CN112187833B - 一种拟态waf中的ai+正则双匹配检测方法 - Google Patents

一种拟态waf中的ai+正则双匹配检测方法 Download PDF

Info

Publication number
CN112187833B
CN112187833B CN202011239108.8A CN202011239108A CN112187833B CN 112187833 B CN112187833 B CN 112187833B CN 202011239108 A CN202011239108 A CN 202011239108A CN 112187833 B CN112187833 B CN 112187833B
Authority
CN
China
Prior art keywords
detection
module
detection result
http
regular
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011239108.8A
Other languages
English (en)
Other versions
CN112187833A (zh
Inventor
吴春明
陈双喜
赵若琰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang University ZJU
Original Assignee
Zhejiang University ZJU
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang University ZJU filed Critical Zhejiang University ZJU
Priority to CN202011239108.8A priority Critical patent/CN112187833B/zh
Publication of CN112187833A publication Critical patent/CN112187833A/zh
Application granted granted Critical
Publication of CN112187833B publication Critical patent/CN112187833B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Abstract

本发明公开了一种拟态WAF中的AI+正则双匹配检测方法。该方法基于拟态防御思想，能够对恶意HTTP(S)流量进行准确检测。本发明设计了正则检测模块、模板检测模块、异构模块以及裁决模块，首先将HTTP(S)流量输入正则检测模块进行第一次检测，若检测结果为1，则直接过滤，若检测结果为0，则送入模板检测进行二次检测，同样对于检测结果为0的恶意流量送入异构模块中用多个AI检测模块对其进行检测，最后将所有模块的检测结果送入裁决模块进行裁决，最后输出最终检测结果。本发明达到了用不同方式进行多重检测的目的，降低了错误检测率。

