CN111985192A - 一种Web攻击报告生成方法、装置、设备及计算机介质 - Google Patents
一种Web攻击报告生成方法、装置、设备及计算机介质 Download PDFInfo
- Publication number
- CN111985192A CN111985192A CN202011040471.7A CN202011040471A CN111985192A CN 111985192 A CN111985192 A CN 111985192A CN 202011040471 A CN202011040471 A CN 202011040471A CN 111985192 A CN111985192 A CN 111985192A
- Authority
- CN
- China
- Prior art keywords
- target
- web
- alarm log
- determining
- word frequency
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 48
- 230000011218 segmentation Effects 0.000 claims description 64
- 238000004590 computer program Methods 0.000 claims description 41
- 238000000605 extraction Methods 0.000 claims description 7
- 230000000875 corresponding effect Effects 0.000 description 37
- 238000005516 engineering process Methods 0.000 description 8
- 238000004891 communication Methods 0.000 description 7
- 238000001514 detection method Methods 0.000 description 7
- 238000010586 diagram Methods 0.000 description 5
- 239000000243 solution Substances 0.000 description 5
- 238000004458 analytical method Methods 0.000 description 4
- 238000004364 calculation method Methods 0.000 description 3
- 238000012512 characterization method Methods 0.000 description 1
- 230000007123 defense Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 230000018109 developmental process Effects 0.000 description 1
- 238000002347 injection Methods 0.000 description 1
- 239000007924 injection Substances 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F40/00—Handling natural language data
- G06F40/10—Text processing
- G06F40/166—Editing, e.g. inserting or deleting
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F40/00—Handling natural language data
- G06F40/20—Natural language analysis
- G06F40/205—Parsing
- G06F40/216—Parsing using statistical methods
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F40/00—Handling natural language data
- G06F40/20—Natural language analysis
- G06F40/279—Recognition of textual entities
- G06F40/289—Phrasal analysis, e.g. finite state techniques or chunking
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Artificial Intelligence (AREA)
- Audiology, Speech & Language Pathology (AREA)
- Computational Linguistics (AREA)
- General Health & Medical Sciences (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Probability & Statistics with Applications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本申请公开了一种Web攻击报告生成方法、装置、设备及介质，获取Web告警日志数据；基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志；基于目标Web告警日志生成目标Web攻击报告。本申请中，基于Web告警日志数据中的词频数，识别出相似的目标Web告警日志，由于相似的目标Web告警日志反映了Web攻击特性，所以基于目标Web告警日志生成目标Web攻击报告的话，可以借助目标Web攻击报告反映Web攻击特征，与人工生成Web攻击报告相比，效率及准确性高，适用性好。本申请提供的一种Web攻击报告生成装置、设备及计算机可读存储介质也解决了相应技术问题。
