CN107196929A - 适用于高频次网络攻防环境下的智能防护方法及其系统 - Google Patents

Abstract

适用于高频次网络攻防环境下的智能防护方法及其系统，其中方法包括：S1，获取白名单；S2，生成白名单字典文件；S3，检测文件HASH值与白名单字典文件中的是否对应；S4，新文件处理方式；S5，篡改文件处理方式。系统包括白名单模块、特征库模块、防篡改模块、木马隔离模块以及异常处理模块。它是一种自动化快速检测木马后门的工具，能够帮助信息安全竞赛中防守方实现对环境进行实时防护。

Description

适用于高频次网络攻防环境下的智能防护方法及其系统

技术领域

本发明涉及计算机网络安全领域，尤其涉及一种适用于高频次网络攻防环境下的智能防护方法。

背景技术

随着信息化技术的发展，信息安全技术也越来越成熟，信息安全入侵方对网络技术、网站建站技术掌握的也越发纯熟，导致网络上的新型木马层出不穷，如果环境合适，甚至只需一行代码的木马文件就可以攻破网站最高权限。而其利用方式也呈现多样化，图片、压缩包等文件通过精心构造都可能变成入侵网站的木马。

信息安全与对抗技术竞赛的防守方常需面对数倍于己方的入侵方对手，面临着敌方人员轮番的快速入侵、批量在环境中植入木马，使得信息系统运行环境或攻防对抗竞赛难以检测防护，更无法保证能够逐一排查清楚对手预留的木马后门，使敌方人员可轻易对比赛环境持续进行高权限操控，极大地降低了防守成功率。设计一种自动化快速检测木马后门的工具对环境进行实时防护是信息安全竞赛中防守方的必然需求。

现有入侵检测技术是基于木马特征的鉴别和检测，通过对文件的轮询遍历进行特征对照，一旦发现文件符合特定的特征，即可判定为木马。而这种检测方式存在以下问题：

1、检测工具的特征库有限。木马的特征随时可被改变，根据赛场现场环境，可随时调整木马文件代码，通过高频次、大量的反复尝试，可以找到特征库外的特征值，突破检测工具的限制，从而完成入侵。

2、检测工具发现木马后不能对其立即查杀。此类检测工具往往为了保证网站运行，不会对发现的木马进行立即查杀，而是向管理员发出警示，需人工操作方可解决问题。另有一种检测工具定期对发现的木马进行清理，而清理周期与对抗赛中高频率、高效率的入侵动作相比显然过久，无法及时响应及阻击入侵行为。

3、如原有页面被植入木马，检测工具无法处理。若攻击方不是通过上传木马，而是通过对赛场原有环境中的文件进行篡改，从而构造网站木马，检测工具不能立即发现，导致防守方管理员无法对其做出正确反应。如检测工具对文件直接进行查杀，则会极大地影响比赛环境的正常运行，造成更加严重的后果。

发明内容

为了解决上述技术问题，本发明提出一种适用于高频次网络攻防环境下的智能防护方法，它是一种自动化快速检测木马后门的工具，能够帮助信息安全竞赛中防守方实现对环境进行实时防护。

为了实现上述目的，本发明采用的方案是：

适用于高频次网络攻防环境下的智能防护方法，包括步骤：

S1，检测是否存在需要防护的网站目录的白名单，如果存在，则使用所述白名单进行步骤S2，如果不存在，则创建所述网站目录的白名单；

S2，利用步骤S1中所述的白名单建立一个白名单字典文件，所述白名单字典文件包括：步骤S1中所述的网站目录中的网站中的每一个文件的绝对路径与HASH值的对应关系；所述文件为需要防护的网站中的全部文件；

S3，对需要检测的网站的所有文件进行遍历，检测每一个文件的绝对路径是否在所述白名单字典文件之中：若不存在，说明该文件为新文件，则进行步骤S4；若存在，则计算该文件的HASH值并与白名单字典文件之中的该绝对路径所对应的HASH值比对，如果对比成功，则证明文件正常，如果比对不成功，则证明文件为篡改文件，进行步骤S5；

S4，将新文件与特征值库里的特征进行对照，若比对结果为存在木马特征，则将木马复制入隔离区，并将所述木马文件删除，若比对结果为不存在木马特征则将新文件复制入隔离区，并提示管理员新生成了文件；

