CN103491060A - 一种防御Web攻击的方法、装置、及系统 - Google Patents

Abstract

本发明公开一种防御Web攻击的方法、装置、及系统，所述装置包括嵌于所述装置的Web探针，所述Web探针包括：参数提取模块，用于依据规则库中规则提取Web应用请求中的参数；请求处理模块，用于将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求。本发明能够针对Web攻击做专门的防御。

Description

一种防御Web攻击的方法、装置、及系统

技术领域

本发明涉及网络安全领域，特别涉及防御Web攻击的方法、装置、及系统。

背景技术

随着互联网及Web应用的迅速发展，Web应用所面临的安全威胁及产生的危害也越来越大，各种漏洞层出不穷，传统的防火墙、IDS（入侵检测系统）在这方面越来越显得力不从心。

现有技术中，防火墙主要在不同网络之间实现访问控制，根据一些基本的规则如端口、IP来允许或者拒绝网络请求，一般不会有复杂的判断逻辑。IDS主要针对网络封包级别，通过统计分析，找到可疑的封包并进行报警或拦截。防火墙和IDS都难针对Web类攻击做专门的防范。

发明内容

本发明提供了防御Web攻击的方法、装置、及系统，以解决难以针对Web攻击做专门的防御的问题。

本发明公开了一种防御Web攻击的装置，所述装置包括嵌于所述装置的Web探针，

所述Web探针包括：

参数提取模块，用于依据规则库中规则提取Web应用请求中的参数；

请求处理模块，用于将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求。

其中，请求处理模块还用于当参数与规则库中规则的条件都不匹配时，则按配置处理所述Web应用请求。

本发明还公开了一种防御Web攻击的系统，所述系统包括控制平台和多个Web服务器，所述Web服务器包括嵌于Web服务器中的Web探针，

Web探针，用于依据规则库中规则提取Web应用请求中的参数，将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求，将处理结果报告给位于同一网络的控制平台；

控制平台，用于对Web探针的处理结果进行统计。

较佳的，所述系统还包括监控及分析平台，

控制平台还用于将统计结果报告给所述监控及分析平台；

监控及分析平台用于依据统计结果学习正常的Web应用流量和/或请求模式。

其中，所述监控及分析平台具体用于依据统计结果，获得Web应用在正常情况下的静态页面请求量、动态页面请求量，计算静态页面请求量与动态页面请求量的比值，学习获得在正常情况下，所述比值的区间范围。

较佳的，监控及分析平台还用于进行网络监控，当监控到的静态页面请求量与动态页面请求量的比值不在学习到的在正常情况下比值的区间范围内时，确定出现异常。

较佳的，监控及分析平台还用于进行网络监控，当监控的多个参量都符合异常条件时，确定出现异常。

较佳的，监控及分析平台还用于当确定异常时，将所述异常的特征作为新的规则向控制平台发布；

控制平台还用于依据发布的新的规则更新规则库中规则。

较佳的，所述Web探针还用于当参数与规则库中规则的条件都不匹配时，则按配置处理所述Web应用请求。

本发明还公开了一种防御Web攻击的方法，所述方法包括：

Web探针依据规则库中规则提取Web应用请求中的参数；

Web探针将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求；

Web探针嵌于多个Web服务器中以进行分布式布置。

本发明实施例的有益效果是：通过在应用层实现对Web请求的监控和判断，能够防御Web攻击；通过将Web探针嵌于Web服务器中，能够进行分布式部署，分布式部署，不存在单一节点部署的性能瓶颈，并且可以很方便的扩充节点，可以充分利用现有Web服务器的计算资源，不需要单独添加硬件，由Web服务器完成管理连接、解包等操作，Web探针只需要利用Web服务器的处理结果，提高了性能，同时也简化了Web探针的开发过程；

