[發(fā)明專利]一種攻擊檢測方法、裝置、設(shè)備和介質(zhì)

有效

• 申請?zhí)枺?/td>: 202110700489.3
• 申請日: 2021-06-23
• 公開（公告）號: CN113329032B
• 公開（公告）日: 2023-02-03
• 發(fā)明（設(shè)計(jì)）人: 岳巍
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 張金香

本申請實(shí)施例公開了一種攻擊檢測方法、裝置、設(shè)備和介質(zhì)，獲取滿足攻擊語言要求的網(wǎng)絡(luò)流量，通過設(shè)置攻擊語言要求，解決了攻擊者通過編碼、字符拼接等方式對網(wǎng)絡(luò)流量進(jìn)行變形的問題。基于攻擊語言要求獲取到符合上傳攻擊行為的網(wǎng)絡(luò)流量。為了實(shí)現(xiàn)對上傳攻擊行為是否上傳成功的識別，可以依賴于文件上傳路徑和/或訪問規(guī)則設(shè)定攻擊條件，在網(wǎng)絡(luò)流量滿足設(shè)定的攻擊條件的情況下，判定網(wǎng)絡(luò)流量的行為為上傳攻擊成功。基于攻擊語言要獲取網(wǎng)絡(luò)流量，解決了網(wǎng)絡(luò)流量變形的問題，可以篩選出初始網(wǎng)絡(luò)流量中包含上傳攻擊行為的網(wǎng)絡(luò)流量。基于設(shè)定的攻擊條件可以有效的檢測出攻擊流量中包含的上傳攻擊行為是否上傳成功，提高了成功上傳攻擊行為的檢出率。

技術(shù)領(lǐng)域

本申請涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，特別是涉及一種攻擊檢測方法、裝置、設(shè)備和計(jì)算機(jī)可讀存儲介質(zhì)。

背景技術(shù)

互聯(lián)網(wǎng)(World Wide Web，WEB)入侵的腳本攻擊工具(webshell)是以網(wǎng)頁文件形式存在的一種代碼執(zhí)行環(huán)境。黑客在入侵了一個(gè)網(wǎng)站后，通常會(huì)將動(dòng)態(tài)服務(wù)器頁面(ActiveServer Pages，ASP)或超級文本預(yù)處理語言(Hypertext Preprocessor，PHP)后門文件與網(wǎng)站服務(wù)器WEB目錄下正常的網(wǎng)頁文件混在一起，然后就可以使用瀏覽器來訪問ASP或者PHP后門，得到一個(gè)命令執(zhí)行環(huán)境，以達(dá)到控制網(wǎng)站服務(wù)器的目的。由于webshell大多是以動(dòng)態(tài)腳本的形式出現(xiàn)，也可以將webshell稱之為網(wǎng)站的后門工具。目前webshell上傳成功檢測技術(shù)主要是將獲取的網(wǎng)絡(luò)流量與基于webshell攻擊行為提取的特征詞進(jìn)行匹配。

有效攻擊載荷(PAYLOAD)指攻擊網(wǎng)路流量中對攻擊行為起到?jīng)Q定性作用的數(shù)據(jù)片段，通常該數(shù)據(jù)片段具備破壞系統(tǒng)完整性，獲取系統(tǒng)權(quán)限等功能。在實(shí)際應(yīng)用中，攻擊者為了繞過安全設(shè)備的檢測，往往通過編碼、字符拼接等方式對PAYLOAD進(jìn)行處理，使PAYLOAD的表現(xiàn)形式更加復(fù)雜和不具規(guī)律性，導(dǎo)致安全設(shè)備無法尋找到匹配的特征詞進(jìn)而放行，使得webshell上傳成功的檢出率較低。

可見，如何提高上傳攻擊行為的檢出率，是本領(lǐng)域技術(shù)人員需要解決的問題。

發(fā)明內(nèi)容

本申請實(shí)施例的目的是提供一種攻擊檢測方法、裝置、設(shè)備和計(jì)算機(jī)可讀存儲介質(zhì)，可以提高上傳攻擊行為的檢出率。

為解決上述技術(shù)問題，本申請實(shí)施例提供一種攻擊檢測方法，包括：

獲取滿足攻擊語言要求的網(wǎng)絡(luò)流量；

在所述網(wǎng)絡(luò)流量滿足設(shè)定的攻擊條件的情況下，判定所述網(wǎng)絡(luò)流量的行為為上傳攻擊成功；其中，所述攻擊條件包括文件上傳路徑和/或訪問規(guī)則。

可選地，所述在所述網(wǎng)絡(luò)流量滿足設(shè)定的攻擊條件的情況下，判定所述網(wǎng)絡(luò)流量的行為為上傳攻擊成功包括：

判斷所述網(wǎng)絡(luò)流量中是否存在文件上傳路徑包含靜態(tài)資源目錄的攻擊流量；

在所述網(wǎng)絡(luò)流量中存在文件上傳路徑包含靜態(tài)資源目錄的攻擊流量的情況下，判定所述攻擊流量的行為為上傳攻擊成功。

可選地，所述在所述網(wǎng)絡(luò)流量滿足設(shè)定的攻擊條件的情況下，判定所述網(wǎng)絡(luò)流量的行為為上傳攻擊成功包括：

將所述網(wǎng)絡(luò)流量的訪問行為與設(shè)定的訪問規(guī)則進(jìn)行匹配；

在所述網(wǎng)絡(luò)流量的訪問行為與設(shè)定的訪問規(guī)則匹配的情況下，判定所述網(wǎng)絡(luò)流量的行為為上傳攻擊成功。

可選地，所述在所述網(wǎng)絡(luò)流量的訪問行為與設(shè)定的訪問規(guī)則匹配的情況下，判定所述網(wǎng)絡(luò)流量的行為為上傳攻擊成功包括：

判斷所述網(wǎng)絡(luò)流量中是否存在訪問歷史被攻擊設(shè)備中特定腳本文件的源地址信息；

若所述網(wǎng)絡(luò)流量中存在訪問歷史被攻擊設(shè)備中特定腳本文件的源地址信息，判定所述網(wǎng)絡(luò)流量的行為為上傳攻擊成功。