[發明專利]命令注入攻擊的檢測方法、裝置、計算機設備和存儲介質

有效

• 申請號: 202110035588.4
• 申請日: 2021-01-12
• 公開（公告）號: CN112887274B
• 公開（公告）日: 2023-04-14
• 發明（設計）人: 侯天齊;梁彧;田野;傅強;王杰;楊滿智;蔡琳;金紅;陳曉光
• 申請（專利權）人: 恒安嘉新（北京）科技股份公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 孟金喆

1.一種命令注入攻擊的檢測方法，其特征在于，應用于命令注入攻擊檢測設備，所述方法包括：

通過命令注入攻擊檢測設備的深度報文檢測設備實時獲取引流設備獲取、復制并轉發的流量數據，對流量數據進行解析，獲取多種協議類型的數據包，所述深度報文檢測設備為在服務器旁路部署；

通過命令注入攻擊檢測設備的數據整合工具對各所述數據包進行處理，獲取與各所述數據包匹配的完整數據進行存儲；其中，所述數據整合工具用于對各所述數據包中的無效數據以及不完整數據進行信息補全，形成完整數據；

通過命令注入攻擊檢測設備的規則匹配模塊將存儲的各完整數據與命令注入攻擊規則進行匹配，并在確定目標完整數據與命令注入攻擊規則相匹配時，阻斷與目標完整數據匹配的數據包發送方的流量數據，進行命令注入攻擊告警。

2.根據權利要求1所述的方法，其特征在于，通過命令注入攻擊檢測設備的深度報文檢測設備實時獲取引流設備獲取、復制并轉發的流量數據，對流量數據進行解析，獲取多種協議類型的數據包，包括：

通過深度報文檢測設備對獲取的流量數據進行協議類型解析，獲取多種協議類型的數據包，并將各數據包轉換為結構化格式數據；

所述協議類型包括超文本傳輸協議和/或結構化查詢語言協議。

3.根據權利要求2所述的方法，其特征在于，所述引流設備為網絡分流器、防火墻或者三層流量交換機。

4.根據權利要求2所述的方法，其特征在于，通過命令注入攻擊檢測設備的數據整合工具對各所述數據包進行處理，獲取與各所述數據包匹配的完整數據進行存儲，包括：

通過數據整合工具對各結構化格式數據進行數據抽取，并進行數據校驗，根據數據校驗結果進行數據清洗，獲取與各結構化格式數據匹配的完整數據；

將各完整數據轉換為標準格式進行存儲。

5.根據權利要求1所述的方法，其特征在于，通過命令注入攻擊檢測設備的規則匹配模塊將存儲的各完整數據與命令注入攻擊規則進行匹配，包括：

通過規則匹配模塊獲取存儲的各完整數據，并將各完整數據輸入至規則匹配模型中，通過規則匹配模型對各完整數據與命令注入攻擊規則進行匹配。

6.根據權利要求5所述的方法，其特征在于，所述命令注入攻擊規則包括命令注入攻擊規則庫中預存的各命令注入攻擊規則，以及對預存的各命令注入攻擊規則進行關聯和/或組合后形成的命令注入攻擊規則。

7.根據權利要求1所述的方法，其特征在于，在確定目標完整數據與命令注入攻擊規則相匹配時，阻斷與目標完整數據匹配的數據包發送方的流量數據，包括：

如果所述規則匹配模塊確定目標完整數據與命令注入攻擊規則相匹配，則向深度報文檢測設備發送數據阻斷指令，以使深度報文檢測設備根據數據阻斷指令向與目標完整數據匹配的數據包發送方發送重置連接數據包，以阻斷數據包發送方的流量數據。

8.一種命令注入攻擊的檢測裝置，其特征在于，部署于命令注入攻擊檢測設備中，包括：

流量數據解析模塊，用于通過命令注入攻擊檢測設備的深度報文檢測設備實時獲取引流設備獲取、復制并轉發的流量數據，對流量數據進行解析，獲取多種協議類型的數據包，所述深度報文檢測設備為在服務器旁路部署；

數據包處理模塊，用于通過命令注入攻擊檢測設備的數據整合工具對各所述數據包進行處理，獲取與各所述數據包匹配的完整數據進行存儲；其中，所述數據整合工具用于對各所述數據包中的無效數據以及不完整數據進行信息補全，形成完整數據；

流量數據阻斷模塊，用于通過命令注入攻擊檢測設備的規則匹配模塊將存儲的各完整數據與命令注入攻擊規則進行匹配，并在確定目標完整數據與命令注入攻擊規則相匹配時，阻斷與目標完整數據匹配的數據包發送方的流量數據，進行命令注入攻擊告警。