进一步地，使用控制平台对同一网络的Web探针处理结果进行统计，能够针对网络整体进行状态监控；

进一步地，使用监控及分析平台对控制平台统计结果进行分析，便于应用分析结果发现网络异常；

进一步地，通过不断发布新规则，能够及时防御新型攻击。

附图说明

图1为本发明防御Web攻击的装置的结构图。

图2为本发明防御Web攻击的系统的结构图。

图3为本发明防御Web攻击的方法的流程图。

图4为本发明防御Web攻击的实施例的架构图。

图5为本发明防御Web攻击的方法实施例的流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

参见图1，一种防御Web攻击的装置，一种防御Web攻击的装置，所述装置包括嵌于所述装置的Web探针。

所述Web探针包括：

参数提取模块110，用于依据规则库中规则提取Web应用请求中的参数；

请求处理模块120，用于将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求。

在一较佳的实施方式中，请求处理模块还用于当参数与规则库中规则的条件都不匹配时，则按配置处理所述Web应用请求。

在一较佳的实施方式中，所述装置前端设置防火墙；

所述参数提取模块具体用于依据规则库中规则提取通过防火墙的Web应用请求中的参数。

在一较佳的实施方式中，所述装置还包括：报告模块用于将处理结果报告给位于同一网络的控制平台。

参见图2，一种防御Web攻击的系统，所述系统包括控制平台200和多个Web服务器100’，所述Web服务器100’包括嵌于其中的Web探针100。

Web探针100，用于依据规则库中规则提取Web应用请求中的参数，将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求，将处理结果报告给位于同一网络的控制平台200。

控制平台200，用于对Web探针100的处理结果进行统计。

其中，所述Web探针还用于当参数与规则库中规则的条件都不匹配时，则按配置处理所述Web应用请求。

在一较佳的实施方式中，所述系统还包括监控及分析平台。

控制平台还用于将统计结果报告给所述监控及分析平台；

监控及分析平台用于依据统计结果学习正常的Web应用流量和/或请求模式。

其中，所述监控及分析平台具体用于依据统计结果，获得Web应用在正常情况下的静态页面请求量、动态页面请求量，计算静态页面请求量与动态页面请求量的比值，学习获得在正常情况下，所述比值的区间范围。

其中，监控及分析平台还用于进行网络监控，当监控到的静态页面请求量与动态页面请求量的比值不在学习到的在正常情况下比值的区间范围内时，确定出现异常。

在一较佳的实施方式中，监控及分析平台还用于进行网络监控，当监控的多个参量都符合异常条件时，确定出现异常。

在一较佳的实施方式中，监控及分析平台还用于当确定异常时，将所述异常的特征作为新的规则向控制平台发布；

控制平台还用于依据发布的新的规则更新规则库中规则。

在一较佳的实施方式中，所述系统还包括设置于所述Web探针前端的防火墙；

所述防火墙，用于过滤进入网络的消息；

所述Web探针在依据规则库中规则提取Web应用请求中的参数时具体用于依据规则库中规则提取通过防火墙的Web应用请求中的参数。

在一较佳的实施方式中，Web探针仅与控制平台通信。

参见图3，为本发明提供的防御Web攻击的方法。

所述方法包括如下步骤。

步骤S100，Web探针依据规则库中规则提取Web应用请求中的参数。

步骤S200，Web探针将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求。

所述Web探针嵌于多个Web服务器中以进行分布式布置。

具体而言，规则库可以存储于Web探针本地，也可以存储于独立于Web探针的数据库。

所述规则包括条件和操作。条件为进行匹配时用于判断是否与规则匹配的条件，满足条件则与规则匹配，不满足条件，则与规则不匹配。操作，为规则中规定的处理动作，当与规则匹配时，则按规则的操作进行处理。

例如：一个典型的规则为：

其中，用于匹配的条件为在所有后缀为.do的请求中寻找参数中带有script字符的请求，当匹配成功后，进行的操作为将该请求记录到日志。

其中，当参数与规则库中规则的条件都不匹配时，则按配置处理所述Web应用请求。

依据规则库中规则的不同，匹配情况不同。如果规则库中规则能够满足Web应用请求至少会与其中一条规则匹配，则无需考虑参数与规则库中规则的条件都不匹配的情况。

如果可能出现参数与规则库中规则的条件都不匹配的情况，则可以当参数与规则库中规则的条件都不匹配时，按配置处理Web应用请求，即该配置为缺省配置。

通过将Web探针嵌于Web服务器中，能够进行分布式部署，分布式部署，不存在单一节点部署的性能瓶颈，并且可以很方便的扩充节点，可以充分利用现有Web服务器的计算资源，不需要单独添加硬件，由Web服务器完成管理连接、解包等操作，Web探针只需要利用Web服务器的处理结果，提高了性能，同时也简化了Web探针的开发过程。

