CN109302421A - 应用系统安全防护策略优化方法及装置 - Google Patents

应用系统安全防护策略优化方法及装置 Download PDF

Info

Publication number
CN109302421A
CN109302421A CN201811403141.2A CN201811403141A CN109302421A CN 109302421 A CN109302421 A CN 109302421A CN 201811403141 A CN201811403141 A CN 201811403141A CN 109302421 A CN109302421 A CN 109302421A
Authority
CN
China
Prior art keywords
waf
log
request
isomery
main
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201811403141.2A
Other languages
English (en)
Other versions
CN109302421B (zh
Inventor
孙歆
李沁园
韩嘉佳
周升
倪阳旦
陈利跃
孙昌华
李景
戴桦
吕磅
李霁远
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
State Grid Zhejiang Electric Power Co Ltd
Electric Power Research Institute of State Grid Zhejiang Electric Power Co Ltd
Original Assignee
State Grid Corp of China SGCC
State Grid Zhejiang Electric Power Co Ltd
Electric Power Research Institute of State Grid Zhejiang Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, State Grid Zhejiang Electric Power Co Ltd, Electric Power Research Institute of State Grid Zhejiang Electric Power Co Ltd filed Critical State Grid Corp of China SGCC
Priority to CN201811403141.2A priority Critical patent/CN109302421B/zh
Publication of CN109302421A publication Critical patent/CN109302421A/zh
Application granted granted Critical
Publication of CN109302421B publication Critical patent/CN109302421B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Abstract

本发明公开了一种应用系统安全防护策略优化方法及装置。针对目前单个WAF的防护可能会被绕过的问题，本发明通过旁路的异构冗余WAF策略进行多模表决，确定当前请求是否是恶意请求，并将优化的策略更新至串接的主WAF，从而提升识别率，降低误报。本发明通过异构冗余的第三方WAF的检测结果，为主WAF提供更多的样本素材；通过表决方式进一步精简样本，减少互为冲突的检测结果，同时增加结果的可信度。