Description

一种拟态WAF中的AI+正则双匹配检测方法
技术领域
本发明属于网络安全技术领域，尤其涉及一种拟态WAF中的AI+正则双匹配检测方法。
背景技术
由于云计算领域的快速发展，云安全问题的解决就显得尤为重要，而未知漏洞或后门很大的威胁了云安全。网络空间拟态防御(CMD，cyber mimic defense)是由邬江兴院士提出的改变游戏规则的一项新技术，将拟态防御技术应用到云服务，抵御攻击，加强安全效能。传统WAF大多只采用正则检测的方法，但是这种方法对于恶意注入流量的多样性很难做到完全防御。
发明内容
本发明的目的在于针对现有技术的不足，提供一种拟态WAF中的AI+正则双匹配检测方法。
本发明的目的是通过以下技术方案来实现的：一种拟态WAF中的AI+正则双匹配检测方法，该方法包括以下步骤：
(1)首先将HTTP(S)流量h送入正则检测模块，具体为：分别用正则检测模块中的检测库Ti(i＝1,2,...,m)进行检测，若有其中任意一个匹配上，则输出检测结果为r1＝1；否则检测结果为r1＝0；
(2)将检测结果r1＝0的HTTP(S)流量送入模板检测模块进行模板匹配，具体为：
(2.1)若匹配不成功，则输出检测结果r2＝1；
(2.2)若匹配成功，则暂且计检测结果r2＝0；
(3)给异构模块中的每个AI检测模型设置权重Wj(j＝1,2,...,n)；
(4)将检测结果r2为0的HTTP(S)流量送入异构模块进行下一步检测，具体为：将步骤(2)中得到的检测结果r2为0的HTTP(S)流量送入异构模块AI检测模型Mj(j＝1,2,...,n)进行检测；得到n个检测结果r3j(j＝1,2,...,n)，其中r3j∈[0,1]；
(5)将n个检测结果r3j送入裁决模块，具体步骤为：
(5.1)计算加权和
Figure BDA0002767833470000011
(5.2)若R＜0.5，则记最终检测结果r＝0，表示为正常流量；
(5.3)若R≥0.5，则记r＝1，表示为恶意流量；
(6)输出最终检测结果。
进一步地，所述检测库包括SQL注入检测库、恶意漏洞扫描库、XSS攻击库和PHP相关规则库等。
进一步地，所述步骤(3)中，设置权重的方法包括根据检测模型灵敏度、根据检测模型可信度和根据检测模型检测速度等。
本发明的有益效果是：本发明基于拟态防御思想优化对WAF的恶意流量检测方式，设计了AI+正则双检测模型，首先对流量先进行正则检测，然后将检测为正常的流量送入多种异构AI检测模型，最后通过拟态裁决模块对检测结果进行裁决，达到使用不同方式进行多重检测的目的，降低了错误检测率。
附图说明
图1为AI+正则双检测具体架构图；
图2为裁决模块具体架构图。
具体实施方式
本发明设计了正则检测模块、模板检测模块、异构模块以及裁决模块，首先将HTTP(S)流量输入正则检测模块进行第一次检测，若检测结果为1，则直接过滤，若检测结果为0，则送入模板检测进行二次检测，同样对于检测结果为0的恶意流量送入异构模块中用多个AI检测模块对其进行检测，最后将所有模块的检测结果送入裁决模块进行裁决，最后输出最终检测结果。如图1所示，本发明一种拟态WAF中的AI+正则双匹配检测方法，具体包括以下步骤：
1、首先将HTTP流量或HTTPS流量h送入正则检测模块，具体为：分别用正则检测模块中的检测库Ti(i＝1,2,...,m)进行检测，若有其中任意一个匹配上，则输出检测结果为r1＝1；其中正则模型的检测库可以选用SQL注入检测库、恶意漏洞扫描库、XSS攻击库、PHP相关规则库等。否则暂且计检测结果为r1＝0。
2、将检测结果r1＝0的HTTP流量送入模板检测模块进行模板匹配，具体为：
(2.1)若匹配不成功，则输出检测结果r2＝1。
(2.2)若匹配成功，则暂且计检测结果r2＝0。
3、给异构模块中的每个AI检测模型设置权重Wj(j＝1,2,...,n)，W1+W2+...+Wn＝1其中设置权重的方法可以根据检测模型灵敏度、检测模型可信度、检测模型检测速度等。
4、将检测结果r2为0的HTTP流量送入异构模块进行下一步检测，具体为：将上述步骤2中得到的检测结果r2为0的HTTP流量分别送入异构模块AI检测模型Mj(j＝1,2,...,n)进行检测，得到n个检测结果r3j(j＝1,2,...,n)，其中r3j∈[0,1]。
5、如图2所示，将n个检测结果r3j送入裁决模块，具体步骤为：
(5.1)计算加权和
Figure BDA0002767833470000031
(5.2)若R＜0.5，则记最终检测结果r＝0，表示为正常流量。
(5.3)若R≥0.5，则记最终检测结果r＝1，表示为恶意流量。
6、输出最终检测结果r。
本发明对传统WAF的恶意流量检测方式进行优化，首先对恶意流量进行正则检测和模板检测，过滤掉易于检测的恶意流量、然后将未检测出的流量送入异构化AI检测模型，最后对通过裁决模块对多种检测结果进行裁决，通过多重检测的方式，降低恶意流量检测的错误率，增加内部渗透者以及外部攻击者对WAF的认知以及攻击难度，从而增加WAF的安全性。

Claims (3)