在一较佳的实施方式中，所述方法还包括：所述Web探针前端设置防火墙。

所述Web探针依据规则库中规则提取Web应用请求中的参数具体包括：所述Web探针依据规则库中规则提取通过防火墙的Web应用请求中的参数。

通过将Web探针与防火墙结合使用，实现Web探针与防火墙间的功能互补。

在一较佳的实施方式中，所述方法还包括：Web探针将处理结果报告给位于同一网络的控制平台；控制平台对Web探针的处理结果进行统计。

控制平台和Web探针位于同一网络中，控制平台实现对网络中处理的统计，进而提供对网络状态的监控。

在一较佳的实施方式中，所述方法还包括Web探针仅与位于同一网络的控制平台通信。

网络中各个Web探针是在各自的平台上运行，并只与控制平台进行通讯，不相互影响，因此某个Web探针的故障不会影响其他Web探针的运行。

在一较佳的实施方式中，控制平台将统计结果报告给监控及分析平台；监控及分析平台依据统计结果学习正常的Web应用流量和/或请求模式。

监控及分析平台可以跨网络部署在任一网络中，监控平台可以实时查看Web探针监控的网络状态和整体安全情况，例如：请求量、拦截量等。监控及分析平台分析控制平台传入的统计结果，学习正常的Web应用流量及请求模式。对该学习结果进行多种应用，例如与学习的正常结果比较，在发现异常时报警；或将学习结果呈现。

一具体实施方式为，监控及分析平台依据统计结果，获得Web应用在正常情况下的静态页面请求量、动态页面请求量，计算静态页面请求量与动态页面请求量的比值，学习获得在正常情况下，所述比值的区间范围。

如果在监控中计算的比值超过学习到的区间范围，则确定出现异常情况。

举例而言，在学习阶段，对于某个Web应用，由统计结果获得正常情况下的静态页面请求量、动态页面请求量、静态页面请求量/动态页面请求量比值在一个区间范围内。当出现异常情况时，会出现例如某个页面的请求量突然增大，而与其相关的页面请求量相对正常的情况，监控分析平台将正常情况下的比值与当前获得比值进行对比，确定出现异常情况。

除上述举例外，还可以应用监控到的其他信息判断正常与异常。例如，使用请求量进行判断，具体而言，在预设时间内出现大量相同的请求，该请求量比正常情况下的请求量超出预设门限值，则认为出现异常。

在具体应用中，可以通过将多种判断异常成立的条件结合使用，当符合多个条件时判断为异常，以保证判断的准确性。例如，当预设时间内请求量比正常量超出的差值达到预设门限值，并且静态页面请求量与动态页面请求量的比值超过正常值范围时，确定对应请求为异常。

在一较佳的实施方式中，所述方法还包括：监控及分析平台向控制平台发布新的规则；控制平台依据所述新的规则更新规则库中规则。

举例而言，监控及分析平台依据统计结果学习正常的Web应用流量和/或请求模式后，依据学习的结果进行网络监控；当发现异常时，将发现的异常的特征作为新的规则向控制平台发布。控制平台依据该新的规则更新规则库中规则。

上述新的规则，除了应用学习结果发现外，还可以通过配置获得。

参见图4，为本发明防御Web攻击的实施例的架构图。

在实施例中，Web探针嵌于Web服务器220中，Web探针前端设置防火墙210，Web探针所在网络中配置控制平台230，在任一网络中配置监控及分析平台240。

对于使用IIS（互联网信息服务）的Web服务器，Web探针以ISAPI（互联网服务器应用程序接口）的方式开发。在Apache（一种Web服务器软件）和Nginx（一种HTTP和反向代理服务器）的Web服务器中，Web探针则是作为一个外部模块。

其中，控制平台和Web探针部署在同一网络内，实现对本网络Web探针状态的监测、控制、以及更新等功能。同时对外提供集群的状态及控制接口。

另外，控制平台还用于实现单一网络内的Web探针控制，使每个网络内部形成一个单独的功能单元，不产生外部依赖。同时对监控及分析平台提供统一的功能服务。并且，Web探针仅与位于同一网络的控制平台通信，可以保证控制平台管理网络内Web探针的死机不会影响其他Web探针的运行，控制平台自身的死机只会导致Web探针暂时通信失败，无法上报处理结果，此时，Web探针会根据现有规则继续运行，不会造成更大的损失。

