CN112148842A - 一种降低攻击检测中误报率方法、装置及存储介质 - Google Patents

一种降低攻击检测中误报率方法、装置及存储介质 Download PDF

Info

Publication number
CN112148842A
CN112148842A CN202011088784.XA CN202011088784A CN112148842A CN 112148842 A CN112148842 A CN 112148842A CN 202011088784 A CN202011088784 A CN 202011088784A CN 112148842 A CN112148842 A CN 112148842A
Authority
CN
China
Prior art keywords
attack
rule
regular
data
matching
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202011088784.XA
Other languages
English (en)
Inventor
许剑平
郑少明
杨心恩
方丹萍
叶伯元
万芳芳
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xiamen Anscen Network Technology Co ltd
Original Assignee
Xiamen Anscen Network Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xiamen Anscen Network Technology Co ltd filed Critical Xiamen Anscen Network Technology Co ltd
Priority to CN202011088784.XA priority Critical patent/CN112148842A/zh
Publication of CN112148842A publication Critical patent/CN112148842A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/30—Information retrieval; Database structures therefor; File system structures therefor of unstructured textual data
    • G06F16/33—Querying
    • G06F16/3331—Query processing
    • G06F16/334—Query execution

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提出了一种降低攻击检测中误报率方法、装置及存储介质，该方法包括：判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture；如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。本发明的方法通过人工排查和正则表达式组合以及添加例外规则的方法大大降低现有技术中的攻击误报率，并设置多个正则规则的表达式存储在一个库中，便于复用，攻击检测时，可使用库中的所有表达式都匹配一遍，以全面的发现各种攻击行为。通过对攻击数据进行人工研判，以准确的发现误攻击行为，从而为后续修改规则或添加例外规则提供基础。

