[發(fā)明專利]一種基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)系統(tǒng)及方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202111203566.0
• 申請(qǐng)日: 2021-10-15
• 公開（公告）號(hào): CN113923035A
• 公開（公告）日: 2022-01-11
• 發(fā)明（設(shè)計(jì)）人: 李昱希;王進(jìn)杰;雷濤;魏婉昀
• 申請(qǐng)（專利權(quán)）人: 四川新網(wǎng)銀行股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 成都行之專利代理事務(wù)所(普通合伙) 51220
• 代理人: 張楊

1.一種基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)系統(tǒng)，其特征在于，包括流量接收器、流量控制器、基礎(chǔ)配置模塊、行為模型研發(fā)模塊、第一解析模塊以及通過所述行為模型研發(fā)模塊進(jìn)行參數(shù)設(shè)置的第二解析模塊，其中，

所述流量接收器用于接收來自客戶端的請(qǐng)求流量，并將所述請(qǐng)求流量傳輸給第一解析模塊；

所述第一解析模塊用于識(shí)別匹配接收到的請(qǐng)求流量的攻擊載荷、提取請(qǐng)求中不帶明顯攻擊載荷的特征，形成攻擊載荷日志和請(qǐng)求特征日志；

所述第二解析模塊用于接收攻擊者行為判斷模型、攻擊處置策略，對(duì)攻擊載荷日志和請(qǐng)求特征日志進(jìn)行解析，并求出該請(qǐng)求流量所匹配的行為模型，將對(duì)應(yīng)的行為模型所對(duì)應(yīng)的流量控制命令發(fā)給流量控制器；

所述流量控制器根據(jù)接收到的流量控制命令，對(duì)該請(qǐng)求流量進(jìn)行放行或者拒絕的動(dòng)作；

所述基礎(chǔ)配置模塊用于對(duì)第一解析模塊進(jìn)行參數(shù)設(shè)置；

所述行為模型研發(fā)模塊用于開發(fā)攻擊者行為判斷模型、設(shè)置攻擊處置策略。

2.根據(jù)權(quán)利要求1所述的一種基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)系統(tǒng)，其特征在于，所述第一解析模塊包括請(qǐng)求解析引擎、攻擊載荷識(shí)別引擎和攻擊日志生成器，其中，

所述請(qǐng)求解析引擎用于識(shí)別并解析出請(qǐng)求流量的請(qǐng)求特征；

所述攻擊載荷識(shí)別引擎用于識(shí)別請(qǐng)求流量的攻擊載荷；

所述攻擊日志生成器用于將所述請(qǐng)求特征和攻擊載荷分別形成請(qǐng)求特征日志和攻擊載荷日志。

3.根據(jù)權(quán)利要求2所述的一種基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)系統(tǒng)，其特征在于，所述請(qǐng)求特征包括請(qǐng)求源、客戶端類型、請(qǐng)求頭參數(shù)、請(qǐng)求體參數(shù)、時(shí)間、對(duì)象。

4.根據(jù)權(quán)利要求2所述的一種基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)系統(tǒng)，其特征在于，所述攻擊載荷包括攻擊類型、時(shí)間、對(duì)象、攻擊源。

5.根據(jù)權(quán)利要求1所述的一種基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)系統(tǒng)，其特征在于，所述第二解析模塊包括日志解析引擎、模型計(jì)算引擎以及攻擊策略引擎，其中，

所述日志解析引擎用于解析攻擊載荷日志和請(qǐng)求特征日志，將攻擊載荷日志解析為：初步定性為攻擊的載荷特征、暫未定性為攻擊的請(qǐng)求特征；

所述模型計(jì)算引擎用于對(duì)攻擊載荷日志和請(qǐng)求特征日志的解析結(jié)果進(jìn)行實(shí)時(shí)計(jì)算，根據(jù)行為模型研發(fā)模塊設(shè)置的攻擊模型進(jìn)行不同的攻擊者行為和危險(xiǎn)等級(jí)匹配；

所述攻擊策略引擎用于接收攻擊者行為判斷模型和危險(xiǎn)等級(jí)結(jié)果，將對(duì)應(yīng)的攻擊策略生成相應(yīng)的流量控制命令，并將流量控制命令下發(fā)給流量控制器。

6.一種基于權(quán)利要求1-5任一所述的基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)系統(tǒng)的防護(hù)方法，其特征在于，包括如下步驟：

步驟1、所述第一解析模塊識(shí)別匹配接收到的請(qǐng)求流量的攻擊載荷匹配、提取請(qǐng)求中的不帶明顯攻擊載荷的特征，形成攻擊載荷日志和請(qǐng)求特征日志；

步驟2、所述第二解析模塊接收開發(fā)的攻擊者行為判斷模型、設(shè)置的攻擊處置策略，對(duì)所述攻擊載荷日志和請(qǐng)求特征日志進(jìn)行解析，經(jīng)過行為模型計(jì)算，并求出該請(qǐng)求流量的流量控制命令，并將所述流量控制命令發(fā)給流量控制器；

步驟3、所述流量控制器根據(jù)接收到的流量控制命令，對(duì)該請(qǐng)求流量進(jìn)行放行或者拒絕的動(dòng)作。

7.根據(jù)權(quán)利要求6所述的一種基于攻擊載荷和攻擊行為的動(dòng)態(tài)應(yīng)用防護(hù)方法，其特征在于，步驟1的具體實(shí)現(xiàn)步驟如下：

步驟1.1、所述流量接收器接收來自客戶端的流量請(qǐng)求并分別傳輸給請(qǐng)求解析引擎和攻擊載荷識(shí)別引擎；

步驟1.2、所述請(qǐng)求解析引擎解析該流量請(qǐng)求的請(qǐng)求特征，并將請(qǐng)求特征傳輸給攻擊日志生成器；

步驟1.3、所述攻擊載荷識(shí)別引擎識(shí)別該流量請(qǐng)求的攻擊載荷，并將攻擊載荷傳輸給攻擊日志生成器；

步驟1.4、所述攻擊日志生成器將所述請(qǐng)求特征和攻擊載荷分別形成請(qǐng)求特征日志和攻擊載荷日志，并將請(qǐng)求特征日志和攻擊載荷日志保存在存儲(chǔ)空間。