CN112804254B

CN112804254B - 请求检测方法、装置、电子设备及存储介质

Info

Publication number: CN112804254B
Application number: CN202110169280.9A
Authority: CN
Inventors: 蒋成龙; 谭成
Original assignee: Chengdu Potato Chip Technology Co ltd
Current assignee: Chengdu Potato Chip Technology Co ltd
Priority date: 2021-02-07
Filing date: 2021-02-07
Publication date: 2022-10-28
Anticipated expiration: 2041-02-07
Also published as: CN112804254A

Abstract

本发明涉及互联网技术领域，公开了一种请求检测方法、装置、电子设备及存储介质，该方法包括获取与请求访问服务端资源相关联的请求关联数据，请求关联数据包括请求访问服务端资源的请求参数和网关针对请求访问服务端资源触发安全认证所产生的认证参数；将请求关联数据作为预先训练的请求检测模型的输入进行运算，得到请求的请求类型；其中，请求检测模型是根据与请求访问应用蜜罐相关联的历史请求关联数据和与历史请求关联数据对应的历史请求类型进行训练得到的，请求类型为风险请求或非风险请求。本发明提供的请求检测方法、装置、电子设备及存储介质可实现对风险请求的准确检测。

Description

请求检测方法、装置、电子设备及存储介质

技术领域

本发明涉及互联网技术领域，具体涉及一种请求检测方法、装置、电子设备及存储介质。

背景技术

为了确保系统硬件、软件及其系统中的数据不因恶意的入侵而遭到破坏、更改、泄露，保障系统正常运行，需要对访问请求进行请求检测，以检测该访问请求是否为风险请求。

目前，对于请求的检测大都是通过网关的基础安全防护功能进行检测。然而，由于网关的基础安全防护功能有限，只能对少量特定的风险请求进行检测识别，检测的效果差，无法满足日益复杂的网络环境所带来的入侵风险的检测识别。

发明内容

为了解决现有技术中所存在的风险请求检测效果差的问题，本发明的目的在于提供一种请求检测方法、装置、电子设备及存储介质，以便于实现对风险请求的准确检测。

第一方面，本发明提供了一种请求检测方法，包括：

获取与请求访问服务端资源相关联的请求关联数据，所述请求关联数据包括请求访问服务端资源的请求参数和网关针对请求访问服务端资源触发安全认证所产生的认证参数；

将所述请求关联数据作为预先训练的请求检测模型的输入进行运算，得到请求的请求类型；

其中，所述请求检测模型是根据与请求访问应用蜜罐相关联的历史请求关联数据和与所述历史请求关联数据对应的历史请求类型进行训练得到的，所述请求类型为风险请求或非风险请求。

基于上述的内容，本申请提供的请求检测方法可以获取与请求访问服务端资源相关联的请求关联数据，并将该请求关联数据作为预先训练的请求检测模型的输入进行运算，从而得到请求的请求类型，从而能够十分方便准确的完成对风险请求的准确检测。

可选的，所述方法还包括：

获取与请求访问应用蜜罐相关联的历史请求关联数据，所述历史请求关联数据包括请求访问应用蜜罐的历史请求参数和网关针对请求访问应用蜜罐触发安全认证所参数的历史认证参数；

将所述历史请求关联数据作为训练模型的输入、所述历史请求关联数据对应的历史请求类型作为所述训练模型的输出进行训练，得到所述请求检测模型。

可选的，所述方法还包括:

将所述请求关联数据进行量化处理；

所述将所述请求关联数据作为预先训练的请求检测模型的输入进行运算，包括：

将量化处理后的所述请求关联数据作为预先训练的请求检测模型的输入进行运算。

可选的，所述请求参数包括在第一预定时间窗口内的请求频率和/或预设时间段内的请求次数与服务端在第二预定时间窗口内的最佳并发数的比值；

所述认证参数包括网关在第三预定时间窗口内对请求访问所述服务端资源的数字签名验证失败次数和/或网关在第四预定时间窗口内针对访问所述服务端资源而触发的常规安全防御措施的次数。

可选的，网关在第四预定时间窗口内针对访问所述服务端资源而触发的常规安全防御措施的次数包括：

网关在第四预定时间窗口内针对访问所述服务端资源而触发与SQL注入、XSS攻击、请求参数篡改、重放攻击以及身份校验关联的安全防御措施的次数。

可选的，所述方法还包括：

基于所述请求类型，执行与所述请求类型相应的请求响应策略。

第二方面，本发明提供了一种请求检测装置，包括：

第一获取模块，用于获取与请求访问服务端资源相关联的请求关联数据，所述请求关联数据包括请求访问服务端资源的请求参数和网关针对请求访问服务端资源触发安全认证所产生的认证参数；

