[發明專利]一種面向Slow HTTP POST攻擊的數據包檢測系統

在審

• 申請號: 202110284958.8
• 申請日: 2021-03-17
• 公開（公告）號: CN113051558A
• 公開（公告）日: 2021-06-29
• 發明（設計）人: 賈帥
• 申請（專利權）人: 賈帥
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06K9/62
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種面向Slow HTTP POST攻擊的數據包檢測系統，其特征在于，包括：安裝并運行在Web服務器上的數據包檢測系統軟件，該數據包檢測系統由數據包預處理模塊、檢測模型訓練模塊、以及攻擊檢測模塊組成；

其中，數據包預處理模塊用于對用戶訪問Web服務器時所發送的數據包進行屬性提取，并且對數據包屬性狀態向量中的元素的樣本值進行無量綱的標準化處理；

檢測模型訓練模塊使用具有快速收斂特性的K-means聚類對正常用戶訪問Web服務器時所發送數據包的數據樣本進行模型訓練，得到正常訪問下的數據包行為模型；

攻擊檢測模塊包括粗粒度檢測子模塊和細粒度檢測子模塊，粗粒度檢測子模塊對明顯不可能是Slow HTTP POST攻擊的數據包進行過濾，細粒度檢測子模塊通過聚類分析將待檢測數據包與訓練模型進行比較并進行閾值分析，當結果與模型產生偏離并且次數超過設定的閾值時，表示待檢測數據包為攻擊數據包。

2.根據權利要求1所述的面向Slow HTTP POST攻擊的數據包檢測系統，其特征在于，所述數據包預處理模塊采集正常用戶訪問Web服務器時所發送的數據包，提取出數據包的三個基本屬性，將三個基本屬性組成數據包屬性狀態集，統計各屬性對應的值得到數據包屬性狀態向量，對數據包屬性狀態向量中的元素的樣本值進行無量綱的標準化處理。

3.根據權利要求2所述的面向Slow HTTP POST攻擊的數據包檢測系統，其特征在于，所述數據包的三個基本屬性具體為：Web服務器發往客戶端方向的平均報文長度Ls、客戶端發往Web服務器方向的平均報文長度Lc、到達Web服務器報文的平均時間間隔Δt。

4.根據權利要求3所述的面向Slow HTTP POST攻擊的數據包檢測系統，其特征在于，所述檢測模型訓練模塊的訓練方法，具體如下：

Step1，在數據包屬性狀態向量的數據集X＝{X₁，X₂，……，X_n}中隨機選取k個初始數據包狀態簇中心點，C[0]＝X₁，…C[i]＝X_i…C[k-1]＝X_m；

Step2，對于X₁，X₂，……，X_n分別與C[0]＝X₁，……C[k-1]＝X_m進行比較，假設與簇C[i]中心的歐氏距離最小，將該樣本標記為i；

Step3，對所有標記為i的點，重新計算C[i]＝{所有標記為i的點的數據包屬性狀態向量之和/標記為i的點的個數}；

Step4，重復Step2至Step3，直至準則函數收斂。