CN105991628A - 网络攻击的识别方法和装置 - Google Patents

Abstract

本发明提供一种网络攻击的识别方法和装置，该方法应用在用于网络攻击识别的服务器上，包括：获取网络设备向服务器发送的网络攻击会话日志，网络攻击会话日志包括网络源的属性信息；根据预先配置的分析策略，从网络源中识别出网络攻击源；通过提取网络攻击源的属性信息，以更新网络攻击源黑名单；将更新后的网络攻击源黑名单发送至所述网络设备，以使网络设备对命中网络攻击源黑名单的网络攻击执行阻断。应用本发明实施例，服务器通过预先配置的分析策略对网络攻击会话日志进行分析，确定网络攻击源，最终更新网络攻击源黑名单，将该更新后的黑名单发送至网络设备，因此减少了人工配置和更新网络攻击源黑名单的成本耗费。

Description

网络攻击的识别方法和装置

技术领域

本发明涉及网络安全领域，尤其涉及一种网络攻击的识别方法和装置。

背景技术

随着网络应用深入人们的生活和工作，网络攻击也层出不穷，尤其在一些重要的网络节点，例如，大型企业单位、政府机构以及运营商等等，时时刻刻面临着大量的网络攻击威胁。

现有技术中，通过在网络设备，例如IPS(Intrusion Prevention System，入侵防护系统)设备上配置网络攻击源黑名单，以使网络设备通过该黑名单检测网络攻击，从而对网络攻击执行阻断，达到防护目标客户端(受保护客户端)的作用。然而，就目前来看，网络攻击源黑名单是由人工手动配置和更新，需要技术人员能够准确识别网络攻击源，因此对技术人员技术和经验要求较高，人力和时间成本耗费较大，另外，由于只有目标客户端受到网络攻击后，技术人员才能够获取到该网络攻击源的属性信息，例如，IP地址(Internet Protocol Address，网际协议地址)，然后将其更新至黑名单，所以网络攻击防范存在一定的滞后，目标客户端不能得到及时、有效的防护。

发明内容

有鉴于此，本发明提供一种网络攻击的识别方法和装置，以解决现有技术网络攻击识别过程的人工和时间成本耗费较大，以及网络攻击源黑名单更新滞后导致网络攻击防范不及时的问题。

具体地，本发明是通过如下技术方案实现的：

根据本发明的第一方面，提供一种网络攻击的识别方法，所述方法应用在用于网络攻击识别的服务器上，所述方法包括：

获取网络设备向所述服务器发送的网络攻击会话日志，所述网络攻击会话日志包括网络源的属性信息；

根据预先配置的分析策略，从所述网络源中识别出网络攻击源；

通过提取所述网络攻击源的属性信息，以更新网络攻击源黑名单；

将所述更新后的网络攻击源黑名单发送至所述网络设备，以使所述网络设备对命中所述网络攻击源黑名单的网络攻击执行阻断。

根据本发明的第二方面，提供一种网络攻击的识别方法，所述方法应用在用于执行网络攻击阻断的网络设备上，所述方法包括：

接收服务器向所述网络设备发送的更新后的网络攻击源黑名单；

当网络攻击源的属性信息命中所述网络攻击源黑名单之一时，对所述网络攻击执行阻断。

根据本发明的第三方面，提供一种网络攻击的识别装置，所述装置应用在用于网络攻击检测的服务器上，所述装置包括：

日志获取单元，用于获取网络设备向所述服务器发送的网络攻击会话日志，所述网络攻击会话日志包括网络源的属性信息；

识别单元，用于根据预先配置的分析策略，从所述网络源中识别出网络攻击源；

黑名单更新单元，通过用于提取所述网络攻击源的属性信息，以更新网络攻击源黑名单；

黑名单更新单元，用于将所述更新后的网络攻击源黑名单发送至所述网络设备，以使所述网络设备对命中所述网络攻击源黑名单的网络攻击执行阻断。

根据本发明的第四方面，提供一种网络攻击的识别装置，所述方法应用在用于执行网络攻击阻断的网络设备上，所述装置包括：

黑名单接收单元，用于接收服务器向所述网络设备发送的更新后的网络攻击源黑名单；

执行单元，用于当网络攻击源的属性信息命中所述网络攻击源黑名单之一时，对所述网络攻击执行阻断。

应用本发明实施例，基于网络攻击会话日志，服务器通过预先配置的分析策略对其进行分析，从而确定网络攻击源，并将网络攻击源的属性信息更新网络攻击源黑名单，以使网络设备(例如，IPS设备)根据该黑名单对网络攻击执行阻断，因此减少了人工识别网络攻击源、配置和更新网络攻击源黑名单的人工和时间成本耗费，另外，服务器实时获取网络设备发送的网络攻击会话日志，并及时更新网络攻击源黑名单，使网络攻击防范更及时、有效。

