[發(fā)明專利]一種攻擊檢測(cè)參數(shù)獲取方法、裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202010650924.1
• 申請(qǐng)日: 2020-07-08
• 公開（公告）號(hào): CN111797401A
• 公開（公告）日: 2020-10-20
• 發(fā)明（設(shè)計(jì)）人: 黃澤壇
• 申請(qǐng)（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F21/57
• 代理公司: 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 陳彥如

本發(fā)明公開了一種攻擊檢測(cè)參數(shù)獲取方法、裝置、設(shè)備及計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，該方法包括：獲取攻擊數(shù)據(jù)，攻擊數(shù)據(jù)包括利用代碼和觸發(fā)代碼；對(duì)利用代碼進(jìn)行目標(biāo)特征提取處理，得到目標(biāo)特征；對(duì)觸發(fā)代碼進(jìn)行編碼特征提取處理，得到編碼特征；利用目標(biāo)特征和編碼特征生成攻擊檢測(cè)參數(shù)；該方法通過對(duì)目標(biāo)特征和編碼特征進(jìn)行提取，可以直接對(duì)利用代碼的特征以及觸發(fā)代碼的特征進(jìn)行檢測(cè)，因此無(wú)論漏洞攻擊代碼進(jìn)行了怎樣的變形，只要攻擊數(shù)據(jù)中包括了利用代碼以實(shí)現(xiàn)其攻擊目的，或者包括了觸發(fā)代碼以觸發(fā)利用代碼，就可以檢測(cè)出來，因此提高了檢測(cè)能力和安全防護(hù)效果。

技術(shù)領(lǐng)域

本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，特別涉及一種攻擊檢測(cè)參數(shù)獲取方法、攻擊檢測(cè)參數(shù)獲取裝置、攻擊檢測(cè)參數(shù)獲取設(shè)備及計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)。

背景技術(shù)

為了獲取目標(biāo)設(shè)備的權(quán)限，大多數(shù)網(wǎng)絡(luò)攻擊中的惡意攻擊者會(huì)通過安全漏洞對(duì)被攻擊者的主機(jī)和服務(wù)器進(jìn)行攻擊。通過對(duì)大量的實(shí)戰(zhàn)攻擊、漏洞研究、防火墻繞過與安全加固經(jīng)驗(yàn)的總結(jié)發(fā)現(xiàn)，當(dāng)前安全漏洞的完整攻擊代碼(或者稱為攻擊數(shù)據(jù))可以由不同的攻擊數(shù)據(jù)生成工具生成得到，其內(nèi)容一般包括漏洞攻擊代碼(exploit)和漏洞利用代碼(payload)。漏洞攻擊代碼為根據(jù)具體漏洞精心構(gòu)造的代碼，通過漏洞攻擊代碼，就能夠在漏洞的攻擊點(diǎn)觸發(fā)漏洞利用代碼；漏洞利用代碼為攻擊者想要執(zhí)行的代碼，經(jīng)過長(zhǎng)時(shí)間的積累，漏洞利用代碼基本有了固定的模式以實(shí)現(xiàn)其攻擊目的。

相關(guān)技術(shù)一般對(duì)漏洞攻擊代碼進(jìn)行檢測(cè)，即對(duì)攻擊數(shù)據(jù)中的漏洞攻擊代碼進(jìn)行檢測(cè)，防止其在攻擊點(diǎn)觸發(fā)漏洞利用代碼。然而，攻擊者很容易對(duì)漏洞攻擊代碼進(jìn)行變形，例如利用不同的攻擊數(shù)據(jù)生成工具或不同的編碼方法對(duì)漏洞攻擊代碼進(jìn)行變形，就可以輕易地繞開檢測(cè)系統(tǒng)，實(shí)現(xiàn)攻擊者的攻擊目的。且若攻擊者先發(fā)現(xiàn)某一漏洞并針對(duì)該漏洞開發(fā)出完整攻擊代碼時(shí)，則無(wú)法對(duì)該完整攻擊代碼進(jìn)行任何檢測(cè)，因此相關(guān)技術(shù)檢測(cè)能力較差，防護(hù)效果較差。

因此，如何解決相關(guān)技術(shù)存在的檢測(cè)能力較差和防護(hù)效果較差的問題，是本領(lǐng)域技術(shù)人員需要解決的技術(shù)問題。

發(fā)明內(nèi)容

有鑒于此，本發(fā)明的目的在于提供一種攻擊檢測(cè)參數(shù)獲取方法、攻擊檢測(cè)參數(shù)獲取裝置、攻擊檢測(cè)參數(shù)獲取設(shè)備及計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，解決了相關(guān)技術(shù)存在的檢測(cè)能力較差和防護(hù)效果較差的問題。

為解決上述技術(shù)問題，本發(fā)明提供了一種攻擊檢測(cè)參數(shù)獲取方法，包括：

獲取攻擊數(shù)據(jù)，所述攻擊數(shù)據(jù)包括利用代碼和觸發(fā)代碼；

根據(jù)預(yù)設(shè)利用數(shù)據(jù)對(duì)所述利用代碼進(jìn)行目標(biāo)特征提取處理，得到目標(biāo)特征；

根據(jù)預(yù)設(shè)編碼數(shù)據(jù)對(duì)所述觸發(fā)代碼進(jìn)行編碼特征提取處理，得到編碼特征；

利用所述目標(biāo)特征和所述編碼特征生成攻擊檢測(cè)參數(shù)。

可選地，所述利用所述目標(biāo)特征和所述編碼特征生成攻擊檢測(cè)參數(shù)，包括：

獲取多個(gè)場(chǎng)景對(duì)應(yīng)的多個(gè)代碼表現(xiàn)形式；

分別根據(jù)各個(gè)所述代碼表現(xiàn)形式，對(duì)各個(gè)所述目標(biāo)特征和所述編碼特征進(jìn)行泛化處理，得到泛化特征；

利用所述泛化特征生成攻擊檢測(cè)參數(shù)。

可選地，所述根據(jù)預(yù)設(shè)編碼數(shù)據(jù)對(duì)所述觸發(fā)代碼進(jìn)行編碼特征提取處理，得到編碼特征，包括：

判斷所述觸發(fā)代碼是否為源代碼；

若所述觸發(fā)代碼為所述源代碼，則將所述觸發(fā)代碼確定為第一代碼；

若所述觸發(fā)代碼不為所述源代碼，則對(duì)所述觸發(fā)代碼進(jìn)行逆向處理，得到所述第一代碼；

根據(jù)所述預(yù)設(shè)編碼數(shù)據(jù)對(duì)所述第一代碼進(jìn)行編碼特征提取處理，得到所述編碼特征。

可選地，所述根據(jù)預(yù)設(shè)利用數(shù)據(jù)對(duì)所述利用代碼進(jìn)行目標(biāo)特征提取處理，得到目標(biāo)特征，包括：