CN107454055A - 一种通过安全学习保护网站的方法、装置和系统 - Google Patents

Abstract

本发明公开了一种通过安全学习保护网站的方法，网站安全装置与网站建立连接并进行安全学习，根据输入反馈添加访问规则，其中基于AJAX的请求，设置安全学习的地址，搭建安全访问模型。根据安全访问模型，阻拦有威胁的访问。本发明技术方案可以有效学习到基于AJAX的请求，并减少安装部署人员的时间，从而降低企业费用。

Description

一种通过安全学习保护网站的方法、装置和系统

技术领域

本发明属于网络安全领域，具体地说，涉及一种安全学习保护网站的方法。

背景技术

随着互联网的迅速发展，网站安全问题突显，网站往往承载主要业务功能并储存着大量有价值的数据，传统网站防火墙采用特征库的方式保护网站，无法防御未知威胁。而针对网站服务器的攻击和针对数据库的攻击日益渐多，例如针对数据库SQL注入漏洞的攻击，或是针对网站服务器端口的攻击。

通过机器学习的方法可以建立智能的网站安全模型，及时有效的防范未知攻击，保障网站服务器的安全运行。然而对于基于AJAX的客户端请求，机器学习的方法无能为力，因为机器学习会将AJAX请求误判为一次攻击。因此对于有效的客户端请求，当前采用手动添加策略的方式允许这些请求通过，但是对于大型的网站，由于结构复杂，逐条手动添加策略会非常的耗时耗精力，而且容易遗漏。

另外也有现有技术通过书写正则表达式的方式添加策略，这样可以减少策略数量，减少部署时间。但是缺点是，正则表达式比较晦涩，难懂，对非技术人员是一个很大的挑战，在前期部署完毕后后期非技术人员很难继续针对网站的更新而对新的防护模型进一步的更新。而且，由于正则表达式允许一类请求通过，所以也会允许一些非法的请求通过，因此会带来安全隐患。

有鉴于此特提出本发明。

发明内容

本发明要解决的技术问题在于克服现有技术的不足，提供一种安全学习保护网站的方法，解决机器学习的安全模型不能有效识别AJAX请求导致误报率较高的问题。

为解决上述技术问题，本发明采用技术方案的基本构思是：

S1、设置一网站安全模型；

S2、设置至少一个安全学习地址；

S3、接收来自安全学习地址的访问请求，根据所述访问请求添加自定义规则；

S4、根据所述自定义规则更新所述网站安全模型；

进一步的，对来自安全学习地址的对于网站的访问均认为是安全访问并放行；

进一步的，所述来自安全学习地址的对于网站的访问为基于AJAX的访问请求；

进一步的，所述的添加访问规则为服务器添加基于正则表达式的访问规则；

进一步的，还包括步骤

S5、根据所更新的安全模型放行或阻止对于网站的访问请求；

进一步的，还包括步骤

S6、判断访问请求是否符合网站安全模型，如果是，则允许访问网站。

进一步的，S1中设置一网站安全模型具体为：

S11、与网站建立反向代理连接，以接收对网站的访问请求；

S12、依据所述访问请求发出告警信息；

S13、判断所述告警信息对应的访问请求是否放行，如果是，则添加放行规则；

S14、重复S12、S13直至网站所有业务被访问，学习所述放行规则而建立网站安全模型。

进一步的，S1中设置一网站安全模型具体还包括：

S15、判断访问请求是否符合所述网站安全模型，如果是，则允许访问网站。

进一步的，S13中管理员判断所述告警信息对应的访问请求是否放行，如果是，则添加放行规则；

进一步的，所述的管理员为有管理权限的程序或人类，

优选的，为有管理权限的人类管理员；

本发明的一种通过安全学习保护网站的网站安全装置，其特征在于，该网站安全装置包括网站保护模块，安全学习地址模块，规则添加模块，其中：

网站保护模块用于设置一安全网站安全模型；

安全学习模块用于设置至少一个安全学习地址；

规则添加模块用于接收来自安全学习地址的访问请求，根据所述访问请求添加自定义规则；

网站保护模块根据所述自定义规则更新所述网站安全模型。

进一步的，网站保护模块包括接收访问请求单元，告警提示单元，判断单元，机器学习单元，其中：

所述接收访问请求单元用于与网站建立反向代理连接，以接收对网站的访问请求；

所述告警提示单元用于依据所述访问请求发出告警信息；

所述判断单元用于判断所述告警信息对应的访问请求是否放行，如果是，则添加放行规则；

告警提示单元和判断单元对网站所有业务建立访问规则后，所述机器学习单元用于学习所述放行规则而建立网站安全模型。

进一步的，网站保护模块根据所更新的安全模型放行或阻止对于网站的访问请求；

进一步的，网站保护模块判断访问请求是否符合网站安全模型，如果是，则允许访问网站；

进一步的，网站保护模块对来自安全学习模块设置的安全学习地址的对于网站的访问均认为是安全访问并放行。

本发明的一种通过安全学习保护网站的系统，其特征在于，该系统包括网站服务器端、安全地址端、客户端和网站安全装置，其中，网站安全装置设置一网站安全模型；

安全地址端设置至少一个安全学习地址；

网站安全装置接收来自安全学习地址的对服务器端的访问请求，根据所述访问请求添加自定义规则至网站安全装置；

网站安全装置根据所述自定义规则更新所述网站安全模型；

网站安全装置根据所更新的安全模型放行或阻止对于网站的访问请求。

进一步的，网站安全装置判断来自客户端的访问请求是否符合网站安全模型，如果是，则允许访问网站服务器端；对来自安全学习地址的对于网站服务器端的访问均认为是安全访问并放行。

采用上述方法可以有效解决基于AJAX的访问无法进行安全学习的问题，不同于防火墙的一刀切式的拦截策略和其出现的无法及时更新学习针对不同网站内容的问题，采取上面的技术方案能够使网站安全装置针对不同的网站内容和搭建结构快速的进行学习，利用防火墙对来自于安全地址的访问全部放行，让网站安全装置能够对基于AJAX的访问进行学习。在此基础上构建该网站的内容分布和网站的结构特点，并通过用户大量的访问试错学习针对网站不同部位的访问习惯建立安全访问规则。

在积累一定的安全访问规则后能针对性的对不同网站内容和结构的可以访问进行拦截，大大提高了拦截的准确性和全面性。同时只有在网站安全装置初始搭建时需要人工的主动判断以帮助机器学习的进行，而一旦网站安全装置针对网站的安全访问架构搭建完成，网站安全装置由学习模式切换为拦截模式，就无需人工的操作即可完成针对网站不同架构和内容信息的安全访问保护。大大的提高了网站拦截效率和减少了人工部署的时间。

同时，一旦网站拓展了新的业务或者增加了新的架构，网站安全装置被动或主动的切换回学习模式，在已有的网站安全访问架构的基础上针对网站新的业务或新的架构的可疑访问制定安全访问规则，然后把新的访问规则写入原有的网站安全访问架构，大大降低了机器学习的时间。完成新的安全访问规则的添加后，被动或手动的切换回拦截模式，以新的网站安全访问架构为标准对可疑的网站访问进行拦截。

采用上述技术方案后，本发明与现有技术相比具有以下有益效果：

1、减少了网站安全装置的部署时间，提高了对网站可疑访问的拦截准确度。降低了人工需要投入的网站安全装置的部署的工作时间。

2、解决了安全学习基于AJAX的访问无法学习的问题，使得基于AJAX的访问策略不用人用逐条添加，也不用使用专业性太强的基于正则表达式去添加用户自定义规则，降低了前期部署的时间。

