據類型，所述數據類型包括：系統數據類和web數據類；所述系統數據類對應的威脅檢測為系統威脅檢測，所述web數據類對應的威脅檢測為web威脅檢測，對所述系統數據進行系統威脅檢測獲取異常數據，采用第一預設模型檢測所述web日志數據是否包括異常數據，分別根據所述異常數據中每一個異常項對應的異常時間數據順序，將相應的異常操作狀態進行關聯，生成與所述web日志數據對應的所述終端設備的攻擊路徑信息；其中，第一預設模型包括：webshell檢測模型、webshell掃描檢測模型、SQL注入檢測模型、文件上傳檢測模型、命令執行檢測模型、掃描器檢測模型、XSS威脅檢測模型、任意文件下載檢測模型、Struts2攻擊檢測模型和解析漏洞檢測模型；

對全部所述異常數據進行聚合分析，生成異常路徑信息。

2.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，所述對全部所述異常數據進行聚合分析，生成異常路徑信息，包括：

獲取每一個所述異常數據中的訪問節點數據及相應的時間數據；

根據全部所述時間數據生成時間軸；

依據所述時間軸中的所述時間數據，將相應的訪問節點數據關聯，生成所述異常路徑信息。

3.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，還包括：

識別每一個所述異常數據的威脅級別；

基于所述威脅級別標記所述異常路徑信息中相應的終端設備的異常數據。

4.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，還包括：

根據所述異常路徑信息生成標識訪問節點數據及訪問方向的關聯分析圖像。

5.一種網絡攻擊檢測裝置，其特征在于，應用于內部網絡，包括：

獲取單元，用于獲取所述內部網絡中多個終端設備的待檢測信息，所述待檢測信息包括系統數據和web日志數據；系統數據包括：進程列表數據、系統服務數據、敏感目錄數據、系統安全日志數據、系統注冊表數據和網絡鏈接數據中的至少一種數據；

檢測單元，用于分別對每一個所述待檢測信息進行威脅檢測，獲取相應的異常數據，其中，識別每一個所述待檢測信息中各個待檢測數據的數據類型，所述數據類型包括：系統數據類和web數據類；所述系統數據類對應的威脅檢測為系統威脅檢測，所述web數據類對應的威脅檢測為web威脅檢測，對所述系統數據進行系統威脅檢測獲取異常數據，對所述web日志數據進行web威脅檢測獲取異常數據；采用第一預設模型檢測所述web日志數據是否包括異常數據，分別根據所述異常數據中每一個異常項對應的異常時間數據順序，將相應的異常操作狀態進行關聯，生成與所述web日志數據對應的所述終端設備的攻擊路徑信息；其中，第一預設模型包括：webshell檢測模型、webshell掃描檢測模型、SQL注入檢測模型、文件上傳檢測模型、命令執行檢測模型、掃描器檢測模型、XSS威脅檢測模型、任意文件下載檢測模型、Struts2攻擊檢測模型和解析漏洞檢測模型；

分析單元，用于對全部所述異常數據進行聚合分析，生成異常路徑信息。

6.一種計算機設備，所述計算機設備，包括存儲器、處理器以及存儲在存儲器上并可在處理器上運行的計算機程序，所述處理器執行所述計算機程序時實現權利要求1至4任一項所述方法的步驟。

7.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于：所述計算機程序被處理器執行時實現權利要求1至4任一項所述方法的步驟。