附图说明

图1是本发明技术方案的应用场景示意图；

图2是本发明一种实施方式中网络攻击的识别方法的流程图；

图3是本发明另一种实施方式中网络攻击的识别方法的流程图；

图4是本发明网络攻击的识别装置所在设备的一种硬件结构图；

图5是本发明一种实施方式中网络攻击的识别装置的结构框图；

图6是本发明另一种实施方式中网络攻击的识别装置的结构框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

在本发明使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本发明可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本发明范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本技术领域的人员可以理解的是，会话日志作为一种网络环境的描述信息，其蕴含了大量的数据信息，根据这些数据信息便可以“重现”网络环境，本发明充分利用会话日志这一特点，结合网络辅助设备，例如，本发明中提及的用于网络攻击识别的服务器，对网络设备(例如，IPS设备)生成的会话日志进行分析，从中得出一些网络行为规则，例如，固定网络攻击源的攻击行为。

具体地，图1示出了本发明技术方案的应用场景示意图。如图1所示，其中包括了网络攻击源客户端、目标客户端(目标客户端)、网络设备以及服务器。具体地，网络攻击源客户端的网络攻击源向对端的目标客户端发起网络攻击时，网络设备(例如，IPS设备)会对该网络攻击执行阻断，并且通过网络攻击会话日志记录网络攻击信息，然后将该会话日志发送给服务器，服务器根据该会话日志中描述的信息，结合预先配置的分析策略，对会话日志中的信息进行分析，以确认网络攻击源，提取网络攻击源的属性信息(例如，IP地址)，以更新至网络攻击源黑名单，并同步至网络设备，网络设备便可以根据该黑名单对命中的网络攻击执行阻断，网络设备与服务器之间的实时交互，有效、及时地使目标客户端得到保护，减少网络攻击对目标客户端的危害。需要说明的是，在本实施例中，以“目标客户端”作为示例，在实际应用中，可以是受保护服务器或者客户端中受保护的某一个网段、IP地址(Internet Protocol Address，网际协议地址)等，并且该客户端可以是PC(Personal Computer，个人计算机)、手机等。

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

图2示出了本发明一种实施方式中网络攻击的识别方法的流程图。参照图2，一种网络攻击的识别方法，应用在用于网络攻击识别的服务器上，所述方法包括如下步骤：

步骤S110，获取网络设备向所述服务器发送的网络攻击会话日志，所述网络攻击会话日志包括网络源的属性信息。

在本发明实施例中，网络源可以是网络攻击会话日志中发生过网络攻击行为的网络源，网络源中包含网络攻击源，另外，网络源的属性信息可以包括但不限于其IP地址、网络端口，并且通过步骤S120，从网络源中识别出网络攻击源。

步骤S120，根据预先配置的分析策略，从所述网络源中识别出网络攻击源。

作为本发明的一种可选实施例，在步骤S120中，服务器可以从网络攻击会话日志中，通过统计出预设时间段内网络源发起攻击的次数，以时间和次数作为输入参数计算网络源的攻击频率，当该攻击频率超过预设频率时，则确定该网络源为网络攻击源。举例来说，某一时段的网络攻击会话日志中统计得到发起攻击的网络源，其对应的IP地址分别为IP1，IP2，IP3，IP4，IP5，该时间段内的12：00至12：05这一期间，各个网络源发起攻击的攻击次数分别为1000，85，60，1500，55，计算得到其攻击频率分别为f1＝1000/5＝200次/min，f2＝85/5＝17次/min，f3＝60/5＝12次/min，f4＝1500/5＝300次/min，f5＝55/5＝11次/min，如果预设频率f为145次/min，从上述计算结果可以看出，攻击频率f1和f4超过了预设频率f，则确认f1和f4分别对应的IP地址对应的网络源为网络攻击源。

需要说明的是，上述说明仅仅是作为示例，而不造成对本发明的保护范围的限制，其预设频率的值可以根据实际应用条件和网络环境进行设置，攻击频率的统计也不限于上述结果，只需满足上述统计原理即可。