1.一种拟态WAF中的AI+正则双匹配检测方法，其特征在于，该方法包括以下步骤：
(1)首先将HTTP(S)流量h送入正则检测模块，具体为：分别用正则检测模块中的检测库Ti(i＝1,2,...,m)进行检测，若有其中任意一个匹配上，则输出检测结果为r1＝1；否则检测结果为r1＝0；
(2)将检测结果r1＝0的HTTP(S)流量送入模板检测模块进行模板匹配，具体为：
(2.1)若匹配不成功，则输出检测结果r2＝1；
(2.2)若匹配成功，则暂且计检测结果r2＝0；
(3)给异构模块中的每个AI检测模型设置权重Wj(j＝1,2,...,n)；
(4)将检测结果r2为0的HTTP(S)流量送入异构模块进行下一步检测，具体为：将步骤(2)中得到的检测结果r2为0的HTTP(S)流量送入异构模块AI检测模型Mj(j＝1,2,...,n)进行检测；得到n个检测结果r3j(j＝1,2,...,n)，其中r3j∈[0,1]；
(5)将n个检测结果r3j送入裁决模块，具体步骤为：
(5.1)计算加权和
Figure FDA0003247633200000011
(5.2)若R＜0.5，则记最终检测结果r＝0，表示为正常流量；
(5.3)若R≥0.5，则记r＝1，表示为恶意流量；
(6)输出最终检测结果。
2.如权利要求1所述拟态WAF中的AI+正则双匹配检测方法，其特征在于，所述检测库包括SQL注入检测库、恶意漏洞扫描库、XSS攻击库和PHP相关规则库。
3.如权利要求1所述拟态WAF中的AI+正则双匹配检测方法，其特征在于，步骤(3)中，设置权重的方法包括根据检测模型灵敏度、根据检测模型可信度和根据检测模型检测速度。
CN202011239108.8A 2020-11-09 2020-11-09 一种拟态waf中的ai+正则双匹配检测方法 Active CN112187833B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011239108.8A CN112187833B (zh) 2020-11-09 2020-11-09 一种拟态waf中的ai+正则双匹配检测方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011239108.8A CN112187833B (zh) 2020-11-09 2020-11-09 一种拟态waf中的ai+正则双匹配检测方法

Publications (2)

Publication Number Publication Date
CN112187833A CN112187833A (zh) 2021-01-05
CN112187833B true CN112187833B (zh) 2021-12-17

Family

ID=73917569

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011239108.8A Active CN112187833B (zh) 2020-11-09 2020-11-09 一种拟态waf中的ai+正则双匹配检测方法

Country Status (1)

Country Link
CN (1) CN112187833B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112788052B (zh) * 2021-01-25 2022-06-24 烽火通信科技股份有限公司 拟态架构路由交换系统被动防御模块、系统及实现方法
CN114124520A (zh) * 2021-11-22 2022-03-01 浙江大学 基于多模态的拟态waf执行体实现方法
CN114499991B (zh) * 2021-12-30 2023-04-18 浙江大学 一种拟态waf中恶意流量检测和行为分析方法

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104994104A (zh) * 2015-07-06 2015-10-21 浙江大学 基于web安全网关的服务器指纹拟态和敏感信息拟态方法
CN106411937A (zh) * 2016-11-15 2017-02-15 中国人民解放军信息工程大学 基于拟态防御架构的零日攻击检测、分析和响应系统及其方法
CN108134740A (zh) * 2017-12-08 2018-06-08 中国电子科技集团公司第三十研究所 一种基于物理异构冗余的加权裁决及随机调度方法
CN109067737A (zh) * 2018-07-28 2018-12-21 中国人民解放军战略支援部队信息工程大学 一种输出非同步保序条件下的拟态判决装置及方法
CN109150831A (zh) * 2018-07-16 2019-01-04 中国人民解放军战略支援部队信息工程大学 一种内生安全的云任务执行装置及方法
CN110011965A (zh) * 2019-02-28 2019-07-12 中国人民解放军战略支援部队信息工程大学 一种基于可信度的执行体完全非一致输出裁决方法及装置
CN110519220A (zh) * 2019-07-10 2019-11-29 中国人民解放军战略支援部队信息工程大学 基于漏洞一致率的网络空间拟态防御安全性建模量化方法
CN111343139A (zh) * 2020-01-14 2020-06-26 浙江大学 一种工控拟态安全网关的多模判决方法
CN111628978A (zh) * 2020-05-21 2020-09-04 河南信大网御科技有限公司 一种拟态归一化裁决系统、方法及可读存储介质

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2013272215B2 (en) * 2012-03-22 2017-10-12 Imperial Innovations Limited Anomaly detection to identify coordinated group attacks in computer networks
US10084752B2 (en) * 2016-02-26 2018-09-25 Microsoft Technology Licensing, Llc Hybrid hardware-software distributed threat analysis
CN110647918B (zh) * 2019-08-26 2020-12-25 浙江工业大学 面向深度学习模型对抗攻击的拟态防御方法
CN111783079B (zh) * 2020-06-04 2022-07-26 河南信大网御科技有限公司 一种拟态防御装置、拟态防御方法和拟态防御架构
CN111884996B (zh) * 2020-06-12 2022-04-08 中国人民解放军战略支援部队信息工程大学 一种基于可信度量的拟态交换机裁决系统及方法

