[發明專利]一種通信檢測方法、裝置、設備和介質

有效

• 申請號: 202110325650.3
• 申請日: 2021-03-26
• 公開（公告）號: CN113014601B
• 公開（公告）日: 2023-07-14
• 發明（設計）人: 周運金
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王兆林

1.一種通信檢測方法，其特征在于，包括：

將預設時間內獲取的初始日志數據按照資源標識符進行分類，以得到各所述資源標識符各自對應的日志數據；

對目標資源標識符的日志數據進行統計得到行為特征信息；其中，所述目標資源標識符為所有所述資源標識符中的任意一個資源標識符；所述行為特征信息包括資源信息，還包括訪問源地址的類型及數量；其中，所述訪問源地址的類型包括內網源地址和外網源地址；

基于所述行為特征信息確定所述目標資源標識符對應的通信是否為webshell通信包括：

在所述資源信息滿足預設的資源加載條件的情況下，判斷所有所述訪問源地址是否均為外網源地址；

若所有所述訪問源地址均為外網源地址，則判定所述目標資源標識符對應的通信為webshell通信；

若所有所述訪問源地址不均為外網源地址，則判斷所有所述訪問源地址中內網源地址的個數是否小于預設閾值；

若所有所述訪問源地址中內網源地址的個數小于預設閾值，則判定所述目標資源標識符對應的通信為webshell通信。

2.根據權利要求1所述的通信檢測方法，其特征在于，所述行為特征信息還包括頁面信息和訪問信息；

所述基于所述行為特征信息確定所述目標資源標識符對應的通信是否為webshell通信包括：

按照預先設定的行為特征信息與權重分值的對應關系，計算得到所述目標資源標識符對應的目標分值；

若所述目標分值滿足預設分值條件，則判定所述目標資源標識符對應的通信為webshell通信。

3.根據權利要求2所述的通信檢測方法，其特征在于，所述頁面信息包括頁面跳轉次數和頁面入度次數；所述訪問信息包括IP訪問量；所述資源信息包括靜態資源加載量。

4.根據權利要求3所述的通信檢測方法，其特征在于，所述按照預先設定的行為特征信息與權重分值的對應關系，計算得到所述目標資源標識符對應的目標分值包括：

從預先建立的跳轉次數分值列表中，查詢所述頁面跳轉次數對應的第一分值；

從預先建立的入度次數分值列表中，查詢所述頁面入度次數對應的第二分值；

從預先建立的訪問量分值列表中，查詢所述IP訪問量對應的第三分值；

從預先建立的資源加載分值列表中，查詢所述靜態資源加載量對應的第四分值；

基于所述第一分值、所述第二分值、所述第三分值和所述第四分值確定所述目標資源標識符對應的目標分值。

5.根據權利要求1至4任意一項所述的通信檢測方法，其特征在于，還包括：

在判定所述目標資源標識符對應的通信為webshell通信的情況下，將所述目標資源標識符對應的文件刪除。

6.一種通信檢測方法，其特征在于，包括：

統計訪問目標資源標識符的訪問源地址的類型及數量；其中，行為特征信息包括訪問源地址的類型及數量；所述訪問源地址的類型包括內網源地址和外網源地址；

判斷所有所述訪問源地址是否均為外網源地址；

若所有所述訪問源地址均為外網源地址，則判定所述目標資源標識符對應的通信為webshell通信；

若所有所述訪問源地址不均為外網源地址，則判斷所有所述訪問源地址中內網源地址的個數是否小于預設閾值；

若所有所述訪問源地址中內網源地址的個數小于預設閾值，則判定所述目標資源標識符對應的通信為webshell通信。