CN107968791A - 一种攻击报文的检测方法及装置 - Google Patents

Abstract

本申请提供一种攻击报文的检测方法及装置。一种攻击报文的检测方法，所述方法应用于入侵防御系统IPS设备，包括：识别所获取的网络流量的协议类型；基于协议类型对所述网络流量进行分流，所述分流为一次分流或二次分流；针对分流后的网络流量分别进行攻击特征检测，以确定所述网络流量中是否存在攻击报文。本申请可实现对网络流量的分流检测，从而可提高对攻击报文的检测效率及检测结果的准确度。

Description

一种攻击报文的检测方法及装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种攻击报文的检测方法及装置。

背景技术

随着网络的飞速发展，以蠕虫、木马等为代表的网络攻击层出不穷，给网络用户带来极大的安全隐患。目前，通常采用在网络中部署入侵防御系统(IPS，IntrusionPrevention System)对流经的网络流量进行检测，以实现对网络攻击的防御。

现有技术中，针对流经的网络流量，IPS通常不对网络流量进行分流，而是将流经的网络流量均与同一攻击特征库进行匹配，以确定上述网络流量中是否存在攻击报文的。

一方面，由于检测深度的限制，IPS通常不会对流经的所有网络流量都进行检测，由此可能导致一部分网络应用仍会遭受到攻击。另一方面，上述方法会使得IPS的攻击特征库中预存的攻击特征的数量较多，再加之有些攻击特征较为复杂，网络流量与上述预存的攻击特征进行匹配时将会非常耗时，从而可能影响IPS的检测速度。

发明内容

有鉴于此，本申请提供一种攻击报文的检测方法及装置，以实现对网络流量的分流检测，从而提高对攻击报文的检测效率及检测结果的准确度。

具体地，本申请是通过如下技术方案实现的：

一种攻击报文的检测方法，所述方法应用于入侵防御系统IPS设备，包括：

识别所获取的网络流量的协议类型；

基于协议类型对所述网络流量进行分流，所述分流为一次分流或二次分流；

针对分流后的网络流量分别进行攻击特征检测，以确定所述网络流量中是否存在攻击报文。

一种攻击报文的检测装置，所述装置应用于入侵防御系统IPS设备，包括：

识别模块，用于识别所获取的网络流量的协议类型；

分流模块，用于基于协议类型对所述网络流量进行分流，所述分流为一次分流或二次分流；

检测模块，用于针对分流后的网络流量分别进行攻击特征检测，以确定所述网络流量中是否存在攻击报文。

在本申请中，IPS通过识别所获取的网络流量的协议类型，并可基于协议类型对上述网络流量进行一次分流或二次分流，之后可针对分流后的上述网络流量分别进行攻击特征检测，以确定出上述网络流量是否存在攻击报文。与现有技术相比，本申请的技术方案，一方面，可对获取的网络流量分流进行攻击特征检测，从而可提高检测效率；另一方面，可对上述网络流量有针对性的进行攻击特征的检测，从而可实现更为精细的检测，提高检测结果的准确度。

附图说明

图1是本申请一示例性实施例示出的一种攻击报文的检测方法流程图；

图2是本申请一示例性实施例示出的一种IPS设备的硬件结构图；

图3是本申请一示例性实施例示出的一种攻击报文的检测装置的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

随着网络的飞速发展，以蠕虫、木马等为代表的网络攻击层出不穷，给网络用户带来极大的安全隐患。目前，通常采用在网络中部署入侵防御系统(IPS，IntrusionPrevention System)对流经的网络流量进行检测，以实现对网络攻击的防御。

现有技术中，针对流经的网络流量，IPS通常不对网络流量进行分流，而是将流经的网络流量均与同一攻击特征库进行匹配，以确定上述网络流量中是否存在攻击报文的。

一方面，由于检测深度的限制，IPS通常不会对流经的所有网络流量都进行检测，由此可能导致一部分网络应用仍会遭受到攻击。另一方面，上述方法会使得IPS的攻击特征库中预存的攻击特征的数量较多，再加之有些攻击特征较为复杂，网络流量与上述预存的攻击特征进行匹配时将会非常耗时，从而可能影响IPS的检测速度。

因此，为了解决上述问题，本申请提供了一种攻击报文的检测方法，IPS通过识别所获取的网络流量的协议类型，并可基于协议类型对上述网络流量进行一次分流或二次分流，之后可针对分流后的上述网络流量分别进行攻击特征检测，以确定出上述网络流量是否存在攻击报文。与现有技术相比，本申请的技术方案，一方面，可对获取的网络流量分流进行攻击特征检测，从而可提高检测效率；另一方面，可对上述网络流量有针对性的进行攻击特征的检测，从而可实现更为精细的检测，提高检测结果的准确度。

下面将结合具体实施例对本申请的实现过程进行详细描述。

请参考图1，图1所示为本申请实施例示出的一种攻击报文的检测方法流程图，该方法可用于IPS设备上。其中，该方法可以包括以下基本步骤：

S101，识别所获取的网络流量的协议类型。

在本申请实施例中，IPS在获取到网络流量后，可先识别上述网络流量中报文的协议类型，由于五元组信息相同的报文属于同一流，因此在对报文的协议类型进行识别时，可仅对该流中的第一个报文进行协议类型的识别，假设该报文的协议类型为HTTP(HyperText Transfer Protocol，超文本传输协议)协议，则后续获取的该流的报文可直接将其协议类型归为HTTP协议。