Description

一种降低攻击检测中误报率方法、装置及存储介质
技术领域
本发明涉及数据安全技术领域，具体涉及一种降低攻击检测中误报率方法、装置及存储介质。
背景技术
对流量数据存在的攻击检测，可以通过事先设定好的规则，比如正则表达式，去匹配特定字段如URL、COOKIE、HTTP响应包，附件的值。比如检测SQL注入，可以设定一些数据库的查询、更新、函数等关键字的正则规则。如果匹配一致，则将本次的数据定义为一次攻击，就可以在此基础上进行攻击溯源、提前预防等操作。然而，这样的做法虽然可以找出攻击行为，却也有一定的误报率。假如不加以整改，误报率太高的话，反而可能导致真实的数据没有被重视到。
即现有技术中，由于规则是事先设定好的，在使用过程难以及时修改，因此存在攻击检测误报率较高的技术缺陷。
发明内容
本发明针对上述现有技术中一个或多个技术缺陷，设计专门的方法以解决上述技术问题，并提出了如下技术方案。
一种降低攻击检测中误报率方法，该方法包括：
判断步骤，判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture；
添加步骤，如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。
更进一步地，所述基于正则规则匹配的攻击数据的生成方式为：设定多个正则表达式及对应要匹配的字段，将所述多个正则表达式进行组合为一个正则规则的表达式，使用所述正则规则的表达式匹配数据流中的每一条记录，如果匹配结果为TRUE，则判断所述数据流为攻击行为，将所述攻击行为及对应的正则规则的表达式作为攻击数据进行存储。
更进一步地，判断攻击数据中是否存在攻击误报的方式为：对所述存储的攻击数据进行人工研判，如果为攻击行为，则不处理，如果不是攻击行为，即存在攻击误报，则置误报标识符为ture。
更进一步地，如果检查所述正则规则有误，则修改所述攻击行为及对应的正则规则的表达式。
更进一步地，所述进行下一次数据流的匹配的方式为：首先使用所述例外规则对所述下一次数据流进行匹配，如果匹配结果为正常，则使用所述正则规则继续进行匹配。
本发明还提出了一种降低攻击检测中误报率装置，该装置包括：
判断单元，判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture；
添加单元，如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。
更进一步地，所述基于正则规则匹配的攻击数据的生成方式为：设定多个正则表达式及对应要匹配的字段，将所述多个正则表达式进行组合为一个正则规则的表达式，使用所述正则规则的表达式匹配数据流中的每一条记录，如果匹配结果为TRUE，则判断所述数据流为攻击行为，将所述攻击行为及对应的正则规则的表达式作为攻击数据进行存储。
更进一步地，判断攻击数据中是否存在攻击误报的方式为：对所述存储的攻击数据进行人工研判，如果为攻击行为，则不处理，如果不是攻击行为，即存在攻击误报，则置误报标识符为ture。
更进一步地，如果检查所述正则规则有误，则修改所述攻击行为及对应的正则规则的表达式。
更进一步地，所述进行下一次数据流的匹配的方式为：首先使用所述例外规则对所述下一次数据流进行匹配，如果匹配结果为正常，则使用所述正则规则继续进行匹配。
本发明还提出了一种计算机可读存储介质，所述存储介质上存储有计算机程序代码，当所述计算机程序代码被计算机执行时执行上述之任一的方法。
本发明的技术效果在于：本发明提出了一种降低攻击检测中误报率方法、装置及存储介质，该方法包括：判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture；如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。本发明的方法通过人工排查和正则表达式组合以及添加例外规则的方法大大降低现有技术中的攻击误报率，本发明将多个规则表达式最终组合成一个正则规则的表达式，并设置多个正则规则的表达式存储在一个库中，便于复用，攻击检测时，可使用库中的所有表达式都匹配一遍，以全面的发现各种攻击行为。通过对攻击数据进行人工研判，以准确的发现误攻击行为，从而为后续修改规则或添加例外规则提供基础。通过对所述正则规则进行细化的方式进行修改，以能准确的检测攻击行为。后续在检测过程中，会先检测例外规则的表达式，再检测匹配正则规则的表达式，以提高检测效率。
附图说明
通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显。
图1是根据本发明的实施例的一种降低攻击检测中误报率方法的流程图。
图2是根据本发明的实施例的一种降低攻击检测中误报率装置的结构图。
具体实施方式
下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。
需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。
图1示出了本发明的一种降低攻击检测中误报率方法，该方法包括：
判断步骤S101，判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture。本发明的方法可以适用于网络攻击、数据库攻击、软件攻击、系统攻击等等中的误报率的降低。
添加步骤S102，如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。
本发明的方法通过人工排查和正则表达式组合以及添加例外规则的方法大大降低现有技术中的攻击误报率，这是本发明的重要发明点，下面进行详细介绍。
在一个实施例中，所述基于正则规则匹配的攻击数据的生成方式为：设定多个正则表达式及对应要匹配的字段，将所述多个正则表达式进行组合为一个正则规则的表达式，使用所述正则规则的表达式匹配数据流中的每一条记录，如果匹配结果为TRUE，则判断所述数据流为攻击行为，将所述攻击行为及对应的正则规则的表达式作为攻击数据进行存储。本发明中，在设定正则表达式时，可以同时选择多个字段匹配同一个正则表达式，以提高匹配效率，对设定的正则表达式，可以使用进行AND、OR、NOT组合，比如RULE1 AND(RULE2OR(NOT RULE3)),最终组合成一个正则规则的表达式，本发明中，可以设置多个正则规则的表达式，并将它们存储在一个库中，便于复用，这是本发明的另一个发明点。当有流量数据进来以后，根据设定的正则规则的表达式，匹配每一条的记录，表达式如果最终为TRUE，则判断为攻击行为，将此攻击行为另外存储，可使用库中的所有表达式都匹配一遍，以全面的发现各种攻击行为。
在一个实施例中，判断攻击数据中是否存在攻击误报的方式为：对所述存储的攻击数据进行人工研判，如果为攻击行为，则不处理，如果不是攻击行为，即存在攻击误报，则置误报标识符为ture，即本发明通过对攻击数据进行人工研判，以准确的发现误攻击行为，从而为后续修改规则或添加例外规则提供基础。
在一个实施例中，如果检查所述正则规则有误，则修改所述攻击行为及对应的正则规则的表达式，所述正则规则有误的一种形式可以是未覆盖相应的攻击行为，可以通过对所述正则规则进行细化的方式进行修改，以能准确的检测攻击行为。
在一个实施例中，所述进行下一次数据流的匹配的方式为：首先使用所述例外规则对所述下一次数据流进行匹配，如果匹配结果为正常，则使用所述正则规则继续进行匹配。若发现有些特定的数据确实满足正则规则的表达式，同时正则规则的表达式并没有错，可以通过添加例外规则的方法对该数据进行排除。设定例外规则的表达式，本例外规则的表达式格式跟原正则规则类似，只是例外表达式要更具体，比如可以设定url＝www.baidu.com/selectfrom.html这样相对没有多大变量的规则，后续在检测过程中，会先检测例外规则的表达式，再检测匹配正则规则的表达式，以提高检测效率。
本发明的方法通过人工排查和正则表达式组合以及添加例外规则的方法大大降低现有技术中的攻击误报率，本发明将多个规则表达式最终组合成一个正则规则的表达式，并设置多个正则规则的表达式存储在一个库中，便于复用，攻击检测时，可使用库中的所有表达式都匹配一遍，以全面的发现各种攻击行为。通过对攻击数据进行人工研判，以准确的发现误攻击行为，从而为后续修改规则或添加例外规则提供基础。通过对所述正则规则进行细化的方式进行修改，以能准确的检测攻击行为。后续在检测过程中，会先检测例外规则的表达式，再检测匹配正则规则的表达式，以提高检测效率。
图2示出了本发明的一种降低攻击检测中误报率装置，该装置包括：
判断单元201，判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture。本发明的方法可以适用于网络攻击、数据库攻击、软件攻击、系统攻击等等中的误报率的降低。
添加单元202，如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。
本发明的装置通过人工排查和正则表达式组合以及添加例外规则的方法大大降低现有技术中的攻击误报率，这是本发明的重要发明点，下面进行详细介绍。
在一个实施例中，所述基于正则规则匹配的攻击数据的生成方式为：设定多个正则表达式及对应要匹配的字段，将所述多个正则表达式进行组合为一个正则规则的表达式，使用所述正则规则的表达式匹配数据流中的每一条记录，如果匹配结果为TRUE，则判断所述数据流为攻击行为，将所述攻击行为及对应的正则规则的表达式作为攻击数据进行存储。本发明中，在设定正则表达式时，可以同时选择多个字段匹配同一个正则表达式，以提高匹配效率，对设定的正则表达式，可以使用进行AND、OR、NOT组合，比如RULE1 AND(RULE2OR(NOT RULE3)),最终组合成一个正则规则的表达式，本发明中，可以设置多个正则规则的表达式，并将它们存储在一个库中，便于复用，这是本发明的另一个发明点。当有流量数据进来以后，根据设定的正则规则的表达式，匹配每一条的记录，表达式如果最终为TRUE，则判断为攻击行为，将此攻击行为另外存储，可使用库中的所有表达式都匹配一遍，以全面的发现各种攻击行为。
在一个实施例中，判断攻击数据中是否存在攻击误报的方式为：对所述存储的攻击数据进行人工研判，如果为攻击行为，则不处理，如果不是攻击行为，即存在攻击误报，则置误报标识符为ture，即本发明通过对攻击数据进行人工研判，以准确的发现误攻击行为，从而为后续修改规则或添加例外规则提供基础。
在一个实施例中，如果检查所述正则规则有误，则修改所述攻击行为及对应的正则规则的表达式，所述正则规则有误的一种形式可以是未覆盖相应的攻击行为，可以通过对所述正则规则进行细化的方式进行修改，以能准确的检测攻击行为。
在一个实施例中，所述进行下一次数据流的匹配的方式为：首先使用所述例外规则对所述下一次数据流进行匹配，如果匹配结果为正常，则使用所述正则规则继续进行匹配。若发现有些特定的数据确实满足正则规则的表达式，同时正则规则的表达式并没有错，可以通过添加例外规则的方法对该数据进行排除。设定例外规则的表达式，本例外规则的表达式格式跟原正则规则类似，只是例外表达式要更具体，比如可以设定url＝www.baidu.com/selectfrom.html这样相对没有多大变量的规则，后续在检测过程中，会先检测例外规则的表达式，再检测匹配正则规则的表达式，以提高检测效率。
本发明的装置通过人工排查和正则表达式组合以及添加例外规则的方法大大降低现有技术中的攻击误报率，本发明将多个规则表达式最终组合成一个正则规则的表达式，并设置多个正则规则的表达式存储在一个库中，便于复用，攻击检测时，可使用库中的所有表达式都匹配一遍，以全面的发现各种攻击行为。通过对攻击数据进行人工研判，以准确的发现误攻击行为，从而为后续修改规则或添加例外规则提供基础。通过对所述正则规则进行细化的方式进行修改，以能准确的检测攻击行为。后续在检测过程中，会先检测例外规则的表达式，再检测匹配正则规则的表达式，以提高检测效率。
本发明的为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的装置。
最后所应说明的是：以上实施例仅以说明而非限制本发明的技术方案，尽管参照上述实施例对本发明进行了详细说明，本领域的普通技术人员应当理解：依然可以对本发明进行修改或者等同替换，而不脱离本发明的精神和范围的任何修改或局部替换，其均应涵盖在本发明的权利要求范围当中。

