[發明專利]一種帶外攻擊檢測方法、裝置、探針、設備及存儲介質

在審

• 申請號: 202211055619.3
• 申請日: 2022-08-30
• 公開（公告）號: CN115499176A
• 公開（公告）日: 2022-12-20
• 發明（設計）人: 譚立聰;張德林
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 姚瑩麗

1.一種帶外攻擊檢測方法，其特征在于，包括：

獲取網絡流量的原始日志；

提取所述原始日志中的第一特征信息；所述第一特征信息至少包括請求主體和來源IP；

將所述請求主體與帶外攻擊特征進行匹配，得到告警日志；所述告警日志為所述請求主體與所述帶外攻擊特征匹配的第一原始日志；

外發所述告警日志，以使服務端對所述告警日志中的所述來源IP進行封禁。

2.根據權利要求1所述的帶外攻擊檢測方法，其特征在于，所述將所述請求主體與帶外攻擊特征進行匹配，得到告警日志，包括：

若所述請求主體中請求內容無回顯，且所述請求主體中攜帶有DNSLog域名，則將所述請求主體對應的所述第一原始日志作為所述告警日志。

3.根據權利要求1所述的帶外攻擊檢測方法，其特征在于，在所述外發所述告警日志，以使服務端對所述告警日志中的所述來源IP進行封禁之后，還包括：

所述服務端根據所述告警日志中的第二特征信息，創建帶外攻擊檢測任務；

所述服務端根據所述帶外攻擊檢測任務，確定所述告警日志的攻擊結果。

4.根據權利要求3所述的帶外攻擊檢測方法，其特征在于，在所述服務端根據所述告警日志中的第二特征信息，創建帶外攻擊檢測任務之前，還包括：

所述服務端獲取所述告警日志中的目的IP、攻擊時間、請求內容和DNSlog域名，作為所述第二特征信息。

5.根據權利要求3或4所述的帶外攻擊檢測方法，其特征在于，所述服務端根據所述帶外攻擊檢測任務，確定所述告警日志的攻擊結果，包括：

將所述攻擊時間作為待檢測時間；

反查所述待檢測時間的預設間隔時間內的所述原始日志；

若所述原始日志中存在所述目的IP請求所述DNSLog域名，則確定所述攻擊結果為成功。

6.根據權利要求5所述的帶外攻擊檢測方法，其特征在于，若所述原始日志中不存在所述目的IP請求所述DNSLog域名，包括：

判斷當前時間距離所述攻擊時間是否超過預設持續時間；

若是，則確定所述攻擊結果為嘗試攻擊；

若否，則等待下一次執行所述帶外攻擊檢測任務。

7.一種帶外攻擊檢測裝置，其特征在于，包括:

獲取模塊，用于獲取網絡流量的原始日志；

提取模塊，用于提取所述原始日志中的第一特征信息；所述第一特征信息至少包括請求主體和來源IP；

第一執行模塊，用于將所述請求主體與帶外攻擊特征進行匹配，得到告警日志；所述告警日志為所述請求主體與所述帶外攻擊特征匹配的第一原始日志；

第二執行模塊，用于外發所述告警日志，以使服務端對所述告警日志中的所述來源IP進行封禁。

8.一種探針，其特征在于，包括：

復制部件，用于將網絡流量進行鏡像復制，得到鏡像網絡流量；

解析部件，用于對所述鏡像網絡流量進行解析，得到流量元數據，作為原始日志；

檢測引擎，用于對所述原始日志進行檢測，得到告警日志。

9.一種帶外攻擊檢測設備，其特征在于，包括：

存儲器、處理器以及如權利要求8所述的探針；

所述存儲器，用于存儲計算機程序；

所述處理器，用于執行所述計算機程序，以實現如權利要求1至6任意一項所述的帶外攻擊檢測方法的步驟。

10.一種存儲介質，其特征在于，所述存儲介質上存儲有計算機程序，所述計算機程序被處理器執行時用于實現如權利要求1至6任意一項所述的帶外攻擊檢測方法的步驟。