CN105141573B - 一种基于web访问合规性审计的安全防护方法和系统 - Google Patents

Abstract

本发明涉及网络安全防护技术领域，旨在提供一种基于WEB访问合规性审计的安全防护方法和系统。该种基于WEB访问合规性审计的安全防护方法包括下述步骤：主设备能对受保护的Web站点进行全路径自学习，再根据学习到的Web站点路径特征，生成完整的Web路径合规模型，当主设备接收来自客户端到Web站点的访问请求时，将该访问请求的信息记入记录表中，合规引擎利用Web路径合规模型，对访问请求进行分析与评估；该安全防护系统包括主设备和合规引擎。本发明能够对网站进行全路径审计，动态生成合规模型，从而对网络的不安全行为进行智能化评估与防御，规范用户的网络访问行为，并且有效减少攻击误判率。

Description

一种基于WEB访问合规性审计的安全防护方法和系统

技术领域

本发明是关于网络安全防护技术领域，特别涉及一种基于WEB访问合规性审计的安全防护方法和系统。

背景技术

随着互联网的高速发展，Web应用的安全问题已经成为当今互联网研究的热点问题。

Web应用安全防护作为一种主动的安全防护技术，它既可以作为一种审计及访问控制设备，也可以用于架构和网络设计及Web应用加固，能够对来自互联网的不安全行为提供实时保护。这些不安全行为包括注入攻击事件、网页篡改事件、信息泄漏事件、网站盗链、信息窃取事件等。传统的WEB应用防火墙通常以独立的硬件网关存在，以透明代理、网关、网桥、反向代理或路由模式等多种部署形态保护着WEB服务器。

目前大部分Web应用防护产品采用的是基于规则模型的防御技术，其原理是主设备基于已公布的网络漏洞特征，事先建立一套完整的规则模型。对每个会话进行分析检测，获取其特征，若与规则模型匹配则认定为非法请求并拒绝会话。基于规则模型的防御技术能有效防护已知安全问题。但是因为这种技术依赖于事先确定每个威胁的特点，而大部份Web站点都具有其固有的特点，这个方法并不能完全有效地保护Web站点和防护尚未公开的漏洞，同时会造成对攻击的错误判断。

发明内容

本发明的主要目的在于克服现有技术中的不足，提供基于WEB访问合规性审计的安全防护防护方法和系统。为解决上述技术问题，本发明的解决方案是：

提供一种基于WEB访问合规性审计的安全防护方法，用于对向受保护的Web站点发来的请求，进行合规性审计并处理，所述基于WEB访问合规性审计的安全防护方法包括下述步骤：

步骤A：主设备(在特定的时间，比如使用基于WEB访问合规性审计安全防护方法的同时)能对受保护的Web站点进行全路径自学习；所述全路径自学习是指通过访问Web站点的方式，对站点的路径、页面及页面节点的关系进行审计并记录；

步骤B：主设备根据步骤A中学习到的Web站点路径特征，生成完整的Web路径合规模型；所述Web路径合规模型是指Web网站路径及页面集合，用于规范用户对网站的访问行为；

步骤C：主设备接收来自客户端到Web站点的访问请求，并将该访问请求的源IP地址、源MAC地址、源端口、目的IP地址、目的MAC、目的端口、请求源URL、请求目的URL、请求参数、访问时间记入记录表中；

步骤D：合规引擎利用步骤B中生成的Web路径合规模型，对访问请求进行分析与评估，具体方式为：

合规引擎获取记录表中该请求的请求源URL以及请求目的URL，并对获取的数据进行分析提练，确定请求发起的原始页面及目的页面；然后根据请求的原始页面和目的页面，从步骤B中生成的Web路径合规模型中，寻找访问路径完全一致的页面及子页面，若找到一个匹配的页面或者子页面，则评估分值加1，若请求的原始页面和目的页面找不到匹配的页面或者子页面，则评分估值减1，最终合计得到请求的评分估值；

步骤E：主设备根据预先设定的阈值(比如WEB站点路径权值的最低分值)，判断合规引擎计算得到的该请求的评估分值是否低于预先设定的阈值；

若该请求的评估分值低于预先设定的阈值，则确定该请求属于非法请求，并执行预先设定的处理操作；若该请求的评估分值等于或高于预先设定的阈值，则确定该请求属于正常请求，不执行预先设定的处理操作，由合规引擎放行该请求。