3、本发明可以大大降低部署完成的网站安全装置的后期维护投入，由于在后期更新更加简单快速，降低了企业或单位对网站安全装置后期更新维护的费用和人工成本。

4、本发明技术方案可以安全保护基于Web的网站、教育、电商、银行等信息系统，由于针对每个网站都有特定独立的网站安全访问架构和保护模型，因此，有效提高了防范未知攻击的精确度和拓展了防范未知攻击的范围，更好的在不妨碍正常访问的基础上拦截了未知攻击。

下面结合附图对本发明的具体实施方式作进一步详细的描述。

附图说明

附图作为本发明的一部分，用来提供对本发明的进一步的理解，本发明的示意性实施例及其说明用于解释本发明，但不构成对本发明的不当限定。显然，下面描述中的附图仅仅是一些实施例，对于本领域普通技术人员来说，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。在附图中：

图1是本发明通过安全学习保护网站方法一种实施例流程示意图；

图2是本发明通过安全学习保护网站方法另一种实施例流程示意图；

图3是本发明的通过安全学习保护网站的网站安全装置结构示意图；

图4是本发明的通过安全学习保护网站的系统结构示意图。

需要说明的是，这些附图和文字描述并不旨在以任何方式限制本发明的构思范围，而是通过参考特定实施例为本领域技术人员说明本发明的概念。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对实施例中的技术方案进行清楚、完整地描述，以下实施例用于说明本发明，但不用来限制本发明的范围。

实施例一

在学习过程中，若接收到基于AJAX的威胁访问判断，管理员可以将自己的或者可信任的IP地址添加至安全学习的地址，防火墙根据添加结果自动利用基于正则表达式的写入安全访问规则。

如图1所示，本实施例所述的安全学习保护网站的方法包括如下步骤：

S11、设置一网站安全模型；

针对网站设置一网站安全模型，根据此安全模型对所有的对网站的访问进行判断，拦截有威胁的访问，放行符合安全模型的访问。

例如，此安全模型可以是一般的带有黑名单和/或白名单的防火墙，也可以是通过机器学习建立的对网站内容有不同的访问规则的安全模型。安全模型存储有基于不同网站内容的访问放行规则，对于针对不同网页内容的访问，根据存储的访问规则有选择的拦截或放行访问。此安全模型在一定程度上能对网站的安全进行保护，保护程度取决于安全模型中存储的访问规则库的大小。

S12、设置至少一个安全学习地址；

网站安全装置设置在监听端口和服务器之间，网站安全装置设有至少一个安全学习地址，安全学习地址可以是服务器的IP地址，也可是管理员的IP地址，也可以是管理员指定的IP地址。来自于安全学习地址的对于网站的访问都被认为是安全的访问，网站安全装置或者是防火墙允许所有来自于安全学习地址的对于网站的访问。

例如，如果一个网站有很多基于AJAX的请求，这些请求传给后台程序，后台通过计算得出的一个结果，这个结果通常是一个json数据，而不是一个具体的页面。由于AJAX请求参数变化多端，机器学习不能学习到所有的组合，因此会阻挡很多AJAX请求，因此会提高误报率。该网站的管理员了解自己的网站，若对于网站的访问有很多基于AJAX的请求，那么设置安全学习地址，将来自于安全学习地址的访问都认为是安全的，并予以放行。

S13、接收来自安全学习地址的AJAX访问请求，根据所述访问请求添加自定义规则；

因为基于AJAX的访问变化多端，来自安全学习地址的请求都放行，网站安全装置根据不同变化的访问添加基于正则表达式的访问规则。

例如，当用户访问视频网站的时候，在评论区刷新界面看留言，此时为基于 AJAX的访问，在刷新留言的时候播放的视频是不会刷新进行重新加载的。那么此视频网站的管理员可以在防火墙中设定一个安全学习地址列表，把管理员的 IP地址或者服务器的IP地址(127.0.0.1)，添加进这个列表中，针对来自这个列表的访问都被认为是安全的。而防火墙根据这些被放行的访问添加基于正则表达式的访问规则到防火墙的访问拦截规则中，从而学习到基于AJAX的变化的访问。