Claims (11)

1.一种降低攻击检测中误报率方法，其特征在于，该方法包括：
判断步骤，判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture；
添加步骤，如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。
2.根据权利要求1所述的方法，其特征在于，所述基于正则规则匹配的攻击数据的生成方式为：设定多个正则表达式及对应要匹配的字段，将所述多个正则表达式进行组合为一个正则规则的表达式，使用所述正则规则的表达式匹配数据流中的每一条记录，如果匹配结果为TRUE，则判断所述数据流为攻击行为，将所述攻击行为及对应的正则规则的表达式作为攻击数据进行存储。
3.根据权利要求2所述的方法，其特征在于，判断攻击数据中是否存在攻击误报的方式为：对所述存储的攻击数据进行人工研判，如果为攻击行为，则不处理，如果不是攻击行为，即存在攻击误报，则置误报标识符为ture。
4.根据权利要求3所述的方法，其特征在于，如果检查所述正则规则有误，则修改所述攻击行为及对应的正则规则的表达式。
5.根据权利要求4所述的方法，其特征在于，所述进行下一次数据流的匹配的方式为：首先使用所述例外规则对所述下一次数据流进行匹配，如果匹配结果为正常，则使用所述正则规则继续进行匹配。
6.一种降低攻击检测中误报率装置，其特征在于，该装置包括：
判断单元，判断基于正则规则匹配的攻击数据中是否存在攻击误报，如果是，则置误报标识符为ture；
添加单元，如果所述误报标识符为ture，则检查所述正则规则是否有误，如果所述正则规则无误，则基于添加例外规则进行下一次数据流的匹配。
7.根据权利要求6所述的装置，其特征在于，所述基于正则规则匹配的攻击数据的生成方式为：设定多个正则表达式及对应要匹配的字段，将所述多个正则表达式进行组合为一个正则规则的表达式，使用所述正则规则的表达式匹配数据流中的每一条记录，如果匹配结果为TRUE，则判断所述数据流为攻击行为，将所述攻击行为及对应的正则规则的表达式作为攻击数据进行存储。
8.根据权利要求7所述的装置，其特征在于，判断攻击数据中是否存在攻击误报的方式为：对所述存储的攻击数据进行人工研判，如果为攻击行为，则不处理，如果不是攻击行为，即存在攻击误报，则置误报标识符为ture。
9.根据权利要求8所述的装置，其特征在于，如果检查所述正则规则有误，则修改所述攻击行为及对应的正则规则的表达式。
10.根据权利要求9所述的装置，其特征在于，所述进行下一次数据流的匹配的方式为：首先使用所述例外规则对所述下一次数据流进行匹配，如果匹配结果为正常，则使用所述正则规则继续进行匹配。
11.一种计算机可读存储介质，其特征在于，所述存储介质上存储有计算机程序代码，当所述计算机程序代码被计算机执行时执行权利要求1-5之任一的方法。
CN202011088784.XA 2020-10-13 2020-10-13 一种降低攻击检测中误报率方法、装置及存储介质 Pending CN112148842A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011088784.XA CN112148842A (zh) 2020-10-13 2020-10-13 一种降低攻击检测中误报率方法、装置及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011088784.XA CN112148842A (zh) 2020-10-13 2020-10-13 一种降低攻击检测中误报率方法、装置及存储介质

Publications (1)

Publication Number Publication Date
CN112148842A true CN112148842A (zh) 2020-12-29

Family

ID=73953192

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011088784.XA Pending CN112148842A (zh) 2020-10-13 2020-10-13 一种降低攻击检测中误报率方法、装置及存储介质

Country Status (1)

Country Link
CN (1) CN112148842A (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790292A (zh) * 2017-03-13 2017-05-31 摩贝（上海）生物科技有限公司 基于行为特征匹配和分析的web应用层攻击检测与防御方法
CN107644166A (zh) * 2017-09-22 2018-01-30 成都知道创宇信息技术有限公司 一种基于自动学习的web应用安全防护方法
US20190036958A1 (en) * 2017-07-26 2019-01-31 Barracuda Networks, Inc. Method and apparatus for generating cyber security threat index
CN109547466A (zh) * 2018-12-17 2019-03-29 北京车和家信息技术有限公司 基于机器学习提高风险感知能力的方法及装置、计算机设备和存储介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790292A (zh) * 2017-03-13 2017-05-31 摩贝（上海）生物科技有限公司 基于行为特征匹配和分析的web应用层攻击检测与防御方法
US20190036958A1 (en) * 2017-07-26 2019-01-31 Barracuda Networks, Inc. Method and apparatus for generating cyber security threat index
CN107644166A (zh) * 2017-09-22 2018-01-30 成都知道创宇信息技术有限公司 一种基于自动学习的web应用安全防护方法
CN109547466A (zh) * 2018-12-17 2019-03-29 北京车和家信息技术有限公司 基于机器学习提高风险感知能力的方法及装置、计算机设备和存储介质

Similar Documents

Publication Publication Date Title
CN106961419B (zh) WebShell检测方法、装置及系统
CN107241296B (zh) 一种Webshell的检测方法及装置
CN110602029B (zh) 一种用于识别网络攻击的方法和系统
CN110474900B (zh) 一种游戏协议测试方法及装置
CN108959071B (zh) 一种基于RASP的PHP变形webshell的检测方法及系统
CN106528393A (zh) 一种WebService的Mock测试的方法及装置
CN108090351A (zh) 用于处理请求消息的方法和装置
CN110569159A (zh) 挡板生成方法、装置、设备及计算机存储介质
US20080127043A1 (en) Automatic Extraction of Programming Rules
US20140157036A1 (en) Advanced and automatic analysis of recurrent test failures
CN106709336A (zh) 识别恶意软件的方法和装置
CN111447224A (zh) web漏洞扫描方法及漏洞扫描器
US7984501B2 (en) Component-oriented system and method for web application security analysis
US20220014542A1 (en) Security Threat Detection by Converting Scripts Using Validation Graphs
CN112328499A (zh) 一种测试数据生成方法、装置、设备及介质
CN112799722A (zh) 命令识别方法、装置、设备和存储介质
CN114285587A (zh) 域名鉴别方法和装置、域名分类模型的获取方法和装置
CN114331167B (zh) 一种冠军挑战者策略的管理方法、系统、介质和设备
CN116089920A (zh) 一种敏感字段预警方法、系统、计算机设备及介质
CN112148842A (zh) 一种降低攻击检测中误报率方法、装置及存储介质
CN113031995B (zh) 一种更新规则的方法、装置、存储介质以及电子设备
CN115310087A (zh) 一种基于抽象语法树的网站后门检测方法和系统
CN113672514A (zh) 测试方法、装置、服务器及存储介质
CN111934949A (zh) 一种基于数据库注入测试的安全测试系统
US11321451B2 (en) Method and system for detection of post compilation modification of binary images

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20201229

RJ01 Rejection of invention patent application after publication