在本发明中，所述步骤E中，预先设定的处理操作包括：阻断并告警、阻断不告警、丢弃并告警、丢弃不告警、重定向、仅检测。

提供基于所述的一种基于WEB访问合规性审计的安全防护系统，包括主设备和合规引擎；

所述主设备能对受保护的Web站点进行全路径学习，在定向获取初始页面的基础上，能从当前页面上获取新的URL链接及参数，生成完整的Web路径合规模型，并能在Web路径合规模型的基础上自定义规则及处理操作；主设备能接收来自客户端到受保护的Web站点的请求，并利用合规引擎得出的该请求的评估分值，判断当前请求的评估分值是否低于预先设定的阈值，进而确定该请求的处理操作；

所述合规引擎用于对主设备接收的请求进行分析，获取其特征并与Web路径合规模型进行对比，并根据符合程度的高低给予请求相应的评估分值。

与现有技术相比，本发明的有益效果是：

能够对网站进行全路径审计，动态生成合规模型，从而对网络的不安全行为进行智能化评估与防御，规范用户的网络访问行为，并且有效减少攻击误判率。

附图说明

图1为实施例中的Web网站页面结构图。

图2为实施例中的系统结构框图。

图3为实施例中的Web访问合规性检测装置结构框图。

具体实施方式

首先需要说明的是，本发明是计算机技术在信息安全技术领域的一种应用。在本发明的实现过程中，会涉及到多个软件功能模块的应用。申请人认为，如在仔细阅读申请文件、准确理解本发明的实现原理和发明目的以后，在结合现有公知技术的情况下，本领域技术人员完全可以运用其掌握的软件编程技能实现本发明。前述软件功能模块包括但不限于：主设备、合规引擎等，凡本发明申请文件提及的均属此范畴，申请人不再一一列举。

下面结合附图与具体实施方式对本发明作进一步详细描述：

为了能够更有效地检测来自互联网客户端的请求合规程度及安全性，本发明一种基于WEB访问合规性审计的安全防护方法，首先在特定的时间对Web站点进行全路径自学习，并形成合规模型，可参见图1；当主设备接收到来自客户端的请求时，与合规模型进行分析对比，根据分析结果来确定请求的合规程度和安全性，可参见图3，最终作出处理。

该种基于WEB访问合规性审计的安全防护方法，具体包括下述步骤：

步骤S01：主设备在特定的时间对受保护的Web站点进行全路径自学习。

上述全路径自学习指的是通过访问Web站点的方式，对站点的路径、页面及页面节点的关系进行审计并记录。

步骤S02：主设备根据学习到的Web站点路径特征，生成完整的Web站点路径合规模型。

在本步骤中所述的合规模型指为了更明确地规范用户对网站的访问行为而确定的一种Web网站路径及页面集合，如图1所示，图1中，实线表示网页路径关系，虚线表示用户访问路径。假定一个Web网站的首页是S,设S的存储结构为S＝(S.page，S.flag，<S.child1,S.child2……S.childn>)。S.page存储页面名称；S.flag用于标识该页面是否存在子链接，1表示有，0表示没有；<S.child1……>用于标识各子链接页面名称。

基于上述设计，图1中所示页面A1在合规模型中的存储结构为(A1,1,<B1,B2,B3,B4>)。

步骤S03：主设备接收来自客户端到Web站点的访问请求。

将该请求的源IP地址、源MAC地址、源端口、目的IP地址、目的MAC、目的端口、请求源URL、请求目的URL、请求参数、访问时间记入记录表中。

步骤S04：合规引擎对访问请求进行分析与评估。

上述将请求与合规模型进行分析与评估的方法，具体描述为：获取该请求发起的原始URL以及目的URL，对这些数据进行分析提练，确定请求发起的原始页面及目的页面。根据请求的原始页面和目的页面从合规模型中匹配相应的页面及子页面。假定图1中，用户User1的访问路径为A1->B2->C2，合规模型中A1的存储结构为(A1,1,<B1,B2,B3,B4>)，其中包含B2，且B2的存储结构为(B2,1,<C2,C4>)，其中包含C2。我们为每次匹配成功评1分，故该用户的访问行为得2分。若用户User2的访问路径为A1->C6，合规模型中A1的存储结构中子链接页面匹配不到C6，此时评分为-1分，此时继续从A1的子页面B1，B2，B3，B4中匹配，最络匹配到B4的子链接页面中存在C5，评分为1分，最终合计得分-1+1＝0分。