监控及分析平台可以跨网络部署在任一网络中，监控及分析平台实时查看网络状态和整体安全情况，例如：请求量、拦截量，同时实时下发新的规则。监控及分析平台分析控制平台传入的日志，学习系统正常的HTTP流量及请求模式，并在发现异常模式时报警。而且，监控及分析平台可以以发现的异常模式作为新的规则进行发布。

监控及分析平台依赖于控制平台，反之则不存在依赖关系。即监控及分析平台的死机不会影响控制平台以及Web探针的正常运行。

参见图5，为本发明防御Web攻击的方法实施例的流程图。

步骤S301，防火墙对进入网络的消息进行过滤。

步骤S302，Web探针依据规则库中规则提取通过防火墙的Web应用请求中的参数。

Web应用请求包括：HTTP请求等。

Web探针依据规则库中规则提取Http请求的参数，例如：URL、HTTP头、HTTP请求包体等。

规则库提供多种匹配方式和简单的逻辑操作，以xml的方式记录。一个典型的匹配规则如下：

表示在所有后缀为.do的请求中寻找参数中带有script字符的请求并记录到日志。

步骤S303，Web探针将参数与规则库中规则的条件进行匹配，判断是否匹配成功，如果成功，则执行步骤S304；否则，执行步骤S305。

步骤S304，按匹配的规则的操作处理Web应用请求。

操作包括：拦截、记录、和/或放行等。

步骤S305，按配置处理所述Web应用请求。

该配置为没有匹配时的缺省配置。

步骤S306，Web探针将处理结果报告给控制平台。

步骤S307，控制平台对Web探针的处理结果进行统计，将统计结果报告给监控及分析平台。

步骤S308，监控及分析平台依据统计结果学习正常的Web应用流量和请求模式。

所述实施例的方法中还包括：监控及分析平台依据学习结果进行监控，当发现异常模式时，以所述异常模式作为新的规则。

所述实施例的方法中还包括：监控及分析平台向控制平台发布新的规则；控制平台依据所述新的规则更新规则库中规则。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种防御Web攻击的装置，其特征在于，所述装置包括嵌于所述装置的Web探针，

所述Web探针包括：

参数提取模块，用于依据规则库中规则提取Web应用请求中的参数；

请求处理模块，用于将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求。

2.根据权利要求1所述的装置，其特征在于，

请求处理模块还用于当参数与规则库中规则的条件都不匹配时，则按配置处理所述Web应用请求。

3.一种防御Web攻击的系统，其特征在于，所述系统包括控制平台和多个Web服务器，所述Web服务器包括嵌于Web服务器中的Web探针，

Web探针，用于依据规则库中规则提取Web应用请求中的参数，将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求，将处理结果报告给位于同一网络的控制平台；

控制平台，用于对Web探针的处理结果进行统计。

4.根据权利要求3所述的系统，其特征在于，所述系统还包括监控及分析平台，

控制平台还用于将统计结果报告给所述监控及分析平台；

监控及分析平台用于依据统计结果学习正常的Web应用流量和/或请求模式。

5.根据权利要求4所述的系统，其特征在于，

所述监控及分析平台具体用于依据统计结果，获得Web应用在正常情况下的静态页面请求量、动态页面请求量，计算静态页面请求量与动态页面请求量的比值，学习获得在正常情况下，所述比值的区间范围。

6.根据权利要求5所述的系统，其特征在于，

监控及分析平台还用于进行网络监控，当监控到的静态页面请求量与动态页面请求量的比值不在学习到的在正常情况下比值的区间范围内时，确定出现异常。

7.根据权利要求4所述的系统，其特征在于，

监控及分析平台还用于进行网络监控，当监控的多个参量都符合异常条件时，确定出现异常。

8.根据权利要求6或7所述的系统，其特征在于，

监控及分析平台还用于当确定异常时，将所述异常的特征作为新的规则向控制平台发布；

控制平台还用于依据发布的新的规则更新规则库中规则。

9.根据权利要求4所述的系统，其特征在于，

所述Web探针还用于当参数与规则库中规则的条件都不匹配时，则按配置处理所述Web应用请求。

10.一种防御Web攻击的方法，其特征在于，所述方法包括：

Web探针依据规则库中规则提取Web应用请求中的参数；

Web探针将参数与规则库中规则的条件进行匹配，当匹配成功时，按匹配的规则的操作来处理所述Web应用请求；

Web探针嵌于多个Web服务器中以进行分布式布置。

Images