进一步的，管理员可以将认为安全的访问类型都添加至安全访问地址中去，即网站安全装置监测到从安全学习地址对网站发出的请求都放行，无论是不是 AJAX请求都予以放行。而且根据放行自动添加规则至安全模型中，这样管理员可以方便的管理来自安全地址的访问并建立相应的访问规则。同时，安全学习地址可以设置为不止一个，可以让管理员分类的添加访问类型至不同的安全学习地址。例如，将AJAX类的访问添加至一个安全学习地址，其他类别的访问添加到不同的安全学习地址，方便管理员对针对网站的访问进行管理。其中，管理员可以是人类，也可以是有管理权限的软硬件。

S14、根据所述自定义规则更新所述网站安全模型；

对来自安全学习地址的访问，添加访问规则至设置的安全模型中，从而更新安全模型，因为AJAX的访问变化多，更新前的安全模型不能很好的对基于AJAX 的访问进行判断，容易发生误判。而经过安全学习地址访问的AJAX全部放行，使得网站安全装置能够对于不同的基于AJAX的不同变化的访问建立访问规则，添加到安全模型中使得更新后的安全模型能对于AJAX的访问准确的拦截和放行。

例如，某购物网站设置了一安全模型用于过滤对网站的访问请求，但是用于该购物网站有很多基于AJAX的访问，将此类访问添加至安全学习地址中，从而放行所有来自安全学习地址的访问，进而添加访问规则至安全模型中更新安全模型。

S15、根据所更新的安全模型判断访问请求是否符合网站安全模型，如果是，则允许访问网站。

在更新网站安全模型后，网站安全装置根据安全模型对所有的访问进行判断，若访问请求符合网站安全模型，则允许该访问请求访问网站；若访问请求不符合网站安全模型，则拦截该访问请求访问网站。能在原来的基础上准确判断基于 AJAX的访问请求，从而方便管理员管理访问请求，同时降低了网站安全装置的误判，增加了拦截效度。

此方法根据不同网站的内容信息和架构的不同，建立针对此网站的特殊保护模型。更好的保护网站遭受未知的攻击。

实施例二

如图2所示的另一种通过安全学习保护网站的实施例，本实施例与实施例一的区别是增加网站安全模型的设置，能够结合机器学习的过程完善对网站安全的防护，和减少人工的配置时间增加工作效率。

S21、设置一网站安全模型；

网站安全模型具体的设置为图2右侧所示：

S211、与网站建立反向代理连接，以接收对网站的访问请求；

网站安全装置切换为被动模式，设置在网站服务器端和用户访问端之间，接受到来自用户端的访问请求然后将请求发送给网站服务器端，并将来自服务器端的数据的返回结果发送给用户访问请求端。而网站安全装置以网站的主页，即根目录为入口进行机器学习。

S212、依据所述访问请求发出告警信息；

网站安全装置以反向代理的形式保护网站，大量用户在针对网站不同网页或内容信息访问中监测访问的方式和习惯，此时网站安全装置处于被动模式。对于检测到的有威胁的或是可疑的不正常网站访问，网站安全装置以告警的方式提示管理员有可疑的访问。与传统的防护方式最大的不同之处就是，传统防火墙认为所有访问请求都是合法的，除非这些访问请求与威胁特征库匹配；而本发明假定，所有访问请求都是非法的，只有网站主页及其链接入口处的请求是合法的。机器学习引擎假定入口的请求是安全的，机器学习引擎会学习所述访问请求的返回，包括表单，链接等等，除了学习到的链接才不会告警，除此之外全部告警。