步骤S05：主设备判断该请求的评估分值是否低于预先设定的阈值。

预先设定的阈值，可以是WEB站点路径权值的最低分值。比如以0分为界定，大于等于0分的用户访问行为被认定为无风险或风险极低的操作，即放行该操作行为；小于0分的被认定为风险较高的不安全操作行为，可以采取预先设定的处理操作。

步骤S06：合规引擎认定分值低于预先设定的阈值，则确定本次请求为非法请求，并执行预先设定的处理。

预先设定的处理操作包括：阻断并告警、阻断不告警、丢弃并告警、丢弃不告警、重定向、仅检测。系统可以根据对用户请求的合规性及安全性评估结果，作出以上动作处理。

最后，需要注意的是，以上列举的仅是本发明的具体实施例。显然，本发明不限于以上实施例，还可以有很多变形。本领域的普通技术人员能从本发明公开的内容中直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (2)

1.一种基于WEB访问合规性审计的安全防护方法，用于对向受保护的Web站点发来的请求，进行合规性审计并处理，其特征在于，所述基于WEB访问合规性审计的安全防护方法包括下述步骤：

步骤A：主设备能对受保护的Web站点进行全路径自学习；所述全路径自学习是指通过访问Web站点的方式，对站点的路径、页面及页面节点的关系进行审计并记录；

步骤B：主设备根据步骤A中学习到的Web站点路径特征，生成完整的Web路径合规模型；所述Web路径合规模型是指Web网站路径及页面集合，用于规范用户对网站的访问行为；

步骤C：主设备接收来自客户端到Web站点的访问请求，并将该访问请求的源IP地址、源MAC地址、源端口、目的IP地址、目的MAC、目的端口、请求源URL、请求目的URL、请求参数和访问时间记入记录表中；

步骤D：合规引擎利用步骤B中生成的Web路径合规模型，对访问请求进行分析与评估，具体方式为：

合规引擎获取记录表中该请求的请求源URL以及请求目的URL，并对获取的数据进行分析提练，确定请求发起的原始页面及目的页面；然后根据请求的原始页面和目的页面，从步骤B中生成的Web路径合规模型中，寻找访问路径完全一致的页面及子页面，若找到一个匹配的页面或者子页面，则评估分值加1，若请求的原始页面和目的页面找不到匹配的页面或者子页面，则评分估值减1，最终合计得到请求的评分估值；

步骤E：主设备根据预先设定的阈值，判断合规引擎计算得到的该请求的评估分值是否低于预先设定的阈值；

若该请求的评估分值低于预先设定的阈值，则确定该请求属于非法请求，并执行预先设定的处理操作；若该请求的评估分值等于或高于预先设定的阈值，则确定该请求属于正常请求，不执行预先设定的处理操作，由合规引擎放行该请求；

所述预先设定的处理操作包括阻断并告警、阻断不告警、丢弃并告警、丢弃不告警、重定向和仅检测。

2.基于权利要求1所述的方法的一种基于WEB访问合规性审计的安全防护系统，其特征在于，包括主设备和合规引擎；

所述主设备能对受保护的Web站点进行全路径学习，在定向获取初始页面的基础上，能从当前页面上获取新的URL链接及参数，生成完整的Web路径合规模型，并能在Web路径合规模型的基础上自定义规则及处理操作；主设备能接收来自客户端到受保护的Web站点的请求，并利用合规引擎得出的该请求的评估分值，判断当前请求的评估分值是否低于预先设定的阈值，进而确定该请求的处理操作；

所述合规引擎用于对主设备接收的请求进行分析，获取其特征并与Web路径合规模型进行对比，并根据符合程度的高低给予请求相应的评估分值。