Description
技术领域
本申请涉及网络安全技术领域，更具体地说，涉及一种Web攻击报告生成方法、装置、设备及计算机介质。
背景技术
随着Web(World Wide Web，万维网)技术的发展，越来越多的应用依据Web平台来架设，Web安全也成为继操作系统与业务软件安全之后的又一热点。在Web技术的应用过程中，为了获知Web攻击的信息，需要生成Web攻击报告，比如人工获取Web告警日志数据，对Web告警日志数据进行分析比较，生成相应的Web攻击报告。
然而，借助人工生成Web攻击报告耗时耗力，效率低下且准确性较差，并不能适用于具体应用场景。
综上所述，如何提高Web攻击报告生成方法的适用性是目前本领域技术人员亟待解决的问题。
发明内容
本申请的目的是提供一种Web攻击报告生成方法，其能在一定程度上解决如何提高Web攻击报告生成方法的适用性的技术问题。本申请还提供了一种Web攻击报告生成装置、设备及计算机可读存储介质。
为了实现上述目的，本申请提供如下技术方案：
一种Web攻击报告生成方法，包括：
获取Web告警日志数据；
基于所述Web告警日志数据中的词频数，识别出所述Web告警日志数据中相似的目标Web告警日志；
基于所述目标Web告警日志生成目标Web攻击报告。
优选的，所述基于所述Web告警日志数据中的词频数，识别出所述Web告警日志数据中相似的目标Web告警日志，包括：
对于所述Web告警日志数据中的任意两条原始Web告警日志，对两条所述原始Web告警日志进行分词，得到初始分词数据；
确定所述初始分词数据的类型数；
基于所述原始Web告警日志命中的所述初始分词数据的数量及所述类型数，确定目标词频数；
基于所述目标词频数计算两条所述原始Web告警日志的目标相似度值；
判断所述目标相似度值是否大于第一预设相似度值；
若所述目标相似度值大于所述第一预设相似度值，则将两条所述原始Web告警日志确定为所述目标告警日志。
优选的，所述对两条所述原始Web告警日志进行分词，得到初始分词数据，包括：
按照预设告警特征类型对两条所述原始Web告警日志进行特征提取，得到目标特征；
对所述目标特征进行分词，得到所述初始分词数据。
优选的，所述确定所述初始分词数据的类型数，所述基于所述原始Web告警日志命中的所述初始分词数据及所述类型数，确定目标词频数，包括：
对于每个所述目标特征，确定所述目标特征对应的所述初始分词数据的第一类型数，确定所述原始Web告警日志命中的与所述目标特征对应的所述初始分词数据的第一数量，将所述第一数量与所述第一类型数的比值确定为所述目标特征对应的词频数；
将所有所述目标特征对应的词频数作为所述目标词频数；
所述基于所述目标词频数计算两条所述原始Web告警日志的目标相似度值，包括：
确定各个所述目标特征表征Web告警日志相似的权重值；
基于所述目标词频数及所述权重值确定所述目标相似度值。
优选的，所述确定各个所述目标特征表征Web告警日志相似的权重值，包括：
确定各个所述目标特征表征Web告警日志相似的加权权重值；
所述基于所述目标词频数及所述权重值确定所述目标相似度值，包括：
将所述目标词频数及所述加权权重值的加权结果确定为所述目标相似度值。
优选的，所述预设告警特征类型包括：风险级别、风险名称、攻击IP、攻击端口、攻击地理位置、被攻击IP、被攻击端口、被攻击地理位置、协议类型。
优选的，所述基于所述目标Web告警日志生成目标Web攻击报告，包括：
确定所述目标Web告警日志的相似等级；
基于所述目标Web告警日志，生成等级与所述相似等级对应的所述目标Web攻击报告。
一种Web攻击报告生成装置，包括：
第一获取模块，用于获取Web告警日志数据；
第一识别模块，用于基于所述Web告警日志数据中的词频数，识别出所述Web告警日志数据中相似的目标Web告警日志；
第一生成模块，用于基于所述目标Web告警日志生成目标Web攻击报告。
一种Web攻击报告生成设备，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如上任一所述Web攻击报告生成方法的步骤。
一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现如上任一所述Web攻击报告生成方法的步骤。
本申请提供的一种Web攻击报告生成方法，获取Web告警日志数据；基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志；基于目标Web告警日志生成目标Web攻击报告。本申请中，基于Web告警日志数据中的词频数，识别出相似的目标Web告警日志，由于相似的目标Web告警日志反映了Web攻击特性，所以基于目标Web告警日志生成目标Web攻击报告的话，可以借助目标Web攻击报告反映Web攻击特征，与人工生成Web攻击报告相比，效率及准确性高，适用性好。本申请提供的一种Web攻击报告生成装置、设备及计算机可读存储介质也解决了相应技术问题。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请实施例提供的一种Web攻击报告生成方法的流程图；
图2为本申请实施例中目标Web告警日志的确定流程图；
图3为本申请实施例提供的一种Web攻击报告生成装置的结构示意图；
图4为本申请实施例提供的一种Web攻击报告生成设备的结构示意图；
图5为本申请实施例提供的一种Web攻击报告生成设备的另一结构示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
请参阅图1，图1为本申请实施例提供的一种Web攻击报告生成方法的流程图。
本申请实施例提供的一种Web攻击报告生成方法，可以包括以下步骤：
步骤S101：获取Web告警日志数据。
实际应用中，可以先获取Web告警日志数据，Web告警日志数据也即在Web攻击防御中生成的相应告警日志数据，其可以根据实际需要确定。具体应用场景中，可以通过日志采集工具来获取Web告警日志数据。
应当指出，本申请中，为了对特定IP或特定网站的Web攻击进行分析，本申请中获取的Web告警日志数据可以为特定IP对应的Web告警日志数据或者为特定网站对应的Web告警日志数据等。
步骤S102：基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志。
实际应用中，Web告警日志数据中的告警日志的数量可能较多，如果对单个Web告警日志进行分析来生成Web攻击报告的话，可能生成与每次Web攻击相对应的Web攻击报告，但单次的Web攻击报告无法反映Web攻击特性，为了使得Web攻击报告能够反映Web攻击特性，可以基于Web告警日志数据中的相似Web告警日志来生成Web攻击日志，此外，因为相似Web告警日志中的词较为相似，所以在获取Web告警日志数据之后，可以基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志，词频数也即Web告警日志中某个词的频数占总词数的比例。
步骤S103：基于目标Web告警日志生成目标Web攻击报告。
实际应用中，在基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志之后，便可以基于目标Web告警日志生成目标Web攻击报告，以借助目标Web攻击报告反映某类Web攻击特性。
具体应用场景中，可以从攻击概述(攻击IP信息、攻击目标信息)、攻击频次分析、攻击源IP分析、被攻击目标分析、攻击指纹分析、处置建议等维度来生成Web攻击报告，且后续还可以将目标Web攻击报告发送给管理端，以便管理人员借助管理端查看、应用目标Web攻击报告等。
本申请提供的一种Web攻击报告生成方法，获取Web告警日志数据；基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志；基于目标Web告警日志生成目标Web攻击报告。本申请中，基于Web告警日志数据中的词频数，识别出相似的目标Web告警日志，由于相似的目标Web告警日志反映了Web攻击特性，所以基于目标Web告警日志生成目标Web攻击报告的话，可以借助目标Web攻击报告反映Web攻击特征，与人工生成Web攻击报告相比，效率及准确性高，适用性好。
请参阅图2，图2为本申请实施例中目标Web告警日志的确定流程图。
本申请实施例提供的一种Web攻击报告生成方法中，基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志的过程，可以包括以下步骤：
步骤S201：对于Web告警日志数据中的任意两条原始Web告警日志，对两条原始Web告警日志进行分词，得到初始分词数据。
实际应用中，为了计算词频数，对于Web告警日志数据中的任意两条原始Web告警日志，可以先对两条原始Web告警日志进行分词，得到初始分词数据。分词方法可以根据实际需要，本申请在此不做具体限定。
为了便于理解，假设原始Web告警日志A包含与风险名称对应的内容“【ID：8010】WEB特征检测(dedecms注入poc)”，原始Web告警日志B包含与风险名称对应的内容“【ID：6021】WEB特征检测(thinkphp框架代码执行漏洞)”，则对原始Web告警日志A进行分词后，得到的初始分词数据可以为：【ID：8010】、WEB特征检测、(dedecms注入poc)；对原始Web告警日志B进行分词后，得到的初始分词数据可以为：【ID：6021】、WEB特征检测、(thinkphp框架代码执行漏洞)。
步骤S202：确定初始分词数据的类型数。
实际应用中，在计算词频数的过程中，需要确定总词数，也即需要确定分词的总数量，在本申请中，可以将初始分词数据的类型数作为总次数。
仍以上述原始Web告警日志A和原始Web告警日志B为例，两个告警日志的所有类型的初始分词为：【ID：8010】、【ID：6021】、WEB特征检测、(dedecms注入poc)、(thinkphp框架代码执行漏洞)，总类型数为5。
步骤S203：基于原始Web告警日志命中的初始分词数据的数量及类型数，确定目标词频数。
实际应用中，在确定初始分词数据的类型数之和，便可以基于原始Web告警日志命中的初始分词数据的数量及类型数，确定目标词频数，具体的，可以先单独计算每个原始Web告警日志的初始词频数，再根据两个初始词频数确定目标词频数，比如将两个初始词频数的平均值确定为目标词频数，将最大的初始词频数确定为目标词频数等，当然，也可以有其他确定目标词频数的方法，本申请在此不做具体限定。
仍以上述原始Web告警日志A和原始Web告警日志B为例，原始Web告警日志A在所有初始分词中的命中情况为：【ID：8010】1，【ID：6021】0，WEB特征检测1，(dedecms注入poc)1，(thinkphp框架代码执行漏洞)0，其中1表示命中，0表示未命中，所以原始Web告警日志A的初始词频数为：(1+0+1+1+0)/5＝0.6；同理，原始Web告警日志B在所有初始分词中的命中情况为：【ID：8010】0，【ID：6021】1，WEB特征检测1，(dedecms注入poc)0，(thinkphp框架代码执行漏洞)1，其中1表示命中，0表示未命中，所以原始Web告警日志B的初始词频数为：(0+1+1+0+1)/5＝0.6；之后，可以将0.6作为原始Web告警日志A和原始Web告警日志B的目标词频数。
步骤S204：基于目标词频数计算两条原始Web告警日志的目标相似度值。
实际应用中，在基于原始Web告警日志命中的初始分词数据的数量及类型数，确定目标词频数之后，便可以基于目标词频数计算两条原始Web告警日志的目标相似度值。
具体应用场景中，因为Web告警日志中反映的Web攻击信息的类型可能不同，此时不同类型的Web告警日志的分词方式可能不同，如果将不同类型的Web告警日志按照同样的分词方式进行分词的话，可能会影响目标词频数的计算，进而影响后续相似的目标Web告警日志的判断，为了避免此种情况，在对两条原始Web告警日志进行分词，得到初始分词数据的过程中，可以按照预设告警特征类型对两条原始Web告警日志进行特征提取，得到目标特征；对目标特征进行分词，得到初始分词数据。具体的，可以通过正则匹配的方式来按照预设告警特征类型对两条原始Web告警日志进行特征提取，得到目标特征等。
应当指出，预设告警特征类型可以根据实际需要确定，比如预设告警特征类型可以包括：风险级别、风险名称、攻击IP、攻击端口、攻击地理位置、被攻击IP、被攻击端口、被攻击地理位置、协议类型等。
具体应用场景中，在确定初始分词数据的类型数，基于原始Web告警日志命中的初始分词数据及类型数，确定目标词频数的过程中，对于每个目标特征，确定目标特征对应的初始分词数据的第一类型数，确定原始Web告警日志命中的与目标特征对应的初始分词数据的第一数量，将第一数量与第一类型数的比值确定为目标特征对应的词频数；将所有目标特征对应的词频数作为目标词频数；相应的，在基于目标词频数计算两条原始Web告警日志的目标相似度值的过程中，可以确定各个目标特征表征Web告警日志相似的权重值；基于目标词频数及权重值确定目标相似度值。
具体的，确定各个目标特征表征Web告警日志相似的权重值的过程，可以具体为：确定各个目标特征表征Web告警日志相似的加权权重值；相应的，基于目标词频数及权重值确定目标相似度值的过程，可以具体为：将目标词频数及加权权重值的加权结果确定为目标相似度值。
比如各个目标特征的加权权重值分别如表1所示，则目标相似度值可以为：(风险级别*0.5+风险名称*0.9+攻击IP*1+攻击端口*0.5+攻击地理位置*0.8+被攻击IP*1+被攻击端口*0.5+被攻击地理位置0.8+协议类型*0.8+描述*0.8+请求内容*0.8+风险相关信息*0.8)/8.3。
表1目标特征的加权权重值表
| 目标特征 | 加权权重值 |
| 风险级别 | 0.2 |
| 风险名称 | 0.9 |
| 攻击IP | 1 |
| 攻击端口 | 0.5 |
| 攻击地理位置 | 0.8 |
| 被攻击IP | 1 |
| 被攻击端口 | 0.5 |
| 被攻击地理位置 | 0.8 |
| 协议类型 | 0.8 |
| 描述 | 0.8 |
| 请求内容 | 0.8 |
| 风险相关信息 | 0.8 |
| 总分值 | 8.3 |
步骤S205：判断目标相似度值是否大于第一预设相似度值；若目标相似度值大于第一预设相似度值，则执行步骤S206。
步骤S206：将两条原始Web告警日志确定为目标告警日志。
实际应用中，在基于目标词频数计算两条原始Web告警日志的目标相似度值之后，便可以判断目标相似度值是否大于第一预设相似度值；若目标相似度值大于第一预设相似度值，则将两条原始Web告警日志确定为目标告警日志。第一预设相似度值的值可以根据实际需要确定，比如第一预设相似度值可以为0.5，则目标相似度值大于0.5时，便可以判定两条原始Web告警日志为目标告警日志。
本申请实施例提供的一种Web攻击报告生成方法中，在基于目标Web告警日志生成目标Web攻击报告的过程中，可以确定目标Web告警日志的相似等级；基于目标Web告警日志，生成等级与相似等级对应的目标Web攻击报告。
实际应用中，在确定目标Web告警日志的相似等级的过程中，可以根据目标相似度值的大小来确定目标Web告警日志的相似等级，比如在上述目标相似度值大于第一预设相似度值小于第二预设相似度值的情况下，可以将目标Web告警日志的相似等级确定为1，而当目标相似度值大于第二预设相似度值的情况下，可以将目标Web告警日志的相似等级确定为2，第二预设相似度值可以为0.8等。相应的，在基于目标Web告警日志，生成等级与相似等级对应的目标Web攻击报告的过程中，当相似等级为1时，可以生成等级为一般事件的目标Web攻击报告，而当相似等级为2时，可以生成等级为重要事件的目标Web攻击报告等。
请参阅图3，图3为本申请实施例提供的一种Web攻击报告生成装置的结构示意图。
本申请实施例提供的一种Web攻击报告生成装置，可以包括：
第一获取模块101，用于获取Web告警日志数据；
第一识别模块102，用于基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志；
第一生成模块103，用于基于目标Web告警日志生成目标Web攻击报告。
本申请实施例提供的一种Web攻击报告生成装置，第一识别模块可以包括：
第一分词子模块，用于对于Web告警日志数据中的任意两条原始Web告警日志，对两条原始Web告警日志进行分词，得到初始分词数据；
第一确定子模块，用于确定初始分词数据的类型数；基于原始Web告警日志命中的初始分词数据的数量及类型数，确定目标词频数；
第一计算子模块，用于基于目标词频数计算两条原始Web告警日志的目标相似度值；
第一判断子模块，用于判断目标相似度值是否大于第一预设相似度值；若目标相似度值大于第一预设相似度值，则将两条原始Web告警日志确定为目标告警日志。
本申请实施例提供的一种Web攻击报告生成装置，第一分子子模块可以包括：
第一提取单元，用于按照预设告警特征类型对两条原始Web告警日志进行特征提取，得到目标特征；
第一分词单元，用于对目标特征进行分词，得到初始分词数据。