其中，在对报文的协议类型进行识别时，可基于端口号对协议类型进行识别，也可基于报文的报文负载对协议类型进行识别，还可基于端口号和报文负载的结合对协议类型进行识别，此处不作限定。

基于端口号对报文的协议类型进行识别，通常是针对一些知名端口进行识别的，例如，报文的端口号为80，则可识别出该报文的协议类型为HTTP协议；报文的端口号为20或21，可识别出该报文的协议类型为FTP(File Transfer Protocol，文件传输协议)协议。

基于报文的报文负载对协议类型进行识别，通常是根据各个协议特有的模式特征确定报文所属协议类型。例如，若在报文负载中检测到URL(Uniform Resource Locator，统一资源定位符)或者“GET、POST”等请求方法，则可确定该报文的协议类型为HTTP协议。

S102，基于协议类型对所述网络流量进行分流。

S103，针对分流后的网络流量分别进行攻击特征检测，以确定所述网络流量中是否存在攻击报文。

在本申请实施例中，在识别出各个流的协议类型后，可基于协议类型对上述网络流量进行分流，例如根据不同的协议类型将上述网络流量分为HTTP流、FTP流等。

完成上述分流后，IPS可分别对HTTP流、FTP流等进行攻击特征的检测。对于HTTP流，可将该流的报文与HTTP攻击特征库进行匹配，其中，上述HTTP攻击特征库中可仅存储针对HTTP报文的攻击特征；对于FTP流，可将该流的报文与FTP攻击特征库进行匹配，同样地，上述FTP攻击特征库也可仅存储针对FTP报文的攻击特征。之后可通过报文是否匹配到攻击特征库中的攻击特征，判断该报文是否是攻击报文，若确定该报文是攻击报文，则可丢弃该攻击报文；若确定该报文不是攻击报文，则可按正常路径转发该报文。

其中，对报文中攻击特征的具体检测过程，可参考现有的对攻击特征检测的相关方法，此处不再赘述。

此外，在对网络流量进行上述一次分流后，还可根据需要进行二次分流。其中，IPS可根据用户预设的配置信息确定是否需要在一次分流的基础上进行二次分流。用户在配置IPS时，可将一些重要的协议配置为需要进行二次分流的协议。比如，多数网络应用都是基于HTTP协议的，为尽可能的避免这些网络应用遭受攻击，可将HTTP协议配置为需要进行二次分流的协议。

下面将以对HTTP流进行二次分流为例进行说明。

在本申请实施例中，当确定需要对HTTP流进行二次分流后，IPS可进一步识别HTTP流中报文所属的网络应用。

其中，IPS可通过对报文负载进行解析，以识别报文所属的网络应用。例如，可以通过报文中URL字段、HOST字段等识别网络应用。之后可基于网络应用对上述HTTP流进行二次分流。

需要说明的是，由于同一网络应用的报文属于同一条流，所以仍可仅对该流的第一个报文进行报文负载的解析，识别出该报文的网络应用，假设为网络视频，则后续获取的属于该流的报文可不再进行报文负载的解析，将其网络应用直接归为网络视频即可。

假设根据网络应用将上述HTTP流二次分流为网络视频流、微博流、网络音乐流等。IPS可对二次分流后的网络视频流、微博流、网络音乐流分别进行攻击特征检测，可通过报文是否匹配到攻击特征库中的攻击特征，判断该报文是否是攻击报文，若确定该报文是攻击报文，则可丢弃该攻击报文；若确定该报文不是攻击报文，则可按正常路径转发该报文。

其中，针对于网络视频流、微博流、在线音乐流等，IPS也均有一个相应的攻击特征库，攻击特征库中保存有各个网络应用流的攻击特征。

需要说明的是，在对一些较为重要的网络应用的报文进行攻击特征检测时，可以设置该检测过程不受检测深度的限制，对该网络应用的全部报文进行检测，以避免一些攻击报文漏检，而对这些攻击报文进行误判，使其被发送至对应的网络应用，而使该网络应用遭到攻击。

在本申请中，IPS可通过端口或报文负载识别所获取的网络流量的协议类型，并可基于协议类型对上述网络流量进行一次分流或二次分流，之后可针对分流后的上述网络流量分别进行攻击特征检测，以确定出上述网络流量是否存在攻击报文。与现有技术相比，本申请的技术方案，一方面，可对获取的网络流量分流进行攻击特征检测，从而可提高检测效率；另一方面，可对上述网络流量有针对性的进行攻击特征的检测，从而可实现更为精细的检测，提高检测结果的准确度。