S5，将篡改文件复制入保留区，并将篡改文件更改为服务器无法解析的文件格式。

步骤S2中所述的文件的HASH值的生成包括步骤：

S21，对步骤S1中所述的网站中的所有文件进行遍历，并对每个文件进行HASH散列化处理，生成每个文件的HASH值。

适用于高频次网络攻防环境下的智能防护系统，包括：白名单模块、特征库模块、防篡改模块、木马隔离模块以及异常处理模块。

白名单模块用于识别和区分原有正常文件、新建文件。

特征库模块用于识别和区分新建文件中的正常文件、木马文件。

防篡改模块用于复制出异常文件，并将被篡改的文件进行处置。

木马隔离模块用于隔离恶意木马文件，并对其进行相应处置。

异常处理模块用于处置所述白名单模块、特征库模块、防篡改模块以及木马隔离模块的各类异常情况，确保各模块异常情况得到有效处理。

本发明的有益效果为：

1、利用白名单，通过双重的木马特征检测标准，对上传木马和篡改文件生成木马两种方式分别进行处理，解决特征库有限问题；

2、通过高频率轮询检测新上传的文件，对有木马特征的文件立刻进行删除，解决不能立即查杀问题；

3、通过高频率轮询监测原有文件，并对其进行临时性改造，解决页面木马植入问题；

4、通过隔离区和保留区，保护上传文件和原有文件，为守护环境创造可回溯条件，避免误杀导致防护工作出现失误。

附图说明

图1本发明的流程图。

具体实施方式

为了更好的了解本发明的技术方案，下面结合附图对本发明作进一步说明。

如图1所示，适用于高频次网络攻防环境下的智能防护方法，包括步骤：

S1：检测是否已经有该网站目录的白名单，如果已有，则使用该白名单进行下一步，如果没有，创建网站目录的白名单。

S2：生成网站白名单：对网站目录中的网站中的所有文件进行遍历，并对每个文件进行HASH散列化处理，生成每个文件的HASH值，将每个文件绝对路径与文件的HASH值进行对应，产生一个白名单字典文件。HASH值具有唯一性的特征，即每个文件有唯一的HASH值，如果该文件出现变化，哪怕只变化一个字符，HASH值都会不同。该白名单中的绝对路径的集合、文件HASH值的集合及两者的对应关系可用以检测目录中是否出现了新文件，同时监测原有文件是否发生了变化。

S3：对需要检测的网站中所有文件进行遍历，检测文件路径是否在白名单绝对路径的集合中，如已在绝对路径集合中，则计算该文件的HASH值，并找出白名单中该绝对路径所对应的HASH值进行比对，如比对成功则证明文件正常，如比对不成功，则进行篡改文件处理流程。如该文件不在绝对路径集合中，则判定此文件为新生成的文件，进入新文件处理流程。

S4：新文件处理流程：通过极为严格的特征值库，对新文件进行检查和特征对照，一旦发现文件存在细微木马特征，立刻将木马复制入隔离区，并将原有木马文件删除，确保系统安全。

若比对结果为不存在木马特征则将新文件复制入隔离区，并提示管理员新生成了文件

S5：篡改文件处理流程：发现篡改文件后，将该文件复制入保留区，并立即将该文件更改为服务器无法解析的文件格式，第一时间阻断入侵方行为，确保系统安全。

适用于高频次网络攻防环境下的智能防护系统包括白名单模块、特征库模块、防篡改模块、木马隔离模块以及异常处理模块。

白名单模块用于识别和区分原有正常文件、新建文件。

特征库模块用于识别和区分新建文件中的正常文件、木马文件。

防篡改模块用于复制出异常文件，并将被篡改的文件进行处置。

木马隔离模块用于隔离恶意木马文件，并对其进行相应处置。

异常处理模块用于处置所述白名单模块、特征库模块、防篡改模块以及木马隔离模块的各类异常情况，确保各模块异常情况得到有效处理。

上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims (3)

1.适用于高频次网络攻防环境下的智能防护方法，其特征在于，包括步骤：

S1，检测是否存在需要防护的网站目录的白名单，如果存在，则使用所述白名单进行步骤S2，如果不存在，则创建所述网站目录的白名单；

S2，利用步骤S1中所述的白名单建立一个白名单字典内容，所述白名单字典文件内容为：步骤S1中所述的网站目录中的网站中的每一个文件的绝对路径与该绝对路径HASH值的对应映射关系；所述文件为需要防护的网站中的全部文件；

S3，对需要检测的网站的所有文件进行遍历，检测每一个文件的绝对路径是否在所述白名单字典内容之中：若不存在，说明该文件为新文件，则进行步骤S4；若存在，则计算该文件的HASH值并与白名单字典文件之中的该绝对路径所对应的HASH值比对，如果对比成功，则证明文件正常，如果比对不成功，则证明文件为篡改文件，进行步骤S5；

S4，将新文件与木马特征值库里的特征进行对照，若比对结果为存在木马特征，则将木马复制入隔离区，并将所述木马文件删除，若比对结果为不存在木马特征则将新文件复制入隔离区，并提示管理员新生成了文件；

S5，将篡改文件复制入保留区，并将原篡改文件更改为服务器无法解析的文件格式。

2.根据权利要求1所述的适用于高频次网络攻防环境下的智能防护方法，其特征在于，步骤S2中所述的文件的HASH值的生成包括步骤：

S21，对步骤S1中所述的网站中的所有文件进行遍历，并对每个文件进行HASH散列化处理，生成每个文件的HASH值。

3.用于实现权利要求1或2所述方法的系统，包括：白名单模块、特征库模块、防篡改模块、木马隔离模块以及异常处理模块；

白名单模块用于识别和区分原有正常文件、新建文件；

特征库模块用于识别和区分新建文件中的正常文件、木马文件；

防篡改模块用于复制出异常文件，并将被篡改的文件进行处置；

木马隔离模块用于隔离恶意木马文件，并对其进行相应处置；

异常处理模块用于处置所述白名单模块、特征库模块、防篡改模块以及木马隔离模块的各类异常情况，确保各模块异常情况得到有效处理。