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104994104A (zh) * 2015-07-06 2015-10-21 浙江大学 基于web安全网关的服务器指纹拟态和敏感信息拟态方法
CN106411937A (zh) * 2016-11-15 2017-02-15 中国人民解放军信息工程大学 基于拟态防御架构的零日攻击检测、分析和响应系统及其方法
CN108134740A (zh) * 2017-12-08 2018-06-08 中国电子科技集团公司第三十研究所 一种基于物理异构冗余的加权裁决及随机调度方法
CN109150831A (zh) * 2018-07-16 2019-01-04 中国人民解放军战略支援部队信息工程大学 一种内生安全的云任务执行装置及方法
CN109067737A (zh) * 2018-07-28 2018-12-21 中国人民解放军战略支援部队信息工程大学 一种输出非同步保序条件下的拟态判决装置及方法
CN110011965A (zh) * 2019-02-28 2019-07-12 中国人民解放军战略支援部队信息工程大学 一种基于可信度的执行体完全非一致输出裁决方法及装置
CN110519220A (zh) * 2019-07-10 2019-11-29 中国人民解放军战略支援部队信息工程大学 基于漏洞一致率的网络空间拟态防御安全性建模量化方法
CN111343139A (zh) * 2020-01-14 2020-06-26 浙江大学 一种工控拟态安全网关的多模判决方法
CN111628978A (zh) * 2020-05-21 2020-09-04 河南信大网御科技有限公司 一种拟态归一化裁决系统、方法及可读存储介质

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"A Decentralized Multi-ruling Arbiter for Cyberspace Mimicry Defense";shuangxichen;《2019 International Symposium on Networks, Computers and Communications (ISNCC)》;20191121;全文 *
"基于异构冗余架构的拟态防御建模技术";陈双喜;《电信科学》;20200630;第36卷(第5期);全文 *

Also Published As

Publication number Publication date
CN112187833A (zh) 2021-01-05

Similar Documents

Publication Publication Date Title
CN112187833B (zh) 一种拟态waf中的ai+正则双匹配检测方法
Gao et al. An adaptive ensemble machine learning model for intrusion detection
Yan et al. Detecting malware with an ensemble method based on deep neural network
AU2019210493B2 (en) Anomaly detection to identify coordinated group attacks in computer networks
CN112738015B (zh) 一种基于可解释卷积神经网络cnn与图检测的多步攻击检测方法
KR101949338B1 (ko) 기계 학습 모델에 기반하여 페이로드로부터 sql 인젝션을 탐지하는 방법 및 이를 이용한 장치
CN111131260B (zh) 一种海量网络恶意域名识别和分类方法及系统
CN107911346B (zh) 一种基于极限学习机的入侵检测方法
Singla et al. How deep learning is making information security more intelligent
CN112995150A (zh) 一种基于cnn-lstm融合的僵尸网络检测方法
CN114697096A (zh) 基于空时特征和注意力机制的入侵检测方法
Huang Network intrusion detection based on an improved long-short-term memory model in combination with multiple spatiotemporal structures
CN115907029A (zh) 面向联邦学习投毒攻击的防御方法及系统
CN113468537B (zh) 一种基于改进自编码器的特征提取及漏洞利用攻击检测方法
Tao et al. A hybrid alarm association method based on AP clustering and causality
CN102111308A (zh) 一种多态蠕虫自动检测方法
CN112215300A (zh) 一种基于网络结构增强的图卷积模型防御方法、装置和系统
CN113132414B (zh) 一种多步攻击模式挖掘方法
TWI777766B (zh) 偵測惡意網域查詢行為的系統及方法
CN111343205B (zh) 工控网络安全检测方法、装置、电子设备以及存储介质
Ma et al. Few-shot IoT attack detection based on SSDSAE and adaptive loss weighted meta residual network
Fang et al. Integrating artificial intelligence into Snort IDS
Shah et al. Group feature selection via structural sparse logistic regression for ids
Mfogo et al. AIIPot: Adaptive intelligent-interaction honeypot for IoT devices
Yin et al. P2P botnet detection based on association between common network behaviors and host behaviors

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant