[發明專利]一種檢測惡意行為的方法、裝置及存儲介質

有效

• 申請號: 202110203939.8
• 申請日: 2021-02-23
• 公開（公告）號: CN112887327B
• 公開（公告）日: 2022-11-22
• 發明（設計）人: 盧再鋒
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京派特恩知識產權代理有限公司 11270
• 代理人: 李娟;張穎玲

1.一種檢測惡意行為的方法，其特征在于，包括：

接收待檢測對象的至少一個請求報文；

解析所述至少一個請求報文中的每個請求報文，分別得到對應的信息位置目錄、文件類型和請求方法中的至少兩個；

若所述請求方法、所述信息位置目錄和所述文件類型中的至少兩個之間存在沖突，則從預設沖突關系中，得到與所述每個請求報文對應的第一權重信息；

基于所述至少一個請求報文對應的至少一個第一權重信息，確定所述至少一個請求報文的檢測結果。

2.根據權利要求1所述的方法，其特征在于，所述接收待檢測對象的至少一個請求報文之后，所述方法還包括：

篩選所述至少一個請求報文中是否包含特殊信息，所述特殊信息包括：信息位置敏感詞或掃描器指紋；

若每個請求報文中均包含所述特殊信息，則從預設特殊信息庫中，得到與所述每個請求報文對應的第二權重信息，從而得到了至少一個請求報文對應的至少一個第二權重信息；

相應的，所述基于所述至少一個請求報文對應的至少一個第一權重信息，確定所述至少一個請求報文的檢測結果，包括：

根據所述至少一個第一權重信息和所述至少一個第二權重信息，確定所述至少一個請求報文的檢測結果。

3.根據權利要求1或2所述方法，其特征在于，所述接收待檢測對象的至少一個請求報文之后，所述方法還包括：

接收針對所述至少一個請求報文響應的至少一個響應報文；所述至少一個響應報文是由服務器接收到所述至少一個請求報文后做出響應而得到的；

解析所述至少一個響應報文，得到每個響應報文分別對應的響應信息；

若所述響應信息表征未找到所要請求的內容，則從預設異常響應關系中，得到與所述每個請求報文對應的第三權重信息，從而得到了至少一個請求報文對應的至少一個第三權重信息；

相應的，所述基于所述至少一個請求報文對應的至少一個第一權重信息，確定所述至少一個請求報文的檢測結果，包括：

根據所述至少一個第一權重信息和所述至少一個第三權重信息，確定所述至少一個請求報文的檢測結果；或者，

根據所述至少一個第一權重信息、所述至少一個第二權重信息和所述至少一個第三權重信息，確定所述至少一個請求報文的檢測結果。

4.根據權利要求1所述方法，其特征在于，所述基于所述至少一個請求報文對應的至少一個第一權重信息，確定所述至少一個請求報文的檢測結果，包括：

若所述至少一個請求報文對應的至少一個第一權重信息中存在大于第一惡意分數閾值的第一目標權重信息，則確定與所述第一目標權重信息對應的請求報文的檢測結果為惡意行為。

5.根據權利要求1所述方法，其特征在于，所述基于所述至少一個請求報文對應的至少一個第一權重信息，確定所述至少一個請求報文的檢測結果，包括：

若所述至少一個請求報文對應的至少一個第一權重信息中存在小于或等于第一惡意分數閾值的第二目標權重信息，則將所述第二目標權重信息進行相加，得到第一加權結果；

若所述第一加權結果小于或等于第一惡意加權閾值，則與所述第二目標權重信息對應的請求報文的檢測結果為正常行為；

若所述第一加權結果大于第一惡意加權閾值，則與所述第二目標權重信息對應的請求報文的檢測結果為惡意行為。

6.根據權利要求3所述的方法，其特征在于，所述方法還包括：

解析所述至少一個請求報文中的每個請求報文，分別得到一一對應的請求參數；

統計與每個請求報文對應的所述請求參數的個數；

根據至少一個第二權重信息和所述至少一個第三權重信息中的至少一個，所述至少一個第一權重信息，以及所述請求參數的個數，確定所述至少一個請求報文的檢測結果。