[發(fā)明專利]一種擬態(tài)WAF中的對抗流量生成方法

有效

• 申請?zhí)枺?/td>: 202011239091.6
• 申請日: 2020-11-09
• 公開（公告）號: CN112383529B
• 公開（公告）日: 2021-09-24
• 發(fā)明（設(shè)計）人: 吳春明;陳雙喜;趙若琰
• 申請（專利權(quán)）人: 浙江大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 杭州求是專利事務(wù)所有限公司 33200
• 代理人: 邱啟旺

1.一種擬態(tài)WAF中的對抗流量生成方法，其特征在于，該方法包括以下步驟：

(1)部署M個WAF惡意流量檢測模塊E＝{e_i|i＝1,2,...,M}，其中e_i為第i個檢測模塊；

(2)將流量送入惡意檢測模塊，得出檢測結(jié)果t_1i；具體步驟為：

(2.1)若流量為HTTP流量，則直接送入惡意檢測模塊E；

(2.2)若流量為HTTPS流量，則先將該流量解密為HTTP流量，再送入惡意檢測模塊E；

(3)將每個惡意檢測模塊的檢測結(jié)果t_1i送入擬態(tài)裁決模塊，擬態(tài)裁決模塊對惡意流量進行判決，得到最終屬性t′₁∈[0,1]；

(4)擬態(tài)裁決模塊根據(jù)最終屬性對惡意流量進行不同操作，具體為：

(4.1)若t′₁＝1，則送入變異模塊；

(4.2)若t′₁＝0，則送入后端服務(wù)器；

(5)生成對抗惡意流量，主要包括如下子步驟：

(5.1)對惡意流量進行請求頭字段提取；提取出URL地址l、URL參數(shù)r、User-Agent字段u、Host字段h、Content-Length字段c；

(5.2)變異模塊對提取出的字段進行變異，生成對抗惡意HTTP流量，具體步驟為：

(5.2.1)分別對r進行Case Conversion、Whitespace Substitution、IntegerEncoding、Operator Swapping、Insert Comment處理得到r′_j，j＝1,...,5；

(5.2.2)分別對u進行八進制轉(zhuǎn)換、十六進制轉(zhuǎn)換得到u′₁、u′₂，再對u進行編碼，得到u′₃；

(5.2.3)分別對h進行八進制轉(zhuǎn)換、十六進制轉(zhuǎn)換得到h′₁、h′₂，再對h進行編碼，得到h′₃；

(5.2.4)從r′_j、u′_k、h′_n每種字段集合中隨機選取一個元素，組合r′_j、u′_k、h′_n、l、c，得到對抗惡意HTTP流量；k＝1～3，n＝1～3；

(6)將對抗惡意HTTP流量送入二次檢測模塊進行二次檢測，得到檢測結(jié)果t′₂，具體為：

(6.1)若t′₂＝1，即繞過規(guī)則失敗，則丟棄該對抗HTTP流量；

(6.2)若t′₂＝0，即繞過規(guī)則成功，則保留該對抗HTTP流量；

(7)輸出保留的對抗惡意流量。

2.如權(quán)利要求1所述擬態(tài)WAF中的對抗流量生成方法，其特征在于，所述步驟(1)中，檢測模塊的檢測方式包括專注于SQL注入、專注于字符編碼、專注于無效注釋添加和專注于AI。

3.如權(quán)利要求1所述擬態(tài)WAF中的對抗流量生成方法，其特征在于，所述步驟(3)中，擬態(tài)裁決模塊的擬態(tài)裁決方法包括加權(quán)表決和舉手表決。