[發明專利]一種網絡攻擊檢測方法、裝置、設備及介質

在審

• 申請號: 202010718271.6
• 申請日: 2020-07-23
• 公開（公告）號: CN111885061A
• 公開（公告）日: 2020-11-03
• 發明（設計）人: 岳巍;李凱
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 陳彥如

1.一種網絡攻擊檢測方法，其特征在于，包括：

獲取目標數據庫的數據庫流量；

根據所述數據庫流量中的數據庫類型特征確定所述目標數據庫的數據庫類型；

從所述數據庫流量中提取出與所述數據庫類型對應的與數據庫攻擊行為相關的特征，以得到相應的攻擊特征；

基于所述攻擊特征確定相應的數據庫是否遭受網絡攻擊。

2.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，所述根據所述數據庫流量中的數據庫類型特征確定所述目標數據庫的數據庫類型，包括：

根據所述數據庫流量中的數據庫類型標識，確定所述數據庫流量對應的數據庫類型；其中，所述數據庫類型包括關系型數據庫和非關系型數據庫。

3.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，若所述數據庫類型為關系型數據庫，所述從所述數據庫流量中提取出與所述數據庫類型對應的與數據庫攻擊行為相關的特征，以得到相應的攻擊特征和所述基于所述攻擊特征確定相應的數據庫是否遭受網絡攻擊的步驟，包括：

根據所述關系型數據庫對應的數據庫協議格式確定出待提取字段類型；

從所述數據庫流量中提取出與所述待提取字段類型對應的目標字段，以獲取到相應的第一攻擊特征；

判斷所述第一攻擊特征是否為與目標攻擊行為對應的目標攻擊特征，所述目標攻擊行為包括嘗試權限提升和/或嘗試文件寫入；

若是，則獲取與所述目標攻擊行為對應的返回流量，并利用所述返回流量檢測所述目標攻擊行為是否攻擊成功；

若所述目標攻擊行為攻擊成功，則確定所述關系型數據庫遭受網絡攻擊。

4.根據權利要求3所述的網絡攻擊檢測方法，其特征在于，所述根據所述關系型數據庫對應的數據庫協議格式確定出待提取字段類型之前，還包括：

利用關系型數據庫對應的數據表結構和/或查詢語句特征對所述數據庫流量進行識別，以確定出所述關系型數據庫對應的數據庫協議格式。

5.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，若所述數據庫類型為關系型數據庫，所述根據所述數據庫流量中的數據庫類型特征確定所述目標數據庫的數據庫類型之后，還包括：

根據所述關系型數據庫對應的數據庫協議格式確定出待提取字段類型；

從所述數據庫流量中提取出與所述待提取字段類型對應的目標字段，以獲取到相應的第一攻擊特征；

若所述第一攻擊特征為與目標攻擊行為對應的目標攻擊特征，則判定所述關系型數據庫失陷；其中，所述目標攻擊行為包括嘗試權限提升和/或嘗試文件寫入。

6.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，若所述數據庫類型為非關系型數據庫，所述從所述數據庫流量中提取出與所述數據庫類型對應的與數據庫攻擊行為相關的特征，以得到相應的攻擊特征和所述基于所述攻擊特征確定相應的數據庫是否遭受網絡攻擊的步驟，包括：

檢測所述數據庫流量中的攻擊載荷以得到第二攻擊特征；

當檢測到所述第二攻擊特征，則獲取相應的返回流量，并利用所述返回流量檢測相應的攻擊行為是否攻擊成功；

若所述攻擊行為攻擊成功，則確定所述非關系型數據庫遭受網絡攻擊。

7.根據權利要求1所述的網絡攻擊檢測方法，其特征在于，若所述數據庫類型為非關系型數據庫，所述根據所述數據庫流量中的數據庫類型特征確定所述目標數據庫的數據庫類型之后，還包括：

檢測所述數據庫流量中的攻擊載荷以得到第二攻擊特征；

當檢測到所述第二攻擊特征，則獲取相應的返回流量，并利用所述返回流量檢測相應的攻擊行為是否攻擊成功；

若所述攻擊行為攻擊成功，則判定所述非關系型數據庫失陷。