Description

应用系统安全防护策略优化方法及装置
技术领域
本发明属于网络安全技术领域，具体是Web安全防护和拟态安全领域，涉及一种基于异构冗余动态表决的应用系统安全防护策略优化方法及装置。
背景技术
传统的应用系统防护技术主要是通过应用防火墙(WAF)进行HTTP请求的安全检测和过滤，来抵御SQL注入、XSS、命令执行等Web层的恶意攻击。而WAF的主要作用是通过特征匹配识别HTTP流量中是否存在攻击行为，并及时阻断攻击。
但实际应用中发现，特征匹配规则很容易被攻击者通过一定的技术变形绕过，从而将攻击载荷穿透WAF的防护直接攻击应用系统。而目前只能通过进一步优化特征库的质量来降低WAF的误报和漏洞率，但效果有限，无法很好的解决特征规则绕过问题。
发明内容
本发明所要解决的技术问题是克服上述现有技术存在的缺陷，提供一种基于异构冗余动态表决的应用系统安全防护策略优化方法，其通过旁路的异构冗余WAF策略进行多模表决，确定当前请求是否是恶意请求，并将优化的策略更新至串接的主WAF，从而提升识别率，降低误报。
为此，本发明采用如下的技术方案：应用系统安全防护策略优化方法，其包括步骤：
步骤1：用户发出的HTTP请求首先经过分发器D，将请求分发至旁路的m个异构WAF防护系统，设为{W1，W2，…，Wm}，m为≥3的奇数，同时按照正常路径分发至被防护应用系统前端串接的主WAF，进行正常的业务请求；
步骤2：设置{W1，W2，…，Wm}为旁路检测模式，开启异构WAF访问日志和告警日志，并将日志信息按统一格式转发至日志分析器S；异构WAF{W1，W2，…，Wm}分别收到相同的HTTP请求后，经过自身安全检测，生成对每个请求的日志信息发送至日志分析器；
步骤3：日志分析器对日志进行归类，选取相同请求的日志，归并访问日志和告警日志结果，生成对同一请求的m个异构WAF的判断结果；在归并访问日志和告警日志后的信息中，筛选出同一请求的日志有i条，i≤m；若i<m，说明部分WAF由于故障原因未生成日志，则舍弃其日志，汇总后将判断结果转发至表决器V；
步骤4：表决器V判断阳性结果/i是否超过阈值n，若大于等于n则判断为恶意请求，若小于n则判断为正常请求；
步骤5：表决器将表决结果转发至正式运行的主WAF，结果表示为{X,Y}的组合，X为请求内容，Y为布尔量；
步骤6：主WAF通过内置的策略机器学习接口，接收表决器的表决结果，作为机器学习样本进行定期学习，优化主WAF的防护策略。
本发明针对目前单个WAF的防护可能会被绕过的问题，通过旁路异构WAF对相同请求的判断结果，表决得出综合判断结果后反馈至主WAF进行策略更新，异构WAF可以是成熟的开源或商业WAF系统。
本发明的主WAF需要支持机器学习算法进行检测，并提供对外二次开发接口。
作为上述技术方案的补充，阈值n为0.5。
作为上述技术方案的补充，布尔量为0代表正常，为1代表恶意。
作为上述技术方案的补充，步骤3中，将这些日志中来源于告警日志的定义为{WAF_IP,1}，表示该WAF将该请求判定为阳性，即告警，将其中来源于访问日志的定义为{WAF_IP,0}，表示该WAF将该请求判定为阴性，即正常访问，WAF_IP为WAF的ip地址；若i<m，说明部分WAF由于故障原因未生成日志，则舍弃其日志，汇总后将判断结果转发至表决器V。
本发明的另一技术方案是提供一种应用系统安全防护策略优化装置，其包括：
HTTP请求分发模块：用户发出的HTTP请求首先经过分发器，将请求分发至旁路的m个异构WAF防护系统，设为{W1，W2，…，Wm}，m为≥3的奇数，同时按照正常路径分发至被防护应用系统前端串接的主WAF，进行正常的业务请求；
异构WAF模块：设置{W1，W2，…，Wm}为旁路检测模式，开启异构WAF访问日志和告警日志，并将日志信息按统一格式转发至日志分析器；异构WAF{W1，W2，…，Wm}分别收到相同的HTTP请求后，经过自身安全检测，生成对每个请求的日志信息发送至日志分析器；
日志分析器：对日志进行归类，选取相同请求的日志，归并访问日志和告警日志结果，生成对同一请求的m个异构WAF的判断结果；在归并访问日志和告警日志后的信息中，筛选出同一请求的日志有i条，i≤m；若i<m，说明部分WAF由于故障原因未生成日志，则舍弃其日志，汇总后将判断结果转发至表决器；
表决器：判断阳性结果/i是否超过阈值n，若大于等于n则判断为恶意请求，若小于n则判断为正常请求；将表决结果转发至正式运行的主WAF，结果表示为{X,Y}的组合，X为请求内容，Y为布尔量；
主WAF模块：主WAF通过内置的策略机器学习接口，接收表决器的表决结果，作为机器学习样本进行定期学习，优化主WAF的防护策略。