本申请实施例提供的一种Web攻击报告生成装置，第一确定子模块可以包括：
第一确定单元，用于对于每个目标特征，确定目标特征对应的初始分词数据的第一类型数，确定原始Web告警日志命中的与目标特征对应的初始分词数据的第一数量，将第一数量与第一类型数的比值确定为目标特征对应的词频数；
第二确定单元，用于将所有目标特征对应的词频数作为目标词频数；
第一计算子模块可以包括：
第三确定单元，用于确定各个目标特征表征Web告警日志相似的权重值；
第四确定单元，用于基于目标词频数及权重值确定目标相似度值。
本申请实施例提供的一种Web攻击报告生成装置，第三确定单元具体用于：确定各个目标特征表征Web告警日志相似的加权权重值；
第四确定单元具体用于：将目标词频数及加权权重值的加权结果确定为目标相似度值。
本申请实施例提供的一种Web攻击报告生成装置，预设告警特征类型包括：风险级别、风险名称、攻击IP、攻击端口、攻击地理位置、被攻击IP、被攻击端口、被攻击地理位置、协议类型。
本申请实施例提供的一种Web攻击报告生成装置，第一生成模块可以包括：
第五确定单元，用于确定目标Web告警日志的相似等级；
第一生成单元，用于基于目标Web告警日志，生成等级与相似等级对应的目标Web攻击报告。
本申请还提供了一种Web攻击报告生成设备及计算机可读存储介质，其均具有本申请实施例提供的一种Web攻击报告生成方法具有的对应效果。请参阅图4，图4为本申请实施例提供的一种Web攻击报告生成设备的结构示意图。
本申请实施例提供的一种Web攻击报告生成设备，包括存储器201和处理器202，存储器201中存储有计算机程序，处理器202执行计算机程序时实现如下步骤：
获取Web告警日志数据；
基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志；
基于目标Web告警日志生成目标Web攻击报告。
本申请实施例提供的一种Web攻击报告生成设备，包括存储器201和处理器202，存储器201中存储有计算机程序，处理器202执行计算机程序时实现如下步骤：对于Web告警日志数据中的任意两条原始Web告警日志，对两条原始Web告警日志进行分词，得到初始分词数据；确定初始分词数据的类型数；基于原始Web告警日志命中的初始分词数据的数量及类型数，确定目标词频数；基于目标词频数计算两条原始Web告警日志的目标相似度值；判断目标相似度值是否大于第一预设相似度值；若目标相似度值大于第一预设相似度值，则将两条原始Web告警日志确定为目标告警日志。
本申请实施例提供的一种Web攻击报告生成设备，包括存储器201和处理器202，存储器201中存储有计算机程序，处理器202执行计算机程序时实现如下步骤：按照预设告警特征类型对两条原始Web告警日志进行特征提取，得到目标特征；对目标特征进行分词，得到初始分词数据。
本申请实施例提供的一种Web攻击报告生成设备，包括存储器201和处理器202，存储器201中存储有计算机程序，处理器202执行计算机程序时实现如下步骤：对于每个目标特征，确定目标特征对应的初始分词数据的第一类型数，确定原始Web告警日志命中的与目标特征对应的初始分词数据的第一数量，将第一数量与第一类型数的比值确定为目标特征对应的词频数；将所有目标特征对应的词频数作为目标词频数；确定各个目标特征表征Web告警日志相似的权重值；基于目标词频数及权重值确定目标相似度值。
本申请实施例提供的一种Web攻击报告生成设备，包括存储器201和处理器202，存储器201中存储有计算机程序，处理器202执行计算机程序时实现如下步骤：确定各个目标特征表征Web告警日志相似的加权权重值；将目标词频数及加权权重值的加权结果确定为目标相似度值。
本申请实施例提供的一种Web攻击报告生成设备，包括存储器201和处理器202，存储器201中存储有计算机程序，处理器202执行计算机程序时实现如下步骤：预设告警特征类型包括：风险级别、风险名称、攻击IP、攻击端口、攻击地理位置、被攻击IP、被攻击端口、被攻击地理位置、协议类型。
本申请实施例提供的一种Web攻击报告生成设备，包括存储器201和处理器202，存储器201中存储有计算机程序，处理器202执行计算机程序时实现如下步骤：确定目标Web告警日志的相似等级；基于目标Web告警日志，生成等级与相似等级对应的目标Web攻击报告。
请参阅图5，本申请实施例提供的另一种Web攻击报告生成设备中还可以包括：与处理器202连接的输入端口203，用于传输外界输入的命令至处理器202；与处理器202连接的显示单元204，用于显示处理器202的处理结果至外界；与处理器202连接的通信模块205，用于实现Web攻击报告生成设备与外界的通信。显示单元204可以为显示面板、激光扫描使显示器等；通信模块205所采用的通信方式包括但不局限于移动高清链接技术(HML)、通用串行总线(USB)、高清多媒体接口(HDMI)、无线连接：无线保真技术(WiFi)、蓝牙通信技术、低功耗蓝牙通信技术、基于IEEE802.11s的通信技术。
本申请实施例提供的一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，计算机程序被处理器执行时实现如下步骤：
获取Web告警日志数据；
基于Web告警日志数据中的词频数，识别出Web告警日志数据中相似的目标Web告警日志；
基于目标Web告警日志生成目标Web攻击报告。
本申请实施例提供的一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，计算机程序被处理器执行时实现如下步骤：对于Web告警日志数据中的任意两条原始Web告警日志，对两条原始Web告警日志进行分词，得到初始分词数据；确定初始分词数据的类型数；基于原始Web告警日志命中的初始分词数据的数量及类型数，确定目标词频数；基于目标词频数计算两条原始Web告警日志的目标相似度值；判断目标相似度值是否大于第一预设相似度值；若目标相似度值大于第一预设相似度值，则将两条原始Web告警日志确定为目标告警日志。
