CN105391692B - 对app和网关通信进行批量攻击的检测识别方法及装置 - Google Patents

Abstract

本发明提出了一种对APP和网关通信进行批量攻击的检测识别方法及装置，方法包括：对客户端APP和网关通信的每种请求约定编号及相对顺序号；将每次请求行为记录到请求行为数据库中；建立异常请求行为规则集；对请求行为超过设定次数的单个会话进行行为分析，并检测是否符合异常请求行为规则集中的一条或多条，如是，执行下一步骤；否则，认为单个会话正常；判断是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑；否则，将单个会话提交到人工进行判断；认为不存在嫌疑时，对异常请求行为规则集进行丰富和校正。实施本发明的对APP和网关通信进行批量攻击的检测识别方法及装置，具有以下有益效果：能从根本上解决批量攻击的检测问题。

Description

对APP和网关通信进行批量攻击的检测识别方法及装置

技术领域

本发明涉及互联网领域，特别涉及一种对APP和网关通信进行批量攻击的检测识别方法及装置。

背景技术

移动互联网和手机智能化的发展使得安卓手机上的应用程序(简称APP)能够满足越来越多的需求，其和后台服务器(简称网关)之间的通信也变得非常频繁。由于APP易被反编译从而轻易被看到源代码中关于加解密的关键信息：加解密算法和密匙。这样，通过对APP和网关两者之间的数据通信进行拦截和解密，结合APP界面上的交互，并加以分析，便能总结出这两者之间的数据通信协议，入侵者从而可以将自己的程序伪装成为目标APP，模拟人手操作与目标网关进行通信，高频批量攻击、检索获取目标网关中的高附加值数据。

因APP所在的安卓操作系统特性决定了APP的易被反编译性和网络传输协议HTTP的开放高效性无法在短期内变化。若使用HTTPS则会在性能上带来非常大的损失。目前常见的情况是：企业在日常生产过程中被攻击时很难及时检测的到，总是在被大批量攻击发生很久之后才发现比如“互联网带宽被告警了”，“服务器瘫痪了”、“正常APP连接不上”等等迹象。

一般的做法是将APP和网关之间的传输数据进行加密，每个APP的版本使用不同的密匙，频繁升级APP版本，过于老旧的APP版本强制升级至最新的版本。这样做的问题在于攻击者仍然较为容易获取到密匙，进而继续发起批量攻击，从而对系统运行造成持续安全隐患。还有一些较为复杂的做法，比如在每个会话内隔一段时间就换一次密匙，这样，虽然可以增加难度，但是不能从根本上解决批量攻击的检测问题。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述不能从根本上解决批量攻击的检测问题的缺陷，提供一种能从根本上解决批量攻击的检测问题的对APP和网关通信进行批量攻击的检测识别方法及装置。

本发明解决其技术问题所采用的技术方案是：构造一种对APP和网关通信进行批量攻击的检测识别方法，包括如下步骤：

A)对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号；

B)当任意一个所述客户端APP连上所述网关时，所述网关将其每次的请求行为记录到请求行为数据库中；所述请求行为包括会话ID、请求的种类编号、请求的IP和请求的发起时间信息；

C)所述网关建立异常请求行为规则集，并将其保存到行为异常数据库中；

D)所述网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测所述单个会话是否符合所述异常请求行为规则集中的一条或多条行为异常规则的会话ID，如是，执行步骤E)；否则，认为所述单个会话正常；

E)判断所述单个会话是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑，执行步骤G)；否则，将所述单个会话提交到人工进行二次判断，执行步骤F)；

F)所述人工对所述单个会话进行行为判断界定，判断是否存在嫌疑，如是，确认存在批量攻击嫌疑，执行步骤G)；否则，对所述异常请求行为规则集进行丰富和校正，并返回步骤D)；

G)所述网关将检测识别结果发送到所述客户端APP。

在本发明所述的对APP和网关通信进行批量攻击的检测识别方法中，所述异常请求行为规则集包括会话超过设定时间仍在线的场景、发出请求的频率超出了正常人的反应速度的场景、发出请求的时间跨越了凌晨的场景和多个会话源自同一IP的场景。

在本发明所述的对APP和网关通信进行批量攻击的检测识别方法中，所述异常请求行为规则集还包括请求的分布偏离平均分布概率的偏离量大于设定值的场景、请求被调用的次数或总请求次数与基准值相差超出设定差值范围的场景、以及请求在正常情况下只被调用一次但在被怀疑对象那里被调用多次的场景。

在本发明所述的对APP和网关通信进行批量攻击的检测识别方法中，所述异常请求行为规则集还包括对有特定顺序的请求在某会话中颠倒或缺失某个环节的场景。

在本发明所述的对APP和网关通信进行批量攻击的检测识别方法中，所述异常请求行为规则集还包括某些功能在界面跳转多次才能到达，但在被怀疑的会话中直接就开始被调用的场景。

本发明还涉及一种实现上述对APP和网关通信进行批量攻击的检测识别方法的装置，包括：

编号顺序号约定单元：用于对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号；

请求行为记录单元：用于当任意一个所述客户端APP连上所述网关时，所述网关将其每次的请求行为记录到请求行为数据库中；所述请求行为包括会话ID、请求的种类编号、请求的IP和请求的发起时间信息；

异常请求行为规则集建立单元：用于使所述网关建立异常请求行为规则集，并将其保存到行为异常数据库中；

行为分析检测单元：用于使所述网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测所述单个会话是否符合所述异常请求行为规则集中的一条或多条行为异常规则的会话ID，如是，进行后续的自动拦截确认的阈值的判断；否则，认为所述单个会话正常；

自动拦截确认的阈值判断单元：用于判断所述单个会话是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑；否则，将所述单个会话提交到人工进行二次判断；

行为界定单元：用于使所述人工对所述单个会话进行行为判断界定，判断是否存在嫌疑，如是，确认存在批量攻击嫌疑；否则，对所述异常请求行为规则集进行丰富和校正；

检测识别结果发送单元：用于使所述网关将检测识别结果发送到所述客户端APP。

在本发明所述的装置中，所述异常请求行为规则集包括会话超过设定时间仍在线的场景、发出请求的频率超出了正常人的反应速度的场景、发出请求的时间跨越了凌晨的场景和多个会话源自同一IP的场景。

在本发明所述的装置中，所述异常请求行为规则集还包括请求的分布偏离平均分布概率的偏离量大于设定值的场景、请求被调用的次数或总请求次数与基准值相差超出设定差值范围的场景、以及请求在正常情况下只被调用一次但在被怀疑对象那里被调用多次的场景。

在本发明所述的装置中，所述异常请求行为规则集还包括对有特定顺序的请求在某会话中颠倒或缺失某个环节的场景。

在本发明所述的装置中，所述异常请求行为规则集还包括某些功能在界面跳转多次才能到达，但在被怀疑的会话中直接就开始被调用的场景。

实施本发明的对APP和网关通信进行批量攻击的检测识别方法及装置，具有以下有益效果：由于对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号，一旦任何一个客户端APP连上网关，记录其每次会话ID、请求的种类编号、请求的IP和请求的发起时间信息，从而建立起一个请求行为数据库，通过内测、外侧、小范围试用后，各种请求在正常情况下的特征就可以统计提取出来，作为日后系统对外开放后进行比对的基准值，有了这些基准值，网关就可以随时对某个正在进行中的会话进行请求行为的统计分析，建立异常行为规则集，分析过程中会判断请求行为符合异常请求行为规则集中的一条或多条，针对批量攻击嫌疑，网关提交给人工进行二次核对，将分析得到的结果反馈、补充进上述异常行为规则集，这样往复多次后，检测识别精度越来越趋于准确，所以其能从根本上解决批量攻击的检测问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明对APP和网关通信进行批量攻击的检测识别方法及装置一个实施例中方法的流程图；

图2为所述实施例中装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明对APP和网关通信进行批量攻击的检测识别方法及装置实施例中，其对APP和网关通信进行批量攻击的检测识别方法的流程图如图1所示。图1中，该对APP和网关通信进行批量攻击的检测识别方法包括如下步骤：

步骤S001对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号：本实施例中，对客户端APP和网关进行通信的每种请求，约定其编号以及相对顺序号(如果某几种请求存在先后顺序的话)。值得一提的是，本实施例中，网关就是后台服务器。

步骤S002当任意一个客户端APP连上网关时，网关将其每次的请求行为记录到请求行为数据库中：本步骤中，当任意一个客户端APP连上网关时，网关将其每次的请求行为记录到请求行为数据库中，从而建立起一个请求行为数据库库。通过内测、外测和小范围试用后，各种请求在正常情况下的特征就可以统计提取出来，作为日后系统对外开放后进行比对的基准值。有了这些基准值，网关就可以随时对某个正在进行中的会话进行请求行为的统计分析。值得一提的是，本实施例中，上述请求行为包括会话ID、请求的种类编号、请求的IP和请求的发起时间信息等。

步骤S003网关建立异常请求行为规则集，并将其保存到行为异常数据库中：本步骤中，网关建立异常请求行为规则集，并将其保存到行为异常数据库中，异常请求行为规则集中包括各种异常请求行为的场景。网关会自动将满足异常请求行为规则集的场景自动检测识别为有批量攻击的怀疑。关于异常请求行为规则集，后续会进行详细描述。

步骤S004网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测单个会话是否符合异常请求行为规则集中的一条或多条行为异常规则的会话ID：本步骤中，网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测单个会话是否符合异常请求行为规则集中的一条或多条行为异常规则的会话ID，如果检测的结果为是，则执行步骤S006；否则，执行步骤S005。

步骤S005认为单个会话正常：如果上述步骤S004的判断结果为否，则执行本步骤。本步骤中，认为上述单个会话正常。

步骤S006判断单个会话是否达到自动拦截确认的阈值：如果上述步骤S004的判断结果为是，则执行本步骤。本步骤中，判断单个会话是否达到自动拦截确认的阈值，如果判断的结果为是，则执行步骤S007；否则，执行步骤S008。

步骤S007确认存在批量攻击嫌疑：如果上述步骤S006的判断结果为是，则执行本步骤。本步骤中，确认存在批量攻击嫌疑。执行完本步骤，执行步骤S012。

步骤S008将单个会话提交到人工进行二次判断：如果上述步骤S006的判断结果为否，则执行本步骤。本步骤中，将单个会话提交到人工进行二次判断。执行完本步骤，执行步骤S009。

步骤S009人工对单个会话进行行为判断界定，判断是否存在嫌疑：如果上述步骤S008的判断结果为是，则执行本步骤。本步骤中，人工对上述单个会话进行行为判断界定，判断是否存在嫌疑，如果判断的结果为是，则执行步骤S011；否则，执行步骤S010。

步骤S010对异常请求行为规则集进行丰富和校正：如果上述步骤S009的判断结果为否，则执行本步骤。本步骤中，对异常请求行为规则集进行丰富和校正，执行完本步骤，返回步骤S004。

步骤S011确认存在批量攻击嫌疑：如果上述步骤S009的判断结果为是，则执行本步骤。本步骤中，确认存在批量攻击嫌疑。执行完本步骤，执行步骤S012。

步骤S012网关将检测识别结果发送到客户端APP：本步骤中，网关将检测识别结果发送到客户端APP。本发明针对上述模拟企业APP批量攻击，非法从网关获取高附加值数据的问题，由于客户端APP容易被反编译、通道中的数据容易被截获分析，本发明除了使用现行流行的加密机制防范一部分攻击者外，重点将检测识别策略放在网关进行。针对批量攻击嫌疑，网关提交给人工进行二次核对，将分析得到的结果反馈、补充进上述异常请求行为规则集。这样往复多次后，其检测识别精度越来越趋于准确，所以其能从根本上解决批量攻击的检测问题。

对于本实施例的对APP和网关通信进行批量攻击的检测识别方法而言，异常请求行为规则集包括会话超过设定时间仍在线的场景(例如超出12小时)、发出请求的频率超出了正常人的反应速度的场景、发出请求的时间跨越了凌晨的场景(正常情况下人是要睡觉休息的)和多个会话源自同一IP的场景。

本实施例中，上述异常请求行为规则集还包括请求的分布偏离平均分布概率的偏离量大于设定值的场景(也就是请求的分布大大偏离于平均平布概率)、请求被调用的次数或总请求次数与基准值相差超出设定差值范围的场景(例如在其个会话中，某些请求被调用的次数或总请求次数被发现明显大于或者明显小于基准值)、以及请求在正常情况下只被调用一次但在被怀疑对象那里被调用多次的场景。

本实施例中，上述异常请求行为规则集还包括对有特定顺序的请求在某会话中颠倒或缺失某个环节的场景，例如某些请求种类之间是有特定顺序，比如先有第一请求，后有第二请求，但某会话明显颠倒、或者缺失某个环节。上述异常请求行为规则集还包括某些功能在界面跳转多次才能到达(层级较深)，但在被怀疑的会话中直接就开始被调用的场景。当然，在本实施例的一些情况下，上述异常请求行为规则集还可以进一步扩充其他类型的异常请求行为场景。

本实施例还涉及一种实现上述对APP和网关通信进行批量攻击的检测识别方法的装置，其结构示意图附图2所示。图2中，该装置包括编号顺序号约定单元1、请求行为记录单元2、异常请求行为规则集建立单元3、行为分析检测单元4、自动拦截确认的阈值判断单元5、行为界定单元6和检测识别结果发送单元7；其中，编号顺序号约定单元1用于对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号；请求行为记录单元2用于当任意一个客户端APP连上网关时，网关将其每次的请求行为记录到请求行为数据库中；上述请求行为包括会话ID、请求的种类编号、请求的IP和请求的发起时间信息；异常请求行为规则集建立单元3用于使网关建立异常请求行为规则集，并将其保存到行为异常数据库中；行为分析检测单元4用于使网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测单个会话是否符合异常请求行为规则集中的一条或多条行为异常规则的会话ID，如是，进行后续的自动拦截确认的阈值的判断；否则，认为单个会话正常；自动拦截确认的阈值判断单元5用于判断单个会话是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑；否则，将单个会话提交到人工进行二次判断；行为界定单元6用于使人工对所述单个会话进行行为判断界定，判断是否存在嫌疑，如是，确认存在批量攻击嫌疑；否则，对异常请求行为规则集进行丰富和校正；检测识别结果发送单元7用于使网关将检测识别结果发送到客户端APP。针对批量攻击嫌疑，网关提交给人工进行二次核对，将分析得到的结果反馈、补充进上述异常请求行为规则集。这样往复多次后，其检测识别精度越来越趋于准确，所以其能从根本上解决批量攻击的检测问题。

对于本实施例的上述装置而言，异常请求行为规则集包括会话超过设定时间仍在线的场景(例如超出12小时)、发出请求的频率超出了正常人的反应速度的场景、发出请求的时间跨越了凌晨的场景(正常情况下人是要睡觉休息的)和多个会话源自同一IP的场景。

本实施例中，上述异常请求行为规则集还包括请求的分布偏离平均分布概率的偏离量大于设定值的场景(也就是请求的分布大大偏离于平均平布概率)、请求被调用的次数或总请求次数与基准值相差超出设定差值范围的场景(例如在其个会话中，某些请求被调用的次数或总请求次数被发现明显大于或者明显小于基准值)、以及请求在正常情况下只被调用一次但在被怀疑对象那里被调用多次的场景。

本实施例中，上述异常请求行为规则集还包括对有特定顺序的请求在某会话中颠倒或缺失某个环节的场景，例如某些请求种类之间是有特定顺序，比如先有第一请求，后有第二请求，但某会话明显颠倒、或者缺失某个环节。上述异常请求行为规则集还包括某些功能在界面跳转多次才能到达(层级较深)，但在被怀疑的会话中直接就开始被调用的场景。当然，在本实施例的一些情况下，上述异常请求行为规则集还可以进一步扩充其他类型的异常请求行为场景。

总之，在本实施例中，相比其他批量攻击的检测识别方案，本发明从请求统计学的意义上进行检测识别，使得识别检测技术可以得到量化，更加精准，同时也无需和入侵者进行耗时的缠斗。其能从根本上解决批量攻击的检测问题。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种对APP和网关通信进行批量攻击的检测识别方法，其特征在于，包括如下步骤：

A)对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号；

B)当任意一个所述客户端APP连上所述网关时，所述网关将其每次的请求行为记录到请求行为数据库中；所述请求行为包括会话ID、请求的种类编号、请求的IP和请求的发起时间信息；

C)所述网关建立异常请求行为规则集，并将其保存到行为异常数据库中；

D)所述网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测所述单个会话是否符合所述异常请求行为规则集中的一条或多条行为异常规则的会话ID，如是，执行步骤E)；否则，认为所述单个会话正常；

E)判断所述单个会话是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑，执行步骤G)；否则，将所述单个会话提交到人工进行二次判断，执行步骤F)；

F)所述人工对所述单个会话进行行为判断界定，判断是否存在嫌疑，如是，确认存在批量攻击嫌疑，执行步骤G)；否则，对所述异常请求行为规则集进行丰富和校正，并返回步骤D)；

G)所述网关将检测识别结果发送到所述客户端APP；

所述异常请求行为规则集包括会话超过设定时间仍在线的场景、发出请求的频率超出了正常人的反应速度的场景、发出请求的时间跨越了凌晨的场景和多个会话源自同一IP的场景。

2.根据权利要求1所述的对APP和网关通信进行批量攻击的检测识别方法，其特征在于，所述异常请求行为规则集还包括请求的分布偏离平均分布概率的偏离量大于设定值的场景、请求被调用的次数或总请求次数与基准值相差超出设定差值范围的场景、以及请求在正常情况下只被调用一次但在被怀疑对象那里被调用多次的场景。

3.根据权利要求1或2所述的对APP和网关通信进行批量攻击的检测识别方法，其特征在于，所述异常请求行为规则集还包括对有特定顺序的请求在某会话中颠倒或缺失某个环节的场景。

4.根据权利要求3所述的对APP和网关通信进行批量攻击的检测识别方法，其特征在于，所述异常请求行为规则集还包括某些功能在界面跳转多次才能到达，但在被怀疑的会话中直接就开始被调用的场景。

5.一种实现如权利要求1所述的对APP和网关通信进行批量攻击的检测识别方法的装置，其特征在于，包括：

编号顺序号约定单元：用于对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号；

请求行为记录单元：用于当任意一个所述客户端APP连上所述网关时，所述网关将其每次的请求行为记录到请求行为数据库中；所述请求行为包括会话ID、请求的种类编号、请求的IP和请求的发起时间信息；

异常请求行为规则集建立单元：用于使所述网关建立异常请求行为规则集，并将其保存到行为异常数据库中；

行为分析检测单元：用于使所述网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测所述单个会话是否符合所述异常请求行为规则集中的一条或多条行为异常规则的会话ID，如是，进行后续的自动拦截确认的阈值的判断；否则，认为所述单个会话正常；

自动拦截确认的阈值判断单元：用于判断所述单个会话是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑；否则，将所述单个会话提交到人工进行二次判断；

行为界定单元：用于使所述人工对所述单个会话进行行为判断界定，判断是否存在嫌疑，如是，确认存在批量攻击嫌疑；否则，对所述异常请求行为规则集进行丰富和校正；

检测识别结果发送单元：用于使所述网关将检测识别结果发送到所述客户端APP；

所述异常请求行为规则集包括会话超过设定时间仍在线的场景、发出请求的频率超出了正常人的反应速度的场景、发出请求的时间跨越了凌晨的场景和多个会话源自同一IP的场景。

6.根据权利要求5所述的装置，其特征在于，所述异常请求行为规则集还包括请求的分布偏离平均分布概率的偏离量大于设定值的场景、请求被调用的次数或总请求次数与基准值相差超出设定差值范围的场景、以及请求在正常情况下只被调用一次但在被怀疑对象那里被调用多次的场景。

7.根据权利要求5或6所述的装置，其特征在于，所述异常请求行为规则集还包括对有特定顺序的请求在某会话中颠倒或缺失某个环节的场景。

8.根据权利要求7所述的装置，其特征在于，所述异常请求行为规则集还包括某些功能在界面跳转多次才能到达，但在被怀疑的会话中直接就开始被调用的场景。