作为本发明的另一可选实施例，在步骤S120中，服务器可以根据网络攻击会话日志，统计预设时间段内目标客户端受到预设类型攻击的攻击次数，当攻击次数超过预设次数时，确认发起预设类型攻击的网络源为网络攻击源。与前述可选实施例不同的是，本实施例中，可以首先选定一个或者多个目标客户端(例如，用该客户端对应的IP地址代表该客户端)，然后将其受到的预设类型攻击的攻击次数进行统计，当预设类型攻击的攻击次数超过了预设次数时，确定发起预设类型攻击的网络源为网络攻击源。例如，某目标客户端对应的IP地址为218.30.13.36，假设预设类型攻击为端口扫描和地址扫描的两种网络攻击，其中，在预设时间段内，受到端口扫描这一类型攻击的攻击次数为28次，受到地址扫描这一类型攻击的攻击次数为55次，如果预设次数为10，则上述两种类型的网络攻击的攻击次数均超过预设次数，则确认发起这两类网络攻击的所有网络源为网络攻击源。

需要进一步说明的是，在该可选实施例中，所述目标客户端可以通过IP地址、网络端口、网络协议等进行设置或限定，例如，通过网络协议对目标客户端的保护网段类型，具体地，假设对目标客户端的HTTP(HypertextTransfer Protocol，超文本传输协议)协议对应的网段进行网络攻击防护，统计预设类型攻击的攻击次数时，可以仅统计该协议下的网段受到的预设类型攻击的攻击次数，而不对其他的网络协议，例如，SMTP(Simple Mail TransferProtocol，简单邮件传输协议)协议下的网段进行预设类型攻击的攻击次数统计。

步骤S130，通过提取网络攻击源的属性信息，以更新网络攻击源黑名单。

网络攻击源的属性信息可以包括但不限于IP地址、网络端口等，通过属性信息可以唯一确定网络攻击源的范围。本发明实施例中，可以以网络攻击源的属性信息更新网络攻击源黑名单，该黑名单可以包括大量的网络攻击源的属性信息。

本技术领域的人员可以理解的是，由于IP地址是一种在互联网中给主机编址的方式，每台主机(例如，计算机)都有唯一一个IP地址，才保证了用户在连网的计算机上操作时，能够高效而且方便地从千千万万台计算机中选出自己所需的对象来，另一方面，也才能通过IP地址查找到向本端发起操作指令的对象(例如，服务器通过IP地址查找向本端发起服务请求的PC)。因此本发明一可选实施例，在步骤S130中，提取所有被确认为网络攻击源的网络源的IP地址，将IP地址更新至所述网络攻击源黑名单。这样，网络设备通过网络攻击黑名单中的IP地址，便可以识别与该IP地址对应的网络攻击源，在该网络攻击源发起攻击时，网络设备将对其执行攻击阻断。

本技术领域的人员还可以理解的是，网络端口是计算机与外部设备进行通信的渠道，网络攻击源可以通过一些固定的网络端口向目标客户端发起网络攻击，因此，根据本发明的另一可选实施例，在步骤S130中，提取所有被确认为网络攻击源的网络源的网络端口信息，将网络端口信息更新至网络攻击源黑名单。

步骤S140，将更新后的网络攻击源黑名单发送至网络设备，以使网络设备对命中网络攻击源黑名单的网络攻击执行阻断。

服务器负责对会话日志进行分析，根据其中配置的分析策略，识别出网络攻击源，将网络攻击源的属性信息更新至网络攻击源黑名单(例如，网络攻击源的IP地址)，要实现对网络攻击的防护，还需要将该更新后的黑名单发送给网络设备，网络设备根据黑名单中的信息，当发起攻击的网络攻击源的属性信息与网络攻击源黑名单之一匹配时，网络设备将执行攻击阻断，从而实现保护目标客户端的作用。

图3是本发明另一种实施方式中网络攻击的识别方法的流程图。参照图3，一种网络攻击的识别方法，应用在用于执行网络攻击阻断的网络设备上，所述方法包括如下步骤：

步骤S210，接收服务器向网络设备发送的更新后的网络攻击源黑名单。

本发明实施例中，服务器根据网络设备发送的网络攻击会话日志，结合预先配置的分析策略，从网络攻击会话日志中的网络源中识别出网络攻击源，将网络攻击源的属性信息更新至网络攻击黑名单中，并将该网络攻击源黑名单发送给网络设备。其中，网络攻击源黑名单可以包括但不限于大量网络攻击源的IP地址、网络端口，只需满足通过该属性信息查找或识别网络攻击源即可。

步骤S220，当网络攻击源的属性信息命中所述网络攻击源黑名单之一时，对所述网络攻击执行阻断。

本发明实施例中，网络攻击源的属性信息包括但不限于IP地址、网络端口，当网络攻击源客户端发起网络攻击，且网络设备从网络攻击源黑名单中查找到该网络攻击源的IP地址或者网络端口时，网络设备将对该网络攻击执行阻断，从而达到保护目标客户端的作用。

应用上述实施例，基于网络攻击会话日志，服务器通过预先配置的分析策略对其进行分析，从而确定网络攻击源，并将网络攻击源的属性信息更新网络攻击源黑名单，以使网络设备(例如，IPS设备)根据该黑名单对网络攻击执行阻断，因此，相比于现有技术，减少了人工识别网络攻击源、配置和更新网络攻击源黑名单的人工和时间成本耗费，另外，服务器实时获取网络设备发送的网络攻击会话日志，并及时更新网络攻击源黑名单，使网络攻击防范更及时、有效。

与前述网络攻击的识别方法实施例相对应，本发明还提供了网络攻击的识别装置的实施例。

本发明网络攻击的识别装置的实施例可以应用在用于网络攻击识别的服务器以及用于执行网络攻击阻断的网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图4所示，为本发明装置所在设备的一种硬件结构图，除了图4所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的设备通常根据该设备的实际功能，还可以包括其他硬件，对此不再赘述。

图5示出了本发明一种实施方式中网络攻击的识别装置的结构框图。

参照图5，一种网络攻击的识别装置，所述装置应用在用于网络攻击识别的服务器上，所述装置包括：日志获取单元410、识别单元420、黑名单更新单元430和黑名单发送单元440。

日志获取单元410用于获取网络设备向所述服务器发送的网络攻击会话日志，所述网络攻击会话日志包括网络源的属性信息；

识别单元420用于根据预先配置的分析策略，从所述网络源中识别出网络攻击源；

黑名单更新单元430用于通过提取网络攻击源的属性信息，以更新网络攻击源黑名单；

黑名单发送单元440用于将所述更新后的网络攻击源黑名单发送至所述网络设备，以使所述网络设备对命中所述网络攻击源黑名单的网络攻击执行阻断。

根据本发明一可选实施例，所述识别单元420包括：

攻击频率计算子单元，用于根据所述网络攻击会话日志，通过统计预设时间段内所述网络源发起攻击的攻击次数，计算所述网络源发起攻击的攻击频率；

第一判断子单元，用于判断攻击频率是否超过预设频率；

第一确认子单元，用于当超过所述预设频率时，确认所述网络源为网络攻击源。

根据本发明另一可选实施例，所述识别单元420包括：

统计子单元，用于根据所述网络攻击会话日志，统计预设时间段内目标客户端受到预设类型攻击的攻击次数；

第二判断子单元，用于判断攻击次数是否超过预设次数；

第二确认子单元，用于当超过预设次数时，确认发起所述预设类型攻击的所述网络源为网络攻击源。

根据本发明一可选实施例，所述黑名单更新单元430包括：

IP地址提取子单元，用于提取所有被确认为所述网络攻击源的网络源的IP地址；

第一更新子单元，用于将所述IP地址更新至所述网络攻击源黑名单。

根据本发明另一可选实施例，所述黑名单更新单元430包括：

网络端口提取子单元，用于提取所有被确认为所述网络攻击源的网络源的网络端口信息；

第二更新子单元，用于将所述网络端口信息更新至所述网络攻击源黑名单。

图6示出了本发明另一种实施方式中网络攻击的识别装置的结构框图。

参照图6，一种网络攻击的识别装置，应用在用于执行网络攻击阻断的网络设备上，所述装置包括：黑名单接收单元510和执行单元520。

黑名单接收单元510用于接收服务器向所述网络设备发送的更新后的网络攻击源黑名单，执行单元520用于当网络攻击源的属性信息命中所述网络攻击源黑名单之一时，对所述网络攻击执行阻断。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (12)