进一步地，表决器中，所述的阈值n为0.5。
进一步地，策略更新模块中，所述的布尔量为0代表正常，为1代表恶意。
进一步地，日志分析器中，将这些日志中来源于告警日志的定义为{WAF_IP,1}，表示该WAF将该请求判定为阳性，即告警，将其中来源于访问日志的定义为{WAF_IP,0}，表示该WAF将该请求判定为阴性，即正常访问，WAF_IP为WAF的ip地址。
本发明具有的有益效果如下：本发明通过旁路的异构冗余WAF策略进行多模表决，确定当前请求是否是恶意请求，并将优化的策略更新至串接的主WAF，提升了识别率，降低了误报。本发明通过异构冗余的第三方WAF的检测结果，为主WAF提供更多的样本素材；通过表决方式进一步精简样本，减少互为冲突的检测结果，同时增加结果的可信度。
附图说明
图1为本发明应用系统安全防护策略优化方法的原理框图；
图2为本发明应用系统安全防护策略优化装置的结构框图。
具体实施方式
下面结合实施例和说明书附图来对本发明进行进一步说明，但本发明的保护范围不限于下述实施例。在本发明的精神和权利要求的保护范围内，对本发明作出的任何修改和变更，都落入本发明的保护范围。
实施例1
本发明提供一种基于异构冗余动态表决的应用系统安全防护策略优化方法，如图1所示，其具体步骤如下：
1.用户发出的HTTP请求首先经过分发器D，将请求分发至旁路的m(m为>＝3的奇数)个异构WAF防护系统(设为{W1，W2，…，Wm})，同时按照正常路径分发至被防护应用系统前端串接的主WAF，进行正常的业务请求；
2.设置{W1，W2，…，Wm}为旁路检测模式，开启异构WAF访问日志和告警日志，并将日志信息按统一格式(如syslog格式)转发至日志分析器S。异构WAF{W1，W2，…，Wm}分别收到相同的HTTP请求后，经过自身安全检测，生成对每个请求的日志信息发送至日志分析器。
3.日志分析器对日志进行归类，选取相同请求的日志，归并访问日志和告警日志结果，生成对同一请求的m个异构WAF的判断结果，将这些日志中来源于告警日志的定义为{WAF_IP,1}，表示该WAF将该请求判定为阳性，即告警，将其中来源于访问日志的定义为{WAF_IP,0}，表示该WAF将该请求判定为阴性，即正常访问，WAF_IP为WAF的ip地址；在归并访问日志和告警日志后的信息中，筛选出同一请求的日志有i条，i≤m；若i<m，说明部分WAF由于故障原因未生成日志，则舍弃其日志，汇总后将判断结果转发至表决器V。
4.表决器V判断阳性结果/i是否超过阈值n，若大于等于n则判断为恶意请求，若小于n则判断为正常请求。n可配置，默认为0.5。
5.表决器将表决结果转发至正式运行的主WAF系统，结果表示为{X,Y}的组合，X为请求内容，Y为布尔量(0代表正常，1代表恶意)。
6.主WAF通过内置的策略机器学习接口，接收表决器的表决结果，作为机器学习样本进行定期学习，优化主WAF的防护策略。
实施例2
本实施例提供一种基于异构冗余动态表决的应用系统安全防护策略优化装置，如图2所示，其包括：
HTTP请求分发模块：用户发出的HTTP请求首先经过分发器，将请求分发至旁路的m个异构WAF防护系统，设为{W1，W2，…，Wm}，m为≥3的奇数，同时按照正常路径分发至被防护应用系统前端串接的主WAF，进行正常的业务请求；
异构WAF模块：设置{W1，W2，…，Wm}为旁路检测模式，开启异构WAF访问日志和告警日志，并将日志信息按统一格式转发至日志分析器；异构WAF{W1，W2，…，Wm}分别收到相同的HTTP请求后，经过自身安全检测，生成对每个请求的日志信息发送至日志分析器；
日志分析器：对日志进行归类，选取相同请求的日志，归并访问日志和告警日志结果，生成对同一请求的m个异构WAF的判断结果；在归并访问日志和告警日志后的信息中，筛选出同一请求的日志有i条，i≤m；若i<m，说明部分WAF由于故障原因未生成日志，则舍弃其日志，汇总后将判断结果转发至表决器；
表决器：判断阳性结果/i是否超过阈值n，若大于等于n则判断为恶意请求，若小于n则判断为正常请求；n可配置，默认为0.5。将表决结果转发至正式运行的主WAF，结果表示为{X,Y}的组合，X为请求内容，Y为布尔量；布尔量为0代表正常，为1代表恶意。
主WAF模块：主WAF通过内置的策略机器学习接口，接收表决器的表决结果，作为机器学习样本进行定期学习，优化主WAF的防护策略。
日志分析器中，将这些日志中来源于告警日志的定义为{WAF_IP,1}，表示该WAF将该请求判定为阳性，即告警，将其中来源于访问日志的定义为{WAF_IP,0}，表示该WAF将该请求判定为阴性，即正常访问，WAF_IP为WAF的ip地址。