与前述一种攻击报文的检测方法的实施例相对应，本申请还提供了一种攻击报文的检测装置的实施例。

本申请一种攻击报文的检测装置的实施例可以应用在IPS设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在IPS设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图2所示，为本申请一种攻击报文的检测装置所在IPS设备的一种硬件结构图，除了图2所示的处理器、内存、网络出接口、以及非易失性存储器之外，实施例中装置所在的IPS设备通常根据该IPS设备的实际功能，还可以包括其他硬件，对此不再赘述。

请参考图3，图3为本申请实施例示出的一种攻击报文的检测装置的结构示意图，该装置可用于IPS设备上，可包括：识别模块310，分流模块320和检测模块330。

其中，识别模块310，用于识别所获取的网络流量的协议类型；

分流模块320，用于基于协议类型对所述网络流量进行分流，所述分流为一次分流或二次分流；

检测模块330，用于针对分流后的网络流量分别进行攻击特征检测，以确定所述网络流量中是否存在攻击报文。

在本申请实施例中，所述分流模块320，进一步用于：

针对所述一次分流后的每一协议类型的网络流量，根据预设的配置信息确定该协议类型的网络流量是否需要再次进行分流；

若是，则识别所述协议类型的网络流量所属的网络应用，并基于网络应用对所述网络流量进行分流。

在本申请实施例中，所述检测模块330，进一步用于：

针对所述一次分流后的每一协议类型的网络流量，将该协议类型的网络流量与针对该协议类型的攻击特征库进行匹配；

将匹配到所述攻击特征库中任一攻击特征的报文确定为攻击报文。

在本申请实施例中，所述检测模块330，进一步用于：

针对所述一次分流后的每一协议类型的网络流量，将该协议类型的网络流量与针对该协议类型的攻击特征库进行匹配；

将匹配到所述攻击特征库中任一攻击特征的报文确定为攻击报文。

在本申请实施例中，所述分流模块320，进一步用于：

根据所述网络流量中报文的端口号，识别所述网络流量的协议类型；

或

根据所述网络流量中报文的报文负载，识别所述网络流量的协议类型。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种攻击报文的检测方法，其特征在于，所述方法应用于入侵防御系统IPS设备，包括：

识别所获取的网络流量的协议类型；

基于协议类型对所述网络流量进行分流，所述分流为一次分流或二次分流；

针对分流后的网络流量分别进行攻击特征检测，以确定所述网络流量中是否存在攻击报文。

2.根据权利要求1所述的方法，其特征在于，所述二次分流，包括：

针对所述一次分流后的每一协议类型的网络流量，根据预设的配置信息确定该协议类型的网络流量是否需要再次进行分流；

若是，则识别所述协议类型的网络流量所属的网络应用，并基于网络应用对所述网络流量进行分流。

3.根据权利要求1所述的方法，其特征在于，所述针对分流后的网络流量分别进行攻击特征的检测，包括：

针对所述一次分流后的每一协议类型的网络流量，将该协议类型的网络流量与针对该协议类型的攻击特征库进行匹配；

将匹配到所述攻击特征库中任一攻击特征的报文确定为攻击报文。

4.根据权利要求1所述的方法，其特征在于，针对分流后的网络流量分别进行攻击特征检测，包括：

针对所述二次分流后的每一网络应用的网络流量，将该网络应用的网络流量与针对该网络应用的攻击特征库进行匹配；

将匹配到所述攻击特征库中任一攻击特征的报文确定为攻击报文。

5.根据权利要求1所述的方法，其特征在于，所述识别所获取的网络流量的协议类型，包括：

根据所述网络流量中报文的端口号，识别所述网络流量的协议类型；

或

根据所述网络流量中报文的报文负载，识别所述网络流量的协议类型。

6.一种攻击报文的检测装置，其特征在于，所述装置应用于入侵防御系统IPS设备，包括：

识别模块，用于识别所获取的网络流量的协议类型；

分流模块，用于基于协议类型对所述网络流量进行分流，所述分流为一次分流或二次分流；

检测模块，用于针对分流后的网络流量分别进行攻击特征检测，以确定所述网络流量中是否存在攻击报文。

7.根据权利要求6所述的装置，其特征在于，所述分流模块，进一步用于：

针对所述一次分流后的每一协议类型的网络流量，根据预设的配置信息确定该协议类型的网络流量是否需要再次进行分流；

若是，则识别所述协议类型的网络流量所属的网络应用，并基于网络应用对所述网络流量进行分流。

8.根据权利要求6所述的装置，其特征在于，所述检测模块，进一步用于：

针对所述一次分流后的每一协议类型的网络流量，将该协议类型的网络流量与针对该协议类型的攻击特征库进行匹配；

将匹配到所述攻击特征库中任一攻击特征的报文确定为攻击报文。

9.根据权利要求6所述的装置，其特征在于，所述检测模块，进一步用于：

针对所述一次分流后的每一协议类型的网络流量，将该协议类型的网络流量与针对该协议类型的攻击特征库进行匹配；

将匹配到所述攻击特征库中任一攻击特征的报文确定为攻击报文。

10.根据权利要求6所述的装置，其特征在于，所述识别模块，进一步用于：

根据所述网络流量中报文的端口号，识别所述网络流量的协议类型；

或

根据所述网络流量中报文的报文负载，识别所述网络流量的协议类型。