例如，一个银行的网站首页，会有超链接，图片，文档，表单等等内容，网站安全装置以正常用户的访问习惯首先访问网站的首页，获取上述的内容信息，对网站首页的具体访问结构有一个大的构架。在银行网站的首页会有连向各种业务的超链接，超链接会将用户导致个人网银登陆页面，金融服务页面，信用卡申请页面等不同内容信息组成的不同页面，网站安全装置会根据超链接所引导的地址访问各个页面同时对所访问的每个页面进行学习，搭建每个页面的架构，直到将网站下的所有以扁平式物理结构和树形物理结构或以逻辑结构搭建出的整个网站都访问到。而对于网站主页的访问请求认定为安全的，对于网页中链接的访问也认为是安全的，对此之外的所有针对网页的访问请求均认定为是有威胁的。例如，对网站除主页之外的其他网页内容的访问，对图片，文档，表单等等内容的访问请求均认为是有威胁且不安全的。对此，会发出告警信息给管理员。

S213、判断所述告警信息对应的访问请求是否放行，如果是，则添加放行规则；

管理员在登陆管理员界面或是在邮件中看到此威胁访问后，针对此威胁访问进行判断，做出允许或者阻止的判断，将危险的威胁访问阻止，将没有危险的威胁访问允许通过，并将判断结果反馈给网站安全装置。帮助网站安全装置的机器学习，管理员的判断作为参照给机器学习以标准。而其中所述的管理员也不限于是人类管理员，也可以是人工智能或者有判断能力的软硬件。进一步的，即使为人类管理员也不一定需要是有大量背景专业的技术人员，只要是能完成判断是否放行有威胁的访问请求，能协助网站安全装置建立起访问规则的人员即可。

S214、重复S212、S213直至网站所有业务被访问，学习所述放行规则而建立网站安全模型；

网站安全装置每一次的根据对于有威胁访问请求的判断添加的放行规则都是对于网站业务的一次学习过程，不断重复步骤S212、S213，网站安全模型通过网站主页的入口进行机器学习而全部学习到网站的所有业务且对这些业务分别添加放行规则。这些放行规则例如以正则表达式的形式添加到网站安全装置中，通过机器学习所述放行规则从而建立起对此网站的安全模型。

S215、判断访问请求是否符合所述网站安全模型，如果是，则允许访问网站。

S22、设置至少一个安全学习地址；

S23、接收来自安全学习地址的AJAX的访问请求，根据所述访问请求添加自定义规则；

S24、根据所述自定义规则更新所述网站安全模型；

S25、根据所更新的安全模型判断访问请求是否符合网站安全模型，如果是，则允许访问网站。

在基于机器学习的基础上设置网站安全模型，在此基础上设置安全学习地址，是作为机器学习的补充，能够对机器学习难以自动学习的AJAX访问进行学习，增加学习到的访问规则到网站安全模型，从而更新后的网站安全模型能方便的自动学习规则同时不会对基于AJAX的对于网站的访问请求造成误判。

实施例三

如图3所示，一种通过安全学习保护网站的网站安全装置30，该网站安全装置30包括网站保护模块31，安全学习地址模块32，规则添加模块33；具体为：

网站保护模块31，用于建立、更新安全模型；

安全学习地址模块32，用于设置至少一个安全学习地址；

规则添加模块33，用于接收来自安全学习地址的访问请求，根据所述访问请求添加自定义规则；

其中网站保护模块31又包括接收访问请求单元311，告警提示单元312，判断单元313，机器学习单元314；

接收访问请求单元311，用于与网站建立反向代理连接，以接收对网站的访问请求；

告警提示单元312，用于依据所述访问请求发出告警信息；

所述判断单元313，用于判断所述告警信息对应的访问请求是否放行，如果是，则添加放行规则；

告警提示单元312和判断单元313对网站所有业务建立访问规则后，机器学习单元314用于学习所述放行规则而建立网站安全模型。

实施例四

一种通过安全学习保护网站的系统，该系统包括网站服务器端41、安全地址端42、客户端43和网站安全装置44，其中，网站安全装置44设置一网站安全模型；

安全地址端42设置至少一个安全学习地址；

网站安全装置44接收来自安全学习地址的对服务器端41的访问请求，根据所述访问请求添加自定义规则至网站安全装置44；

网站安全装置44根据所述自定义规则更新所述网站安全模型；

网站安全装置44根据所更新的安全模型放行或阻止对于网站的访问请求；

网站安全装置44对来自安全学习地址的对于网站服务器端41的访问均认为是安全访问并放行；并判断来自客户端43的访问请求是否符合网站安全模型，如果是，则允许访问网站服务器端41。

以上所述仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专利的技术人员在不脱离本发明技术方案范围内，当可利用上述提示的技术内容做出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明方案的范围内。

Claims (10)

1.一种通过安全学习保护网站的方法，其特征在于，包括：

S1、设置一网站安全模型；

S2、设置至少一个安全学习地址；

S3、接收来自安全学习地址的访问请求，根据所述访问请求添加自定义规则；

S4、根据所述自定义规则更新所述网站安全模型。

2.根据权利要求1所述的一种通过安全学习保护网站的方法，其特征在于，还包括步骤

S5、根据所更新的安全模型放行或阻止对于网站的访问请求。

3.根据权利要求1至2任一所述的一种通过安全学习保护网站的方法，其特征在于，还包括步骤

S6、判断访问请求是否符合网站安全模型，如果是，则允许访问网站。

4.根据权利要求1至3任一所述的一种通过安全学习保护网站的方法，其特征在于，对来自安全学习地址的对于网站的访问均认为是安全访问并放行。

5.根据权利要求1至4中任一所述的一种通过安全学习保护网站的方法，其特征在于，所述来自安全学习地址的访问请求为基于AJAX的访问请求。

6.根据权利要求1中所述的一种通过安全学习保护网站的方法，其特征在于，S1中设置一网站安全模型具体为：

S11、与网站建立反向代理连接，以接收对网站的访问请求；

S12、依据所述访问请求发出告警信息；

S13、判断所述告警信息对应的访问请求是否放行，如果是，则添加放行规则；

S14、重复S12、S13直至网站所有业务被访问，学习所述放行规则而建立网站安全模型。

7.根据权利要求6中所述的一种通过安全学习保护网站的方法，其特征在于，还包括：

S15、判断访问请求是否符合所述网站安全模型，如果是，则允许访问网站。

8.一种通过安全学习保护网站的网站安全装置，其特征在于，该网站安全装置包括网站保护模块，安全学习地址模块，规则添加模块，其中：

网站保护模块用于设置一安全网站安全模型；

安全学习模块用于设置至少一个安全学习地址；

规则添加模块用于接收来自安全学习地址的访问请求，根据所述访问请求添加自定义规则；

网站保护模块根据所述自定义规则更新所述网站安全模型。

9.根据权利要求8所述的一种通过安全学习保护网站的网站安全装置，其特征在于，网站保护模块包括接收访问请求单元，告警提示单元，判断单元，机器学习单元，其中：

所述接收访问请求单元用于与网站建立反向代理连接，以接收对网站的访问请求；

所述告警提示单元用于依据所述访问请求发出告警信息；

所述判断单元用于判断所述告警信息对应的访问请求是否放行，如果是，则添加放行规则；

告警提示单元和判断单元对网站所有业务建立访问规则后，所述机器学习单元用于学习所述放行规则而建立网站安全模型。

10.一种通过安全学习保护网站的系统，其特征在于，该系统包括网站服务器端、安全地址端、客户端和网站安全装置，其中，网站安全装置设置一网站安全模型；

安全地址端设置至少一个安全学习地址；

网站安全装置接收来自安全学习地址的对服务器端的访问请求，根据所述访问请求添加自定义规则至网站安全装置；

网站安全装置根据所述自定义规则更新所述网站安全模型；

网站安全装置根据所更新的安全模型放行或阻止对于网站的访问请求。