[發(fā)明專利]一種網(wǎng)絡(luò)攻擊檢測方法、裝置、設(shè)備及介質(zhì)

在審

• 申請?zhí)枺?/td>: 202010718271.6
• 申請日: 2020-07-23
• 公開（公告）號: CN111885061A
• 公開（公告）日: 2020-11-03
• 發(fā)明（設(shè)計）人: 岳巍;李凱
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 陳彥如

1.一種網(wǎng)絡(luò)攻擊檢測方法，其特征在于，包括：

獲取目標(biāo)數(shù)據(jù)庫的數(shù)據(jù)庫流量；

根據(jù)所述數(shù)據(jù)庫流量中的數(shù)據(jù)庫類型特征確定所述目標(biāo)數(shù)據(jù)庫的數(shù)據(jù)庫類型；

從所述數(shù)據(jù)庫流量中提取出與所述數(shù)據(jù)庫類型對應(yīng)的與數(shù)據(jù)庫攻擊行為相關(guān)的特征，以得到相應(yīng)的攻擊特征；

基于所述攻擊特征確定相應(yīng)的數(shù)據(jù)庫是否遭受網(wǎng)絡(luò)攻擊。

2.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)攻擊檢測方法，其特征在于，所述根據(jù)所述數(shù)據(jù)庫流量中的數(shù)據(jù)庫類型特征確定所述目標(biāo)數(shù)據(jù)庫的數(shù)據(jù)庫類型，包括：

根據(jù)所述數(shù)據(jù)庫流量中的數(shù)據(jù)庫類型標(biāo)識，確定所述數(shù)據(jù)庫流量對應(yīng)的數(shù)據(jù)庫類型；其中，所述數(shù)據(jù)庫類型包括關(guān)系型數(shù)據(jù)庫和非關(guān)系型數(shù)據(jù)庫。

3.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)攻擊檢測方法，其特征在于，若所述數(shù)據(jù)庫類型為關(guān)系型數(shù)據(jù)庫，所述從所述數(shù)據(jù)庫流量中提取出與所述數(shù)據(jù)庫類型對應(yīng)的與數(shù)據(jù)庫攻擊行為相關(guān)的特征，以得到相應(yīng)的攻擊特征和所述基于所述攻擊特征確定相應(yīng)的數(shù)據(jù)庫是否遭受網(wǎng)絡(luò)攻擊的步驟，包括：

根據(jù)所述關(guān)系型數(shù)據(jù)庫對應(yīng)的數(shù)據(jù)庫協(xié)議格式確定出待提取字段類型；

從所述數(shù)據(jù)庫流量中提取出與所述待提取字段類型對應(yīng)的目標(biāo)字段，以獲取到相應(yīng)的第一攻擊特征；

判斷所述第一攻擊特征是否為與目標(biāo)攻擊行為對應(yīng)的目標(biāo)攻擊特征，所述目標(biāo)攻擊行為包括嘗試權(quán)限提升和/或嘗試文件寫入；

若是，則獲取與所述目標(biāo)攻擊行為對應(yīng)的返回流量，并利用所述返回流量檢測所述目標(biāo)攻擊行為是否攻擊成功；

若所述目標(biāo)攻擊行為攻擊成功，則確定所述關(guān)系型數(shù)據(jù)庫遭受網(wǎng)絡(luò)攻擊。

4.根據(jù)權(quán)利要求3所述的網(wǎng)絡(luò)攻擊檢測方法，其特征在于，所述根據(jù)所述關(guān)系型數(shù)據(jù)庫對應(yīng)的數(shù)據(jù)庫協(xié)議格式確定出待提取字段類型之前，還包括：

利用關(guān)系型數(shù)據(jù)庫對應(yīng)的數(shù)據(jù)表結(jié)構(gòu)和/或查詢語句特征對所述數(shù)據(jù)庫流量進行識別，以確定出所述關(guān)系型數(shù)據(jù)庫對應(yīng)的數(shù)據(jù)庫協(xié)議格式。

5.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)攻擊檢測方法，其特征在于，若所述數(shù)據(jù)庫類型為關(guān)系型數(shù)據(jù)庫，所述根據(jù)所述數(shù)據(jù)庫流量中的數(shù)據(jù)庫類型特征確定所述目標(biāo)數(shù)據(jù)庫的數(shù)據(jù)庫類型之后，還包括：

根據(jù)所述關(guān)系型數(shù)據(jù)庫對應(yīng)的數(shù)據(jù)庫協(xié)議格式確定出待提取字段類型；

從所述數(shù)據(jù)庫流量中提取出與所述待提取字段類型對應(yīng)的目標(biāo)字段，以獲取到相應(yīng)的第一攻擊特征；

若所述第一攻擊特征為與目標(biāo)攻擊行為對應(yīng)的目標(biāo)攻擊特征，則判定所述關(guān)系型數(shù)據(jù)庫失陷；其中，所述目標(biāo)攻擊行為包括嘗試權(quán)限提升和/或嘗試文件寫入。

6.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)攻擊檢測方法，其特征在于，若所述數(shù)據(jù)庫類型為非關(guān)系型數(shù)據(jù)庫，所述從所述數(shù)據(jù)庫流量中提取出與所述數(shù)據(jù)庫類型對應(yīng)的與數(shù)據(jù)庫攻擊行為相關(guān)的特征，以得到相應(yīng)的攻擊特征和所述基于所述攻擊特征確定相應(yīng)的數(shù)據(jù)庫是否遭受網(wǎng)絡(luò)攻擊的步驟，包括：

檢測所述數(shù)據(jù)庫流量中的攻擊載荷以得到第二攻擊特征；

當(dāng)檢測到所述第二攻擊特征，則獲取相應(yīng)的返回流量，并利用所述返回流量檢測相應(yīng)的攻擊行為是否攻擊成功；

若所述攻擊行為攻擊成功，則確定所述非關(guān)系型數(shù)據(jù)庫遭受網(wǎng)絡(luò)攻擊。

7.根據(jù)權(quán)利要求1所述的網(wǎng)絡(luò)攻擊檢測方法，其特征在于，若所述數(shù)據(jù)庫類型為非關(guān)系型數(shù)據(jù)庫，所述根據(jù)所述數(shù)據(jù)庫流量中的數(shù)據(jù)庫類型特征確定所述目標(biāo)數(shù)據(jù)庫的數(shù)據(jù)庫類型之后，還包括：

檢測所述數(shù)據(jù)庫流量中的攻擊載荷以得到第二攻擊特征；

當(dāng)檢測到所述第二攻擊特征，則獲取相應(yīng)的返回流量，并利用所述返回流量檢測相應(yīng)的攻擊行為是否攻擊成功；

若所述攻擊行為攻擊成功，則判定所述非關(guān)系型數(shù)據(jù)庫失陷。