[發明專利]一種基于Web日志的入侵研判方法及系統

在審

• 申請號: 202210099336.2
• 申請日: 2022-01-27
• 公開（公告）號: CN114491558A
• 公開（公告）日: 2022-05-13
• 發明（設計）人: 陶然
• 申請（專利權）人: 廣東云智安信科技有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/55
• 代理公司: 北京捷誠信通專利事務所(普通合伙) 11221
• 代理人: 萬善書

本發明公開了一種基于web日志的入侵研判方法及系統，研判方法包括：根據默認分割符和默認引用符將原始日志切割為字段；自動識別字段格式，進行字段格式的快速匹配，解析并存儲入庫；分批讀取入庫的日志，進行日志匹配規則檢測；更新日志進行并寫入回庫；對日志進行聚合，生成web攻擊事件，判定該入侵者是否攻擊成功；根據web攻擊時間和研判結果以及人工確認的該次入侵的影響范圍，生成和提交防護和處理報告。本發明，通過對web日志進行切割、統一解析、規則匹配檢測以及日志聚合，實現對攻擊者IP的入侵研判，本發明采用自動檢測和人工確認相結合的方式，具有效率高、結果準確性高、日志解析力度高、便于二次分析使用的優點，大大提高了web分析的效率。

技術領域

本發明涉及互聯網技術領域，具體涉及一種基于Web日志的入侵研判方法及系統。

背景技術

作為互聯網上最重要的應用之一，Web提供了便捷的文檔發布與獲取機制，并逐漸成為各類信息資源的聚集地。信息的豐富性和多樣性誘惑著黑客，導致對Web應用的攻擊越來越頻繁，尤其是針對Web服務器的攻擊。這種攻擊不僅種類繁多，而且危害巨大，有時會導致公司用戶信息泄露，更甚者會致使服務器癱瘓。

用戶通過客戶端訪問Web服務時，Web服務器會根據用戶的相應請求生成Web訪問日志。Web訪問日志記錄了Web服務器接收處理請求及運行時錯誤等各種原始信息。通過Web日志可以分析和回溯用戶行為，例如是否攻擊，最常訪問頁面，地址位置分布，訪問設備分布等。對Web日志進行的安全分析，不僅可以幫助我們定位攻擊者，還可以幫助我們還原攻擊路徑，找到網站存在的安全漏洞并進行修復。

Web服務需要搭建在不同的Web服務器上，常見的Web服務器有Nginx,Apache,Tomcat,IIS等，不同服務器日志攜帶的信息類似，都是用戶訪問的行為記錄，如各種訪問時間，客戶端IP，請求方法，請求URL，協議版本，用戶代理，Cookies，引用地址，服務器地址，響應碼，請求字節數，響應字節數等。但不同的服務器的日志格式不統一，現有技術中進行web日志分析主要依靠人工進行解析后再逐一進行分析，分析人員工作量巨大、分析效率低下,影響對入侵的防護和處理。

有鑒于此，急需一種基于Web日志的入侵研判方法及系統，以解決web日志類型格式不統一導致的分析效率低的問題。

發明內容

本發明所要解決的技術問題是現有不同類型的web服務器提供的web日志類型格式不統一、導致web日志分析效率低的問題。

為了解決上述技術問題，本發明所采用的技術方案如下：

一種基于Web日志的入侵研判方法，包括以下步驟：

根據默認分割符和默認引用符切割原始日志，將原始日志切割為字段；

自動識別字段格式，進行字段格式的快速匹配，并解析統一處理存儲到web日志庫內；

分批讀取入庫的日志，進行日志匹配規則檢測；所述日志的匹配規則檢測包括：根據威脅情報規則判定web日志的訪問者IP是否為惡意，對訪問者IP為惡意的web日志增加惡意標簽；根據IP信譽庫判定web日志的訪問者IP的IP信譽；根據關鍵字規則判定web日志的訪問者IP的訪問設備；根據安全檢測規則，判定web日志的攻擊類型；根據登陸檢測規則，檢測web日志是否存在登陸行為；

對完成匹配規則檢測的日志進行更新，并寫回web日志庫；

根據web日志的攻擊者IP和賬號信息對帶惡意標簽的web日志進行聚合，生成web攻擊事件，并根據該IP的攻擊、登錄和下載行為，判定該入侵者是否攻擊成功；

根據生成的web攻擊時間和研判結果，根據人工確認的該次入侵的影響范圍，生成和提交防護和處理報告。

在上述方案中，優選的，所述字段格式的快速匹配還包括：