本申请实施例提供的一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，计算机程序被处理器执行时实现如下步骤：按照预设告警特征类型对两条原始Web告警日志进行特征提取，得到目标特征；对目标特征进行分词，得到初始分词数据。
本申请实施例提供的一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，计算机程序被处理器执行时实现如下步骤：对于每个目标特征，确定目标特征对应的初始分词数据的第一类型数，确定原始Web告警日志命中的与目标特征对应的初始分词数据的第一数量，将第一数量与第一类型数的比值确定为目标特征对应的词频数；将所有目标特征对应的词频数作为目标词频数；确定各个目标特征表征Web告警日志相似的权重值；基于目标词频数及权重值确定目标相似度值。
本申请实施例提供的一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，计算机程序被处理器执行时实现如下步骤：确定各个目标特征表征Web告警日志相似的加权权重值；将目标词频数及加权权重值的加权结果确定为目标相似度值。
本申请实施例提供的一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，计算机程序被处理器执行时实现如下步骤：预设告警特征类型包括：风险级别、风险名称、攻击IP、攻击端口、攻击地理位置、被攻击IP、被攻击端口、被攻击地理位置、协议类型。
本申请实施例提供的一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，计算机程序被处理器执行时实现如下步骤：确定目标Web告警日志的相似等级；基于目标Web告警日志，生成等级与相似等级对应的目标Web攻击报告。
本申请所涉及的计算机可读存储介质包括随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质。
本申请实施例提供的Web攻击报告生成装置、设备及计算机可读存储介质中相关部分的说明请参见本申请实施例提供的Web攻击报告生成方法中对应部分的详细说明，在此不再赘述。另外，本申请实施例提供的上述技术方案中与现有技术中对应技术方案实现原理一致的部分并未详细说明，以免过多赘述。
还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
对所公开的实施例的上述说明，使本领域技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
Claims (10)
1.一种Web攻击报告生成方法，其特征在于，包括：
获取Web告警日志数据；
基于所述Web告警日志数据中的词频数，识别出所述Web告警日志数据中相似的目标Web告警日志；
基于所述目标Web告警日志生成目标Web攻击报告。
2.根据权利要求1所述的方法，其特征在于，所述基于所述Web告警日志数据中的词频数，识别出所述Web告警日志数据中相似的目标Web告警日志，包括：
对于所述Web告警日志数据中的任意两条原始Web告警日志，对两条所述原始Web告警日志进行分词，得到初始分词数据；
确定所述初始分词数据的类型数；
基于所述原始Web告警日志命中的所述初始分词数据的数量及所述类型数，确定目标词频数；
基于所述目标词频数计算两条所述原始Web告警日志的目标相似度值；
判断所述目标相似度值是否大于第一预设相似度值；
若所述目标相似度值大于所述第一预设相似度值，则将两条所述原始Web告警日志确定为所述目标告警日志。
3.根据权利要求2所述的方法，其特征在于，所述对两条所述原始Web告警日志进行分词，得到初始分词数据，包括：
按照预设告警特征类型对两条所述原始Web告警日志进行特征提取，得到目标特征；
对所述目标特征进行分词，得到所述初始分词数据。
4.根据权利要求3所述的方法，其特征在于，所述确定所述初始分词数据的类型数，所述基于所述原始Web告警日志命中的所述初始分词数据及所述类型数，确定目标词频数，包括：
对于每个所述目标特征，确定所述目标特征对应的所述初始分词数据的第一类型数，确定所述原始Web告警日志命中的与所述目标特征对应的所述初始分词数据的第一数量，将所述第一数量与所述第一类型数的比值确定为所述目标特征对应的词频数；
将所有所述目标特征对应的词频数作为所述目标词频数；
所述基于所述目标词频数计算两条所述原始Web告警日志的目标相似度值，包括：
确定各个所述目标特征表征Web告警日志相似的权重值；
基于所述目标词频数及所述权重值确定所述目标相似度值。
5.根据权利要求4所述的方法，其特征在于，所述确定各个所述目标特征表征Web告警日志相似的权重值，包括：
确定各个所述目标特征表征Web告警日志相似的加权权重值；
所述基于所述目标词频数及所述权重值确定所述目标相似度值，包括：
将所述目标词频数及所述加权权重值的加权结果确定为所述目标相似度值。
6.根据权利要求3所述的方法，其特征在于，所述预设告警特征类型包括：风险级别、风险名称、攻击IP、攻击端口、攻击地理位置、被攻击IP、被攻击端口、被攻击地理位置、协议类型。
7.根据权利要求2至6任一项所述的方法，其特征在于，所述基于所述目标Web告警日志生成目标Web攻击报告，包括：
确定所述目标Web告警日志的相似等级；
基于所述目标Web告警日志，生成等级与所述相似等级对应的所述目标Web攻击报告。
8.一种Web攻击报告生成装置，其特征在于，包括：
第一获取模块，用于获取Web告警日志数据；
第一识别模块，用于基于所述Web告警日志数据中的词频数，识别出所述Web告警日志数据中相似的目标Web告警日志；