Claims (8)

1.应用系统安全防护策略优化方法，其特征在于，包括步骤：
步骤1：用户发出的HTTP请求首先经过分发器D，将请求分发至旁路的m个异构WAF防护系统，设为{W1，W2，…，Wm}，m为≥3的奇数，同时按照正常路径分发至被防护应用系统前端串接的主WAF，进行正常的业务请求；
步骤2：设置{W1，W2，…，Wm}为旁路检测模式，开启异构WAF访问日志和告警日志，并将日志信息按统一格式转发至日志分析器S；异构WAF{W1，W2，…，Wm}分别收到相同的HTTP请求后，经过自身安全检测，生成对每个请求的日志信息发送至日志分析器；
步骤3：日志分析器对日志进行归类，选取相同请求的日志，归并访问日志和告警日志结果，生成对同一请求的m个异构WAF的判断结果；在归并访问日志和告警日志后的信息中，筛选出同一请求的日志有i条，i≤m；若i<m，说明部分WAF由于故障原因未生成日志，则舍弃其日志，汇总后将判断结果转发至表决器V；
步骤4：表决器V判断阳性结果/i是否超过阈值n，若大于等于n则判断为恶意请求，若小于n则判断为正常请求；
步骤5：表决器将表决结果转发至正式运行的主WAF，结果表示为{X,Y}的组合，X为请求内容，Y为布尔量；
步骤6：主WAF通过内置的策略机器学习接口，接收表决器的表决结果，作为机器学习样本进行定期学习，优化主WAF的防护策略。
2.根据权利要求1所述的应用系统安全防护策略优化方法，其特征在于，所述的阈值n为0.5。
3.根据权利要求1或2所述的应用系统安全防护策略优化方法，其特征在于，所述的布尔量为0代表正常，为1代表恶意。
4.根据权利要求1或2所述的应用系统安全防护策略优化方法，其特征在于，步骤3中，将这些日志中来源于告警日志的定义为{WAF_IP,1}，表示该WAF将该请求判定为阳性，即告警，将其中来源于访问日志的定义为{WAF_IP,0}，表示该WAF将该请求判定为阴性，即正常访问，WAF_IP为WAF的ip地址。
5.应用系统安全防护策略优化装置，其特征在于，包括：
HTTP请求分发模块：用户发出的HTTP请求首先经过分发器，将请求分发至旁路的m个异构WAF防护系统，设为{W1，W2，…，Wm}，m为≥3的奇数，同时按照正常路径分发至被防护应用系统前端串接的主WAF，进行正常的业务请求；
异构WAF模块：设置{W1，W2，…，Wm}为旁路检测模式，开启异构WAF访问日志和告警日志，并将日志信息按统一格式转发至日志分析器；异构WAF{W1，W2，…，Wm}分别收到相同的HTTP请求后，经过自身安全检测，生成对每个请求的日志信息发送至日志分析器；
日志分析器：对日志进行归类，选取相同请求的日志，归并访问日志和告警日志结果，生成对同一请求的m个异构WAF的判断结果；在归并访问日志和告警日志后的信息中，筛选出同一请求的日志有i条，i≤m；若i<m，说明部分WAF由于故障原因未生成日志，则舍弃其日志，汇总后将判断结果转发至表决器；
表决器：判断阳性结果/i是否超过阈值n，若大于等于n则判断为恶意请求，若小于n则判断为正常请求；将表决结果转发至正式运行的主WAF，结果表示为{X,Y}的组合，X为请求内容，Y为布尔量；
主WAF模块：主WAF通过内置的策略机器学习接口，接收表决器的表决结果，作为机器学习样本进行定期学习，优化主WAF的防护策略。
6.根据权利要求5所述的应用系统安全防护策略优化装置，其特征在于，表决器中，所述的阈值n为0.5。
7.根据权利要求5或6所述的应用系统安全防护策略优化方法，其特征在于，所述的布尔量为0代表正常，为1代表恶意。
8.根据权利要求5或6所述的应用系统安全防护策略优化方法，其特征在于，日志分析器中，将这些日志中来源于告警日志的定义为{WAF_IP,1}，表示该WAF将该请求判定为阳性，即告警，将其中来源于访问日志的定义为{WAF_IP,0}，表示该WAF将该请求判定为阴性，即正常访问，WAF_IP为WAF的ip地址。
CN201811403141.2A 2018-11-23 2018-11-23 应用系统安全防护策略优化方法及装置 Active CN109302421B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811403141.2A CN109302421B (zh) 2018-11-23 2018-11-23 应用系统安全防护策略优化方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811403141.2A CN109302421B (zh) 2018-11-23 2018-11-23 应用系统安全防护策略优化方法及装置

Publications (2)

Publication Number Publication Date
CN109302421A true CN109302421A (zh) 2019-02-01
CN109302421B CN109302421B (zh) 2021-05-18

Family

ID=65143721

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811403141.2A Active CN109302421B (zh) 2018-11-23 2018-11-23 应用系统安全防护策略优化方法及装置

Country Status (1)

Country Link
CN (1) CN109302421B (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110011965A (zh) * 2019-02-28 2019-07-12 中国人民解放军战略支援部队信息工程大学 一种基于可信度的执行体完全非一致输出裁决方法及装置
CN110971603A (zh) * 2019-12-04 2020-04-07 四川虹微技术有限公司 一种基于深度学习的异常流量检测方法及系统
CN112019557A (zh) * 2020-09-02 2020-12-01 北京天融信网络安全技术有限公司 一种数据处理方法及装置
CN112383529A (zh) * 2020-11-09 2021-02-19 浙江大学 一种拟态waf中的对抗流量生成方法
CN112383528A (zh) * 2020-11-09 2021-02-19 浙江大学 一种拟态waf的执行体构建方法
CN114745143A (zh) * 2020-12-23 2022-07-12 息象(北京)科技发展有限公司 一种访问控制策略自动生成方法及装置
CN114944951A (zh) * 2022-05-18 2022-08-26 北京天融信网络安全技术有限公司 一种请求的处理方法及装置、拟态设备、存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070297333A1 (en) * 2006-06-26 2007-12-27 Nir Zuk Packet classification in a network security device
CN106161418A (zh) * 2015-06-01 2016-11-23 上海红神信息技术有限公司 一种异构功能等价体输出服务响应的装置及方法
CN106874755A (zh) * 2017-01-22 2017-06-20 中国人民解放军信息工程大学 基于拟态安全防御零日攻击的多数一致逃逸错误处理装置及其方法
CN108322431A (zh) * 2017-12-14 2018-07-24 兆辉易安（北京）网络安全技术有限公司 动态多模异构冗余的工控安全网关系统和入侵感知方法
CN108337224A (zh) * 2017-12-14 2018-07-27 兆辉易安（北京）网络安全技术有限公司 三模异构冗余的工控安全网关系统及其入侵感知方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070297333A1 (en) * 2006-06-26 2007-12-27 Nir Zuk Packet classification in a network security device
CN106161418A (zh) * 2015-06-01 2016-11-23 上海红神信息技术有限公司 一种异构功能等价体输出服务响应的装置及方法
CN106874755A (zh) * 2017-01-22 2017-06-20 中国人民解放军信息工程大学 基于拟态安全防御零日攻击的多数一致逃逸错误处理装置及其方法
CN108322431A (zh) * 2017-12-14 2018-07-24 兆辉易安（北京）网络安全技术有限公司 动态多模异构冗余的工控安全网关系统和入侵感知方法
CN108337224A (zh) * 2017-12-14 2018-07-27 兆辉易安（北京）网络安全技术有限公司 三模异构冗余的工控安全网关系统及其入侵感知方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
吴春明: "《 动态网络主动安全防御的若干思考》", 《中兴通讯技术》 *

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110011965A (zh) * 2019-02-28 2019-07-12 中国人民解放军战略支援部队信息工程大学 一种基于可信度的执行体完全非一致输出裁决方法及装置
CN110011965B (zh) * 2019-02-28 2021-09-24 中国人民解放军战略支援部队信息工程大学 一种基于可信度的执行体完全非一致输出裁决方法及装置
CN110971603A (zh) * 2019-12-04 2020-04-07 四川虹微技术有限公司 一种基于深度学习的异常流量检测方法及系统
CN110971603B (zh) * 2019-12-04 2022-03-08 四川虹微技术有限公司 一种基于深度学习的异常流量检测方法及系统
CN112019557A (zh) * 2020-09-02 2020-12-01 北京天融信网络安全技术有限公司 一种数据处理方法及装置
CN112383529A (zh) * 2020-11-09 2021-02-19 浙江大学 一种拟态waf中的对抗流量生成方法
CN112383528A (zh) * 2020-11-09 2021-02-19 浙江大学 一种拟态waf的执行体构建方法
CN112383528B (zh) * 2020-11-09 2021-09-24 浙江大学 一种拟态waf的执行体构建方法
CN114745143A (zh) * 2020-12-23 2022-07-12 息象(北京)科技发展有限公司 一种访问控制策略自动生成方法及装置
CN114944951A (zh) * 2022-05-18 2022-08-26 北京天融信网络安全技术有限公司 一种请求的处理方法及装置、拟态设备、存储介质
CN114944951B (zh) * 2022-05-18 2024-02-06 北京天融信网络安全技术有限公司 一种请求的处理方法及装置、拟态设备、存储介质

Also Published As

Publication number Publication date
CN109302421B (zh) 2021-05-18

Similar Documents

Publication Publication Date Title
CN109302421A (zh) 应用系统安全防护策略优化方法及装置
US11949706B2 (en) System and method for assigning threat valuations to network events and security events
US10104095B2 (en) Automatic stability determination and deployment of discrete parts of a profile representing normal behavior to provide fast protection of web applications
Garg et al. Statistical vertical reduction‐based data abridging technique for big network traffic dataset
US10084822B2 (en) Intrusion detection and prevention system and method for generating detection rules and taking countermeasures
CN107579956B (zh) 一种用户行为的检测方法和装置
US9032521B2 (en) Adaptive cyber-security analytics
Hassan Network intrusion detection system using genetic algorithm and fuzzy logic
WO2019006412A1 (en) CYBER SECURITY SYSTEM AND METHOD FOR DETECTING AND CORRELATING LOW INDICATORS FOR GENERATING STRONG INDICATORS
CN106850647B (zh) 基于dns请求周期的恶意域名检测算法
CN106961419A (zh) WebShell检测方法、装置及系统
AU2015403433A1 (en) System and method for high speed threat intelligence management using unsupervised machine learning and prioritization algorithms
CN112769833B (zh) 命令注入攻击的检测方法、装置、计算机设备和存储介质
CN105812200A (zh) 异常行为检测方法及装置
CN113904881B (zh) 一种入侵检测规则误报处理方法和装置
Fallahi et al. Automated flow-based rule generation for network intrusion detection systems
US10291632B2 (en) Filtering of metadata signatures
Gong et al. A neural network based intrusion detection data fusion model
El-Kadhi et al. A Mobile Agents and Artificial Neural Networks for Intrusion Detection.
Mishra et al. Efficient approaches for intrusion detection in cloud environment
US9621582B1 (en) Generating pharming alerts with reduced false positives
CN116170167A (zh) 一种网络安全监控方法、装置、电子设备和存储介质
Meng et al. A case study: Intelligent false alarm reduction using fuzzy if-then rules in network intrusion detection
Cormode et al. On signatures for communication graphs
CN116991680B (zh) 一种日志降噪方法及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant