CN111163097B - 一种Web应用防火墙的实现系统及方法 - Google Patents

一种Web应用防火墙的实现系统及方法 Download PDF

Info

Publication number
CN111163097B
CN111163097B CN201911410679.0A CN201911410679A CN111163097B CN 111163097 B CN111163097 B CN 111163097B CN 201911410679 A CN201911410679 A CN 201911410679A CN 111163097 B CN111163097 B CN 111163097B
Authority
CN
China
Prior art keywords
user
request
web
access log
intercepted
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911410679.0A
Other languages
English (en)
Other versions
CN111163097A (zh
Inventor
张帆
康宇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sina Technology China Co Ltd
Original Assignee
Sina Technology China Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sina Technology China Co Ltd filed Critical Sina Technology China Co Ltd
Priority to CN201911410679.0A priority Critical patent/CN111163097B/zh
Publication of CN111163097A publication Critical patent/CN111163097A/zh
Application granted granted Critical
Publication of CN111163097B publication Critical patent/CN111163097B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/104—Peer-to-peer [P2P] networks
    • H04L67/1044—Group management mechanisms 

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Theoretical Computer Science (AREA)
  • Debugging And Monitoring (AREA)

Abstract

一种Web应用防火墙的实现系统及方法，所述系统包括：Nginx系统，用于在用户的web请求转发给web应用服务器之后，将所述web请求的相关信息记录到访问日志中；检测系统，用于从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统；拦截系统，用于将检测系统发送的需要拦截的用户特征更新至本地的黑名单；检测新的web请求的用户特征是否命中黑名单，如果命中黑名单则拦截该web请求，如果没有命中则将该web请求转发给web应用服务器；本发明通过将检测系统分离到独立的集群中,即不影响web请求的响应时长,也影响服务的稳定性,还可以加载更复杂的检测模型。

Description

一种Web应用防火墙的实现系统及方法
技术领域
本发明涉及网络安全技术领域，尤其涉及一种Web应用防火墙的实现系统及方法。
背景技术
现有技术实现web应用防火墙通常是：负载均衡服务器收到用户发送的web请求，负载均衡服务器上的检测系统开始检测该Web请求是否正常,并将结果发给负载均衡服务器上的拦截系统，如果该web请求正常，拦截系统会放行该请求，将请求转发给应用服务器；否则会进行拦截，不进行转发。
综上所述：在现有技术中存在以下问题：
影响web请求的响应时长，一个正常的web请求会经过：负载均衡服务器、检测系统、拦截系统、应用服务器后才可以得到请求结果。其中最为耗时的为检测系统，因为该系统会加载多种模型对web请求进行检测。
影响业务方服务的稳定性，网络攻击的多样化导致检测系统的更新迭代比较频繁，如果检测系统出现问题导致系统崩溃，在这种串行的架构下，即使业务方的应用服务器在正常工作，也会导致用户的web请求失败。
检测能力有限，负载均衡服务器的硬件和软件都不以高性能计算为设计目的，所以不适合加载更多和更复杂的检测模型，这样不足以应对日益增多和变化频繁的网络攻击。
发明内容
为实现上述目的，本发明实施例提供一种Web应用防火墙的实现系统及方法，将检测系统分离到独立的集群中,改串行架构为并行架构,这样即可以不影响web请求的响应时长,也不会影响服务的稳定性,同时还可以加载更多更复杂的检测模型,增强防火墙的检测能力。
一方面，本发明实施例提供一种Web应用防火墙的实现系统，所述系统包括：
Nginx系统，用于在用户的web请求转发给web应用服务器之后，将所述web请求的相关信息记录到访问日志中，通过远程数据同步rsync工具将访问日志实时推送至分布式消息kafka队列中；以及，在接收到新的web请求时调用以插件形式加载的拦截系统；
检测系统，用于从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统；
拦截系统，用于将检测系统发送的需要拦截的用户特征更新至本地的黑名单；以及，在Nginx服务器的调用下，检测新的web请求的用户特征是否命中黑名单，如果命中黑名单则拦截该web请求，如果没有命中则将该web请求转发给web应用服务器。
另一方面，本发明实施例还提供一种Web应用防火墙的实现方法，所述方法包括：
Nginx系统在用户的web请求转发给web应用服务器之后，将所述web请求的相关信息记录到访问日志中，通过远程数据同步rsync工具将访问日志实时推送至分布式消息kafka队列中；检测系统从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统；拦截系统将检测系统发送的需要拦截的用户特征更新至本地的黑名单；
Nginx系统在接收到新的web请求时调用以插件形式加载的拦截系统，在Nginx服务器的调用下，拦截系统检测新的web请求的用户特征是否命中黑名单，如果命中黑名单则拦截该web请求，如果没有命中则将该web请求转发给web应用服务器。
上述技术方案具有如下有益效果：本发明通过将检测系统从串行架构中分离出来,改为并行架构,避免了影响业务服务的响应时长和稳定性。检测系统是web应用防火墙中最耗时,且会经常变更的部分。将其分离出来后,首先,可以减少用户等待返回结果的时间,其次,即使检测系统崩溃,也不会影响业务。同时本发明大幅度提高了系统的检测能力和检测速度。运行检测系统的Flink集群是一个专门提供分布式计算的平台,其计算能力可以弹性扩容,总体计算性能远高于负载均衡服务器。所以有足够的计算资源去加载更多和更复杂的检测模型，从而识别出更多的网络攻击行为,同时还可以保持一个较高的检测速度。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例的Web应用防火墙的实现系统的示意图；
图2是本发明实施例的Web应用防火墙的检测系统的结构图；
图3是本发明实施例的Web应用防火墙的实现方法的工作流程图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，为本发明实施例的一种Web应用防火墙的实现系统的示意图，所述系统包括：
Nginx系统21，用于在用户的web请求转发给web应用服务器之后，将所述web请求的相关信息记录到访问日志中，通过远程数据同步rsync工具将访问日志实时推送至分布式消息kafka队列中；以及，在接收到新的web请求时调用以插件形式加载的拦截系统；
检测系统22，用于从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统；
拦截系统23，用于将检测系统发送的需要拦截的用户特征更新至本地的黑名单；以及，在Nginx服务器的调用下，检测新的web请求的用户特征是否命中黑名单，如果命中黑名单则拦截该web请求，如果没有命中则将该web请求转发给web应用服务器。
优选地，所述Nginx系统21运行于负载均衡集群上，所述负载均衡集群由多台负载均衡服务器组成；所述检测系统22运行于分布式计算平台Flink集群上；所述Nginx系统21，还用于在将用户的web请求的相关信息记录到访问日志中之前，将web应用服务器针对所述web请求返回的结果数据转发给用户。
优选地，所述访问日志存储在负载均衡服务器的本地磁盘中；Nginx系统21以每个web请求单独记录为一行的方式，将用户的web请求的相关信息记录到访问日志中；其中，所述相关信息包括:请求时间、用户IP、请求域名、请求URL、请求总耗时、请求状态码、请求大小、用户代理User-Agent和用户的链接来源Referer。
优选地，如图2所示，所述检测系统22包括：
数据清洗模块221，用于对所述从Kafka队列读取的实时的访问日志进行预处理和数据清洗，所述预处理包括格式转换；
数据提取模块222，用于对所述预处理和数据清洗后的访问日志进行特征提取；
检测模块223，用于将提取的用户特征通过预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统。
优选地，其特征在于，所述检测系统22还包括：检测模型管理模块224，用于对离线存储的历史web请求的访问日志数据进行训练，获得机器学习的检测模型，并按照设定的时间周期更新所述检测模型。
如图3所示，为本发明实施例的Web应用防火墙的实现方法的工作流程图，所述方法包括：
Nginx系统在用户的web请求转发给web应用服务器之后，将所述web请求的相关信息记录到访问日志中，通过远程数据同步rsync工具将访问日志实时推送至分布式消息kafka队列中；检测系统从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统；拦截系统将检测系统发送的需要拦截的用户特征更新至本地的黑名单；
Nginx系统在接收到新的web请求时调用以插件形式加载的拦截系统，在Nginx服务器的调用下，拦截系统检测新的web请求的用户特征是否命中黑名单，如果命中黑名单则拦截该web请求，如果没有命中则将该web请求转发给web应用服务器。
优选地，所述Nginx系统运行于负载均衡集群上，所述负载均衡集群由多台负载均衡服务器组成；所述检测系统运行于分布式计算平台Flink集群上；所述Nginx系统在将用户的web请求的相关信息记录到访问日志中之前，将web应用服务器针对所述web请求返回的结果数据转发给用户。
优选地，所述访问日志存储在负载均衡服务器的本地磁盘中；Nginx系统以每个web请求单独记录为一行的方式，将用户的web请求的相关信息记录到访问日志中；其中，所述相关信息包括:请求时间、用户IP、请求域名、请求URL、请求总耗时、请求状态码、请求大小、用户代理User-Agent和用户的链接来源Referer。
优选地，所述检测系统从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，包括：对所述从Kafka队列读取的实时的访问日志进行预处理和数据清洗，所述预处理包括格式转换；对所述预处理和数据清洗后的访问日志进行特征提取；将提取的用户特征通过预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统。
优选地，所述检测模型通过以下步骤获取：对离线存储的历史web请求的访问日志数据进行训练，获得机器学习的检测模型，并按照设定的时间周期更新所述检测模型。
优选地，所述通过检测系统从Kafka队列读取实时的访问日志，包括：对所述从Kafka队列读取实时的访问日志的相关信息进行预处理和数据清洗；对所述预处理和数据清洗后的相关信息进行特征提取。
优选地，所述检测模型为通过离线存储的历史访问请求的访问日志数据训练出的机器学习模型，所述检测模型每天进行一次更新。
进一步地，所述预处理包括根据日志格式将每行日志还原为<日志字段名:值>键值对,并用json格式存储，所述数据清洗会剔除格式错误的日志和不需要关注的日志；对所述预处理后的数据进行统计来计算其特征，例如该用户过去1分钟的访问次数，过去1分钟每个url的访问次数和占比，过去1分钟每个ua的访问次数和占比，在过去60分钟中和过去1分钟访问url相似的访问行为出现过的分钟数等。
具体包括：将时间字段转换为unix时间戳，最后会添加原始字段的一些相关信息，例如ip的地理位置，ip是否为白名单，ip的运营商，user-agent类型。
一条原始日志
comment.sina.com.cn 219.156.40.134 0.002s[18/Dec/2019:15:07:19+0800]"GET/meme？callback＝jsonp_1576652841314&_＝1576652841314HTTP/1.1"200 1926"https://news.sina.com.cn/c/2019-12-18/doc-iihnzhfz6614523.shtml""Mozilla/5.0(Windows NT 6.1；WOW64)AppleWebKit/537.36(KHTML,like Gecko)Chrome/63.0.3239.132Safari/537.36"
预处理后的格式
{
"时间":1576652839,
"ip":"219.156.40.134",
"城市":"中国-河南-郑州",
"运营商":"联通",
"域名":"comment.sina.com.cn",
"url":"/meme？callback＝jsonp_1576652841314&_＝1576652841314",
"状态码":200,
"请求耗时":"0.002秒",
"请求大小":1926,
"referer":
"https://news.sina.com.cn/c/2019-12-18/doc-iihnzhfz6614523.shtml",
"user-agent":"Mozilla/5.0(Windows NT 6.1；WOW64)AppleWebKit/537.36(KHTML,like Gecko)Chrome/63.0.3239.132Safari/537.36",
"ua类型":"chrome"
}
进一步地，所述将提取的特征通过预设的检测模型进行检测包括：建立检测模型，所述检测模型为通过离线存储的历史访问请求的数据训练出的机器学习模型，所述检测模型每天进行一次更新，所述历史访问请求的数据为过去7天的历史数据；通过检测模型对所述特征进行检测，得到检测结果。
本发明的工作流程图如图3所述，本发明的技术方案主要由以下三部分组成:
1、数据采集
数据采集于Nginx的访问日志，该日志包含了用户web请求的相关信息，可以此还原用户当时的访问行为。从用户发起web请求到记录至访问日志会经历如下步骤：
(1)用户的web请求到达负载均衡服务器，服务器上的Nginx收到请求后开始处理。
(2)Nginx根据web请求内容进行一些预处理，然后转发给相应的web应用服务器。
(3)Nginx等web应用服务器返回结果后，将该结果数据返回给用户。
(4)Nginx将web请求的相关内容记录到访问日志中。每个web请求会被单独记录为一行，记录的内容可以自定义，一般都会包含这些字段：时间、用户IP、域名、URL、请求总耗时、请求状态码、请求大小、用户的User-Agent、用户的Referer。
其中，访问日志存储在服务器的本地磁盘上，一个负载均衡集群会由多台服务器组成，为了集中获取所有服务器的日志，我们通过rsync工具将访问日志实时推送到kafka队列中，这样就可从kafka实时获取所有机器的访问日志。
2、检测系统
检测系统运行于分布式计算平台Flink集群上，由Java语言编写。检测系统主要工作流程如下：
(1)检测系统从Kafka队列读取实时日志，然后对日志做一些格式转换的预处理和数据清洗。
(2)对预处理后的数据计算相关特征，然后由预设的检测模型判断该用户是否需要拦截。
(3)如果需要拦截，则将需要拦截的用户特征下发至拦截系统。
3、拦截系统
拦截系统由LUA语言编写，Nginx以插件的形式加载该系统。该系统主要功能为：
(1)接收检测系统发送的消息，将需要拦截的用户特征更新至本地的黑名单。
(2)判断web请求是否需要拦截，Nginx每次接收到新的web请求后，在转发给web应用服务器之前，都会先调用该插件检测该web请求的用户特征是否命中黑名单，如果命中黑名单则进行拦截，没有命中则转发给web应用服务器。
本发明的情况是：
用户在第一次访问的时候，直接通过；
收集第一次的访问记录，在后台运行，分析是否需要加入到黑名单中；
A：加入到黑名单中，在用户进行第二次访问的时候，直接拦截。
B：不在黑名单中，在用户进行第二次访问的时候，直接通过；
收集第二次的访问记录，在后台运行，分析是否需要加入到黑名单中；
当用户第三次访问的时候，重复进行A和B。
其中，上述的这两种功能是并行运行的，互不影响。
应该明白，公开的过程中的步骤的特定顺序或层次是示例性方法的实例。基于设计偏好，应该理解，过程中的步骤的特定顺序或层次可以在不脱离本公开的保护范围的情况下得到重新安排。所附的方法权利要求以示例性的顺序给出了各种步骤的要素，并且不是要限于所述的特定顺序或层次。
以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种Web应用防火墙的实现系统，其特征在于，所述系统包括：
Nginx系统，用于在用户的web请求转发给web应用服务器之后，将所述web请求的相关信息记录到访问日志中，通过远程数据同步rsync工具将访问日志实时推送至分布式消息kafka队列中；以及，在接收到新的web请求时调用以插件形式加载的拦截系统；以及，在将用户的web请求的相关信息记录到访问日志中之前，将web应用服务器针对所述web请求返回的结果数据转发给用户；
检测系统，用于从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统；
拦截系统，用于将检测系统发送的需要拦截的用户特征更新至本地的黑名单；以及，在Nginx服务器的调用下，检测新的web请求的用户特征是否命中黑名单，如果命中黑名单则拦截该web请求，如果没有命中则将该web请求转发给web应用服务器；
所述Nginx系统运行于负载均衡集群上，所述负载均衡集群由多台负载均衡服务器组成；所述检测系统运行于分布式计算平台Flink集群上，以使所述检测系统分离到独立的集群中形成并行架构。
2.如权利要求1所述的web应用防火墙的实现系统，其特征在于，所述访问日志存储在负载均衡服务器的本地磁盘中；Nginx系统以每个web请求单独记录为一行的方式，将用户的web请求的相关信息记录到访问日志中；其中，所述相关信息包括:请求时间、用户IP、请求域名、请求URL、请求总耗时、请求状态码、请求大小、用户代理User-Agent和用户的链接来源Referer。
3.如权利要求1所述的web应用防火墙的实现系统，其特征在于，所述检测系统包括：
数据清洗模块，用于对所述从Kafka队列读取的实时的访问日志进行预处理和数据清洗，所述预处理包括格式转换；
数据提取模块，用于对所述预处理和数据清洗后的访问日志进行特征提取；
检测模块，用于将提取的用户特征通过预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统。
4.如权利要求1所述的web应用防火墙的实现系统，其特征在于，所述检测系统还包括：
检测模型管理模块，用于对离线存储的历史web请求的访问日志数据进行训练，获得机器学习的检测模型，并按照设定的时间周期更新所述检测模型。
5.一种Web应用防火墙的实现方法，其特征在于，所述方法包括：
Nginx系统在用户的web请求转发给web应用服务器之后，将所述web请求的相关信息记录到访问日志中，通过远程数据同步rsync工具将访问日志实时推送至分布式消息kafka队列中；在将用户的web请求的相关信息记录到访问日志中之前，将web应用服务器针对所述web请求返回的结果数据转发给用户；
检测系统从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统；拦截系统将检测系统发送的需要拦截的用户特征更新至本地的黑名单；
Nginx系统在接收到新的web请求时调用以插件形式加载的拦截系统，在Nginx服务器的调用下，拦截系统检测新的web请求的用户特征是否命中黑名单，如果命中黑名单则拦截该web请求，如果没有命中则将该web请求转发给web应用服务器；
所述Nginx系统运行于负载均衡集群上，所述负载均衡集群由多台负载均衡服务器组成；所述检测系统运行于分布式计算平台Flink集群上，以使所述检测系统分离到独立的集群中形成并行架构。
6.如权利要求5所述的web应用防火墙的实现方法，其特征在于，所述访问日志存储在负载均衡服务器的本地磁盘中；Nginx系统以每个web请求单独记录为一行的方式，将用户的web请求的相关信息记录到访问日志中；其中，所述相关信息包括:请求时间、用户IP、请求域名、请求URL、请求总耗时、请求状态码、请求大小、用户代理User-Agent和用户的链接来源Referer。
7.如权利要求5所述的web应用防火墙的实现方法，其特征在于，所述检测系统从Kafka队列读取实时的访问日志，根据预设的检测模型判断用户是否需要拦截，包括：
对所述从Kafka队列读取的实时的访问日志进行预处理和数据清洗，所述预处理包括格式转换；
对所述预处理和数据清洗后的访问日志进行特征提取；
将提取的用户特征通过预设的检测模型判断用户是否需要拦截，如果需要拦截，则将需要拦截的用户特征下发至拦截系统。
8.如权利要求5所述的web应用防火墙的实现方法，其特征在于，所述检测模型通过以下步骤获取：
对离线存储的历史web请求的访问日志数据进行训练，获得机器学习的检测模型，并按照设定的时间周期更新所述检测模型。
CN201911410679.0A 2019-12-31 2019-12-31 一种Web应用防火墙的实现系统及方法 Active CN111163097B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911410679.0A CN111163097B (zh) 2019-12-31 2019-12-31 一种Web应用防火墙的实现系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911410679.0A CN111163097B (zh) 2019-12-31 2019-12-31 一种Web应用防火墙的实现系统及方法

Publications (2)

Publication Number Publication Date
CN111163097A CN111163097A (zh) 2020-05-15
CN111163097B true CN111163097B (zh) 2022-03-22

Family

ID=70559910

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911410679.0A Active CN111163097B (zh) 2019-12-31 2019-12-31 一种Web应用防火墙的实现系统及方法

Country Status (1)

Country Link
CN (1) CN111163097B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112165460B (zh) * 2020-09-10 2023-07-25 杭州安恒信息技术股份有限公司 流量检测方法、装置、计算机设备和存储介质
CN112448948B (zh) * 2020-11-12 2023-04-18 平安普惠企业管理有限公司 一种防火墙开通结果验证方法、装置、设备及存储介质
CN113206797A (zh) * 2021-05-07 2021-08-03 上海微盟企业发展有限公司 一种流量控制方法、装置、电子设备和存储介质
CN115277043A (zh) * 2022-05-11 2022-11-01 北京中安星云软件技术有限公司 一种实现api审计防火墙的方法及系统
CN115865487B (zh) * 2022-11-30 2024-06-04 四川启睿克科技有限公司 一种具有隐私保护功能的异常行为分析方法和装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8555062B1 (en) * 2001-03-26 2013-10-08 Access Co., Ltd. Protocol to prevent replay attacks on secured wireless transactions
CN104079528A (zh) * 2013-03-26 2014-10-01 北大方正集团有限公司 一种Web应用的安全防护方法及系统
CN105306465B (zh) * 2015-10-30 2019-01-18 新浪网技术(中国)有限公司 网站安全访问实现方法及装置
CN107222472A (zh) * 2017-05-26 2017-09-29 电子科技大学 一种Hadoop集群下的用户行为异常检测方法
CN108234462A (zh) * 2017-12-22 2018-06-29 杭州安恒信息技术有限公司 一种基于云防护的智能拦截威胁ip的方法
CN108449342B (zh) * 2018-03-20 2020-11-27 北京云站科技有限公司 恶意请求检测方法及装置
CN109688097B (zh) * 2018-09-07 2023-03-24 平安科技（深圳）有限公司 网站防护方法、网站防护装置、网站防护设备及存储介质
CN110290114B (zh) * 2019-06-04 2020-09-08 武汉大学 一种基于预警信息的漏洞自动化防护方法及系统
CN110347501A (zh) * 2019-06-20 2019-10-18 北京大米科技有限公司 一种业务检测方法、装置、存储介质及电子设备

Also Published As

Publication number Publication date
CN111163097A (zh) 2020-05-15

Similar Documents

Publication Publication Date Title
CN111163097B (zh) 一种Web应用防火墙的实现系统及方法
CN109600258B (zh) 工业协议报文记录装置及方法
US10735270B1 (en) Computer-based systems configured for network modelling and monitoring using programming object bindings and methods of use thereof
EP3085023B1 (en) Communications security
CN107026760A (zh) 一种故障修复方法及监控节点
CN111740868B (zh) 告警数据的处理方法和装置及存储介质
CN112491784A (zh) Web网站的请求处理方法及装置、计算机可读存储介质
CN109656792A (zh) 基于网络调用日志的应用性能分析方法、装置、计算机设备及存储介质
CN109241733A (zh) 基于Web访问日志的爬虫行为识别方法及装置
CN105589782A (zh) 基于浏览器的用户行为采集方法
CN112039701A (zh) 接口调用监控方法、装置、设备及存储介质
US10775751B2 (en) Automatic generation of regular expression based on log line data
CN105069029B (zh) 一种实时etl系统及方法
CN106559498A (zh) 风控数据收集平台及其收集方法
CN113934621A (zh) 模糊测试方法、系统、电子设备及介质
CN109409948B (zh) 交易异常检测方法、装置、设备及计算机可读存储介质
US20090138511A1 (en) Service access exception tracking for regulatory compliance of business processes
CN112506954A (zh) 数据库审计方法和装置
CN114895879B (zh) 管理系统设计方案确定方法、装置、设备及存储介质
CN113778709B (zh) 接口调用方法、装置、服务器及存储介质
US7653742B1 (en) Defining and detecting network application business activities
CN114760083B (zh) 一种攻击检测文件的发布方法、装置及存储介质
US20040111706A1 (en) Analysis of latencies in a multi-node system
CN109685662A (zh) 投资数据处理方法、装置、计算机设备及其存储介质
US20200099788A1 (en) Context data management interface for contact center

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20230414

Address after: Room 501-502, 5/F, Sina Headquarters Scientific Research Building, Block N-1 and N-2, Zhongguancun Software Park, Dongbei Wangxi Road, Haidian District, Beijing, 100193

Patentee after: Sina Technology (China) Co.,Ltd.

Address before: 100193 7th floor, scientific research building, Sina headquarters, plot n-1, n-2, Zhongguancun Software Park, Dongbei Wangxi Road, Haidian District, Beijing, 100193

Patentee before: Sina.com Technology (China) Co.,Ltd.