第一生成模块，用于基于所述目标Web告警日志生成目标Web攻击报告。
9.一种Web攻击报告生成设备，其特征在于，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述Web攻击报告生成方法的步骤。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述Web攻击报告生成方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011040471.7A CN111985192A (zh) | 2020-09-28 | 2020-09-28 | 一种Web攻击报告生成方法、装置、设备及计算机介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011040471.7A CN111985192A (zh) | 2020-09-28 | 2020-09-28 | 一种Web攻击报告生成方法、装置、设备及计算机介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN111985192A true CN111985192A (zh) | 2020-11-24 |
Family
ID=73449528
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202011040471.7A Pending CN111985192A (zh) | 2020-09-28 | 2020-09-28 | 一种Web攻击报告生成方法、装置、设备及计算机介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN111985192A (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112615857A (zh) * | 2020-12-17 | 2021-04-06 | 杭州迪普科技股份有限公司 | 网络数据处理方法、装置与系统 |
| CN113452700A (zh) * | 2021-06-25 | 2021-09-28 | 阿波罗智联(北京)科技有限公司 | 处理安全信息的方法、装置、设备以及存储介质 |
| CN114726642A (zh) * | 2022-04-26 | 2022-07-08 | 东北电力大学 | 一种基于电力监控系统网络威胁的量化系统 |
Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20030159069A1 (en) * | 2002-02-19 | 2003-08-21 | Byeong Cheol Choi | Network-based attack tracing system and method using distributed agent and manager system |
| CN105183912A (zh) * | 2015-10-12 | 2015-12-23 | 北京百度网讯科技有限公司 | 异常日志确定方法和装置 |
| CN107231258A (zh) * | 2017-06-01 | 2017-10-03 | 国网电子商务有限公司 | 一种网络告警数据处理方法及装置 |
| CN108900514A (zh) * | 2018-07-04 | 2018-11-27 | 杭州安恒信息技术股份有限公司 | 基于同源分析的攻击信息追踪溯源方法及装置 |
| CN109450955A (zh) * | 2018-12-30 | 2019-03-08 | 北京世纪互联宽带数据中心有限公司 | 一种基于网络攻击的流量处理方法及装置 |
| CN110166290A (zh) * | 2019-05-16 | 2019-08-23 | 平安科技（深圳）有限公司 | 基于日志文件的告警方法及装置 |
| CN110691070A (zh) * | 2019-09-07 | 2020-01-14 | 温州医科大学 | 一种基于日志分析的网络异常预警方法 |
| CN110868419A (zh) * | 2019-11-18 | 2020-03-06 | 杭州安恒信息技术股份有限公司 | Web后门攻击事件的检测方法、装置及电子设备 |
| CN111488572A (zh) * | 2020-03-27 | 2020-08-04 | 杭州迪普科技股份有限公司 | 用户行为分析日志生成方法、装置、电子设备及介质 |
| CN111651340A (zh) * | 2020-06-10 | 2020-09-11 | 创新奇智(上海)科技有限公司 | 告警数据规则挖掘方法、装置及电子设备 |
-
2020
- 2020-09-28 CN CN202011040471.7A patent/CN111985192A/zh active Pending
Patent Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20030159069A1 (en) * | 2002-02-19 | 2003-08-21 | Byeong Cheol Choi | Network-based attack tracing system and method using distributed agent and manager system |
| CN105183912A (zh) * | 2015-10-12 | 2015-12-23 | 北京百度网讯科技有限公司 | 异常日志确定方法和装置 |
| CN107231258A (zh) * | 2017-06-01 | 2017-10-03 | 国网电子商务有限公司 | 一种网络告警数据处理方法及装置 |
