[發(fā)明專利]一種攻擊行為檢測(cè)方法、裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110103976.1
• 申請(qǐng)日: 2021-01-26
• 公開（公告）號(hào): CN112953895B
• 公開（公告）日: 2022-11-22
• 發(fā)明（設(shè)計(jì)）人: 岳巍
• 申請(qǐng)（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 常忠良

本申請(qǐng)公開了一種攻擊行為檢測(cè)方法、裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)。本申請(qǐng)公開的方法包括：獲取執(zhí)行命令所得的響應(yīng)包；確定響應(yīng)包對(duì)應(yīng)的請(qǐng)求命令的源IP地址；檢測(cè)源IP地址的攻擊特征和/或訪問行為是否符合攻擊行為判定條件；若是，則確定響應(yīng)包存在命令執(zhí)行攻擊行為。其中，響應(yīng)包是執(zhí)行命令所得的響應(yīng)數(shù)據(jù)，對(duì)響應(yīng)數(shù)據(jù)進(jìn)行攻擊檢測(cè)，只需關(guān)注響應(yīng)數(shù)據(jù)本身的行為，故檢測(cè)源IP地址的攻擊特征和/或訪問行為即可，無需關(guān)注響應(yīng)數(shù)據(jù)對(duì)應(yīng)的命令是否已知，因此基于響應(yīng)包檢測(cè)命令執(zhí)行攻擊行為可以檢測(cè)未知命令，還提高了檢測(cè)準(zhǔn)確性。相應(yīng)地，本申請(qǐng)?zhí)峁┑囊环N攻擊行為檢測(cè)裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)，也同樣具有上述技術(shù)效果。

技術(shù)領(lǐng)域

本申請(qǐng)涉及計(jì)算機(jī)技術(shù)領(lǐng)域，特別涉及一種攻擊行為檢測(cè)方法、裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)。

背景技術(shù)

目前，一般針對(duì)請(qǐng)求命令進(jìn)行特征檢測(cè)，從而確定請(qǐng)求命令是否存在攻擊行為。但由于請(qǐng)求命令的特征檢測(cè)依賴已知攻擊命令的已知攻擊特征(如編碼方式等)，無法檢測(cè)未知攻擊命令是否具有攻擊性。且攻擊命令存在較多變形特征，現(xiàn)有已知攻擊特征不能覆蓋所有攻擊命令。有些變形特征無法被確切識(shí)別，因此還容易造成誤判或漏判。可見，對(duì)于命令執(zhí)行攻擊的檢測(cè)準(zhǔn)確性還有待提高。

因此，如何提高命令執(zhí)行攻擊的檢測(cè)準(zhǔn)確性，是本領(lǐng)域技術(shù)人員需要解決的問題。

發(fā)明內(nèi)容

有鑒于此，本申請(qǐng)的目的在于提供一種攻擊行為檢測(cè)方法、裝置、設(shè)備及可讀存儲(chǔ)介質(zhì)，以提高命令執(zhí)行攻擊的檢測(cè)準(zhǔn)確性。其具體方案如下：

第一方面，本申請(qǐng)?zhí)峁┝艘环N攻擊行為檢測(cè)方法，包括：

獲取執(zhí)行命令所得的響應(yīng)包；

確定所述響應(yīng)包對(duì)應(yīng)的請(qǐng)求命令的源IP地址；

檢測(cè)所述源IP地址的攻擊特征和/或訪問行為是否符合攻擊行為判定條件；

若是，則確定所述響應(yīng)包存在命令執(zhí)行攻擊行為。

優(yōu)選地，所述確定所述響應(yīng)包對(duì)應(yīng)的請(qǐng)求命令的源IP地址之前，還包括：

檢測(cè)所述響應(yīng)包的字段結(jié)構(gòu)是否符合，攻擊命令對(duì)應(yīng)的響應(yīng)字段結(jié)構(gòu)規(guī)則；

若是，則執(zhí)行所述確定所述響應(yīng)包對(duì)應(yīng)的請(qǐng)求命令的源IP地址；否則，丟棄所述響應(yīng)包。

優(yōu)選地，所述檢測(cè)所述源IP地址的攻擊特征和/或訪問行為是否符合攻擊行為判定條件，包括：

檢測(cè)所述源IP地址的攻擊廣度是否超過第一閾值；所述攻擊廣度為所述源IP地址所攻擊的被攻擊對(duì)象的個(gè)數(shù)；

和/或

檢測(cè)所述源IP地址的攻擊深度是否超過第二閾值；所述攻擊深度為所述源IP地址對(duì)任一個(gè)被攻擊對(duì)象所使用的攻擊類型的種類數(shù)；

和/或

檢測(cè)所述源IP地址的訪問行為是否異常。

優(yōu)選地，異常訪問行為包括：竊取敏感數(shù)據(jù)、上傳可執(zhí)行文件、破解行為、下載WEB文件和控制主機(jī)連接陌生IP地址中的任一種或組合。

優(yōu)選地，還包括：

若所述攻擊特征和所述訪問行為均不符合攻擊行為判定條件，則檢測(cè)所述請(qǐng)求命令的名稱是否符合攻擊命令的名稱規(guī)則；

若是，則確定所述響應(yīng)包存在命令執(zhí)行攻擊行為。

優(yōu)選地，所述檢測(cè)所述請(qǐng)求命令的名稱是否符合攻擊命令的名稱規(guī)則，包括：

確定發(fā)送所述響應(yīng)包的主機(jī)的操作系統(tǒng)類型；

檢測(cè)所述請(qǐng)求命令的名稱是否符合所述操作系統(tǒng)類型對(duì)應(yīng)的攻擊命令的名稱規(guī)則。