1.一种网络攻击的识别方法，所述方法应用在用于网络攻击识别的服务器上，其特征在于，所述方法包括：

获取网络设备向所述服务器发送的网络攻击会话日志，所述网络攻击会话日志包括网络源的属性信息；

根据预先配置的分析策略，从所述网络源中识别出网络攻击源；

通过提取所述网络攻击源的属性信息，以更新网络攻击源黑名单；

将所述更新后的网络攻击源黑名单发送至所述网络设备，以使所述网络设备对命中所述网络攻击源黑名单的网络攻击执行阻断。

2.根据权利要求1所述的方法，其特征在于，所述根据预先配置的分析策略，从所述网络源中识别出网络攻击源包括：

根据所述网络攻击会话日志，通过统计预设时间段内所述网络源发起攻击的攻击次数，计算所述网络源发起攻击的攻击频率；

判断所述攻击频率是否超过预设频率；

当超过所述预设频率时，确认所述网络源为网络攻击源。

3.根据权利要求1所述的方法，其特征在于，所述根据预先配置的分析策略，从所述网络源中识别出网络攻击源包括：

根据所述网络攻击会话日志，统计预设时间段内目标客户端受到预设类型攻击的攻击次数；

判断所述攻击次数是否超过预设次数；

当超过所述预设次数时，确认发起所述预设类型攻击的网络源为网络攻击源。

4.根据权利要求1所述的方法，其特征在于，所述通过提取所述网络攻击源的属性信息，以更新网络攻击源黑名单包括：

提取所有被确认为所述网络攻击源的网络源的IP地址；

将所述IP地址更新至所述网络攻击源黑名单。

5.根据权利要求1所述的方法，其特征在于，所述通过提取所述网络攻击源的属性信息，以更新网络攻击源黑名单包括：

提取所有被确认为所述网络攻击源的网络源的网络端口信息；

将所述网络端口信息更新至所述网络攻击源黑名单。

6.一种网络攻击的识别方法，应用在用于执行网络攻击阻断的网络设备上，其特征在于，所述方法包括：

接收服务器向所述网络设备发送的更新后的网络攻击源黑名单；

当网络攻击源的属性信息命中所述网络攻击源黑名单之一时，对所述网络攻击执行阻断。

7.一种网络攻击的识别装置，所述装置应用在用于网络攻击识别的服务器上，其特征在于，所述装置包括：

日志获取单元，用于获取网络设备向所述服务器发送的网络攻击会话日志，所述网络攻击会话日志包括网络源的属性信息；

识别单元，用于根据预先配置的分析策略，从所述网络源中识别出网络攻击源；

黑名单更新单元，用于通过提取所述网络攻击源的属性信息，以更新网络攻击源黑名单；

黑名单更新单元，用于将所述更新后的网络攻击源黑名单发送至所述网络设备，以使所述网络设备对命中所述网络攻击源黑名单的网络攻击执行阻断。

8.根据权利要求7所述的装置，其特征在于，所述识别单元包括：

攻击频率计算子单元，用于根据所述网络攻击会话日志，通过统计预设时间段内所述网络源发起攻击的攻击次数，计算所述网络源发起攻击的攻击频率；

第一判断子单元，用于判断所述攻击频率是否超过预设频率；

第一确认子单元，用于当超过所述预设频率时，确认所述网络源为网络攻击源。

9.根据权利要求7所述的装置，其特征在于，所述识别单元包括：

统计子单元，用于根据所述网络攻击会话日志，统计预设时间段内目标客户端受到预设类型攻击的攻击次数；

第二判断子单元，用于判断所述攻击次数是否超过预设次数；

第二确认子单元，用于当超过所述预设次数时，确认发起所述预设类型攻击的网络源为网络攻击源。

10.根据权利要求7所述的装置，其特征在于，所述黑名单更新单元包括：

IP地址提取子单元，用于提取所有被确认为所述网络攻击源的网络源的IP地址；

第一更新子单元，用于将所述IP地址更新至所述网络攻击源黑名单。

11.根据权利要求7所述的装置，其特征在于，所述黑名单更新单元包括：

网络端口提取子单元，用于提取所有被确认为所述网络攻击源的网络源的网络端口信息；

第二更新子单元，用于将所述网络端口信息更新至所述网络攻击源黑名单。

12.一种网络攻击的识别装置，应用在用于执行网络攻击阻断的网络设备上，其特征在于，所述装置包括：

黑名单接收单元，用于接收服务器向所述网络设备发送的更新后的网络攻击源黑名单；

执行单元，用于当网络攻击源的属性信息命中所述网络攻击源黑名单之一时，对所述网络攻击执行阻断。