| CN108900514A (zh) * | 2018-07-04 | 2018-11-27 | 杭州安恒信息技术股份有限公司 | 基于同源分析的攻击信息追踪溯源方法及装置 |
| CN109450955A (zh) * | 2018-12-30 | 2019-03-08 | 北京世纪互联宽带数据中心有限公司 | 一种基于网络攻击的流量处理方法及装置 |
| CN110166290A (zh) * | 2019-05-16 | 2019-08-23 | 平安科技（深圳）有限公司 | 基于日志文件的告警方法及装置 |
| CN110691070A (zh) * | 2019-09-07 | 2020-01-14 | 温州医科大学 | 一种基于日志分析的网络异常预警方法 |
| CN110868419A (zh) * | 2019-11-18 | 2020-03-06 | 杭州安恒信息技术股份有限公司 | Web后门攻击事件的检测方法、装置及电子设备 |
| CN111488572A (zh) * | 2020-03-27 | 2020-08-04 | 杭州迪普科技股份有限公司 | 用户行为分析日志生成方法、装置、电子设备及介质 |
| CN111651340A (zh) * | 2020-06-10 | 2020-09-11 | 创新奇智(上海)科技有限公司 | 告警数据规则挖掘方法、装置及电子设备 |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112615857A (zh) * | 2020-12-17 | 2021-04-06 | 杭州迪普科技股份有限公司 | 网络数据处理方法、装置与系统 |
| CN113452700A (zh) * | 2021-06-25 | 2021-09-28 | 阿波罗智联(北京)科技有限公司 | 处理安全信息的方法、装置、设备以及存储介质 |
| CN113452700B (zh) * | 2021-06-25 | 2022-12-27 | 阿波罗智联(北京)科技有限公司 | 处理安全信息的方法、装置、设备以及存储介质 |
| CN114726642A (zh) * | 2022-04-26 | 2022-07-08 | 东北电力大学 | 一种基于电力监控系统网络威胁的量化系统 |
| CN114726642B (zh) * | 2022-04-26 | 2023-09-22 | 东北电力大学 | 一种基于电力监控系统网络威胁的量化系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN111985192A (zh) | 一种Web攻击报告生成方法、装置、设备及计算机介质 | |
| CN111401416B (zh) | 异常网站的识别方法、装置和异常对抗行为的识别方法 | |
| CN109508903B (zh) | 风险评估方法、装置、计算机设备和存储介质 | |
| CN111931048B (zh) | 基于人工智能的黑产账号检测方法及相关装置 | |
| CN111460445A (zh) | 样本程序恶意程度自动识别方法及装置 | |
| CN109831459B (zh) | 安全访问的方法、装置、存储介质和终端设备 | |
| CN110618890B (zh) | 故障处理方法、装置、电子设备及计算机可读存储介质 | |
| US20240232776A1 (en) | Enterprise screening method and apparatus, electronic device and storage medium | |
| CN104022879A (zh) | 语音安全校验的方法及装置 | |
| CN112784281A (zh) | 一种工业互联网的安全评估方法、装置、设备及存储介质 | |
| CN112529575A (zh) | 风险预警方法、设备、存储介质及装置 | |
| EP4102772B1 (en) | Method and apparatus of processing security information, device and storage medium | |
| CN112348371A (zh) | 云资产的安全风险评估方法、装置、设备、及存储介质 | |
| CN114297735A (zh) | 数据处理方法及相关装置 | |
| CN112087455B (zh) | 一种waf站点防护规则生成方法、系统、设备及介质 | |
| CN112765502B (zh) | 恶意访问检测方法、装置、电子设备和存储介质 | |
| CN115374793B (zh) | 基于服务场景识别的语音数据处理方法及相关装置 | |
| CN109308264B (zh) | 数据脱敏效果的评价方法及相应设备和存储介质 | |
| CN104021324A (zh) | 字迹安全校验的方法及装置 | |
| CN112583900A (zh) | 云计算的数据处理方法及相关产品 | |
| CN115643044A (zh) | 数据处理方法、装置、服务器及存储介质 | |
| CN113674083A (zh) | 互联网金融平台信用风险监测方法、装置及计算机系统 | |
| CN114640492A (zh) | 一种url检测方法、系统、设备及计算机可读存储介质 | |
| CN111125685A (zh) | 一种网络安全态势的预测方法及装置 | |
| CN111225079A (zh) | 恶意软件作者地理位置定位方法、设备、存储介质及装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |