[發明專利]一種基于語境分析的Web攻擊檢測方法

有效

• 申請號: 202110012910.1
• 申請日: 2021-01-06
• 公開（公告）號: CN112632549B
• 公開（公告）日: 2022-07-12
• 發明（設計）人: 李濤;黃云華;李貝貝;蘭小龍;王運鵬
• 申請（專利權）人: 四川大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N3/04;G06N3/08;G06F40/253
• 代理公司: 北京天奇智新知識產權代理有限公司 11340
• 代理人: 許馳

本發明涉及一種基于語境分析的Web攻擊檢測方法，所述Web攻擊檢測方法包括：數據預處理步驟：根據Esprima對JavaScript代碼的詞法進行解析和語法分析，得到抽象語法樹，并將每一行作為一個語法單元，進而將一個JavaScript代碼文件解析成語法單元序列；特征提取步驟：使用動態詞嵌入模型得到語法單元序列的語境表征，轉換為具有真實上下文信息的動態詞向量；對象分類步驟：根據TextCNN模型進行對語法單元進行分類。本發明的優點在于：充分利用代碼信息，獲取源代碼解析成語法單元序列的詳細信息?，F有的技術只是提取代碼的節點信息，但本發明充分利用了代碼信息，可以獲得較好的檢測效果。

技術領域

本發明涉及網絡監測技術領域，尤其涉及一種基于語境分析的Web攻擊檢測方法。

背景技術

隨著互聯網對我們生活的不斷滲透，人們已經越來越習慣于使用Web網站與Web應用，通過Web瀏覽新聞、消費購物、傳遞信息等等。這樣的變化在是我們的生活更加方便的同時也帶來了信息安全的隱患：某些攻擊者在不法利益的驅使下，將攻擊目標轉向了Web網站。據Symantec信息安全公司發布的《2019年網絡安全報告》顯示，全球每天有數萬網站受到黑客攻擊，而JavaScript(JS)作為web開發中占據統治地位的編程語言，絕大多數的web攻擊都是利用JS發起的。此外，越來越多的惡意JS代碼使用了混淆技術以逃避檢測。因此，如何高效檢測出惡意JavaScript代碼是預防web攻擊的必要途徑。

目前已有大量相關研究工作對JS代碼進行檢測分析來解決web安全中的惡意代碼問題?，F有的檢測方法可以分為兩類：基于代碼內容和結構的靜態分析；基于執行結果的動態分析。與靜態分析相比，動態分析方法往往需要更多的資源和執行時間。然而現有的靜態分析方法都是基于靜態詞嵌入的語義分析，代碼的二義性得不到解決，進而不能有效監測混淆代碼。如基于語義分析的惡意JS代碼檢測方法(DOI：10.1016/J.COSE.2020.101764)和基于段落向量的惡意JS代碼檢測方法(DOI：10.1016/j.asoc.2019.105721)等。但是無論是基于語義分析還是段落向量的檢測方法，都只利用代碼的語義信息并使用靜態詞嵌入技術，不能從根本上解決靜態分析時代碼的二義性問題，這導致混淆的惡意代碼難以檢測，且現有的靜態檢測方法還存在由于對代碼信息利用不足導致檢測精確度過低的問題。因此，web攻擊檢測領域依舊需要一種能夠準確高效檢測混淆惡意代碼的方法。

發明內容

本發明的目的在于克服現有技術的缺點，提供了一種基于語境分析的Web攻擊檢測方法，解決了現有靜態檢測方法存在的問題。

本發明的目的通過以下技術方案來實現：一種基于語境分析的Web攻擊檢測方法，所述Web攻擊檢測方法包括：

數據預處理步驟：根據Esprima對JavaScript代碼的詞法進行解析和語法分析，得到抽象語法樹，并將每一行作為一個語法單元，進而將一個JavaScript代碼文件解析成語法單元序列；

特征提取步驟：使用動態詞嵌入模型得到語法單元序列的語境表征，轉換為具有真實上下文信息的動態詞向量；

對象分類步驟：根據TextCNN模型對語法單元進行分類。

所述動態詞嵌入模型由Word2Vec和兩個雙向長短期記憶循環神經網絡組成，語法單元序列通過Word2Vec轉換為靜態詞向量并將其輸入到長短期記憶循環神經網絡中，轉換為具有真實上下文信息的動態詞向量。

所述特征提取步驟具體包括：

將語法單元序列(u₁,u₂,…,u_N)中每一個語法單元u_s輸入到靜態詞嵌入模型Word2vec中，生成與之相對應的靜態詞向量x_s，并將其作為動態詞嵌入模型的輸入；