运算模块，用于将所述请求关联数据作为预先训练的请求检测模型的输入进行运算，得到请求的请求类型；

可选的，请求检测装置还包括：

第二获取模块，用于获取与请求访问应用蜜罐相关联的历史请求关联数据，所述历史请求关联数据包括请求访问应用蜜罐的历史请求参数和网关针对请求访问应用蜜罐触发安全认证所参数的历史认证参数；

训练模块，用于将所述历史请求关联数据作为训练模型的输入、所述历史请求关联数据对应的历史请求类型作为所述训练模型的输出进行训练，得到所述请求检测模型。

可选的，请求检测装置还包括：

量化模块，用于将所述请求关联数据进行量化处理；

运算模块在用于将所述请求关联数据作为预先训练的请求检测模型的输入进行运算时，具体用于：

可选的，请求检测装置还包括：

执行模块，用于基于所述请求类型，执行与所述请求类型相应的请求响应策略。

第三方面，本发明提供了一种电子设备，包括依次通信相连的存储器、处理器和收发器，其中，所述存储器用于存储计算机程序，所述收发器用于收发消息，所述处理器用于读取所述计算机程序，执行如上一方面或第一方面中任意一种所述的请求检测方法。

第四方面，本发明提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，执行上述任意方面所述的请求检测方法。

第五方面，本发明提供了一种包含指令的计算机程序产品，当所述指令在计算机上运行时，使所述计算机执行如上述任意方面所述的请求检测方法。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明提供的请求检测方法、装置、电子设备及存储介质的应用环境示意图。

图2是本发明提供的请求检测方法的流程图。

图3是本发明提供的训练请求检测模型的流程图。

图4是本发明提供的请求检测装置的结构示意图。

图5是本发明提供的电子设备的结构图。

具体实施方式

下面结合附图及具体实施例来对本发明作进一步阐述。在此需要说明的是，对于这些实施例方式的说明虽然是用于帮助理解本发明，但并不构成对本发明的限定。本文公开的特定结构和功能细节仅用于描述本发明的示例实施例。然而，可用很多备选的形式来体现本发明，并且不应当理解为本发明限制在本文阐述的实施例中。

应当理解，尽管本文可能使用术语第一、第二等等来描述各种单元，但是这些单元不应当受到这些术语的限制。这些术语仅用于区分一个单元和另一个单元。例如可以将第一单元称作第二单元,并且类似地可以将第二单元称作第一单元，同时不脱离本发明的示例实施例的范围。

应当理解，对于本文中可能出现的术语“和/或”，其仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，单独存在B，同时存在A和B三种情况；对于本文中可能出现的术语“/和”，其是描述另一种关联对象关系，表示可以存在两种关系，例如，A/和B，可以表示：单独存在A，单独存在A和B两种情况；另外，对于本文中可能出现的字符“/”，一般表示前后关联对象是一种“或”关系。

应当理解，在本文中若将单元称作与另一个单元“连接”、“相连”或“耦合”时，它可以与另一个单元直相连接或耦合，或中间单元可以存在。相対地，在本文中若将单元称作与另一个单元“直接相连”或“直接耦合”时，表示不存在中间单元。另外，应当以类似方式来解释用于描述单元之间的关系的其他单词(例如，“在……之间”对“直接在……之间”,“相邻”对“直接相邻”等等)。

应当理解，本文使用的术语仅用于描述特定实施例，并不意在限制本发明的示例实施例。若本文所使用的，单数形式“一”、“一个”以及“该”意在包括复数形式，除非上下文明确指示相反意思。还应当理解，若术语“包括”、“包括了”、“包含”和/或“包含了”在本文中被使用时,指定所声明的特征、整数、步骤、操作、单元和/或组件的存在性,并且不排除一个或多个其他特征、数量、步骤、操作、单元、组件和/或他们的组合存在性或增加。

应当理解，还应当注意到在一些备选实施例中，所出现的功能/动作可能与附图出现的顺序不同。例如,取决于所涉及的功能/动作,实际上可以实质上并发地执行,或者有时可以以相反的顺序来执行连续示出的两个图。

应当理解，在下面的描述中提供了特定的细节,以便于对示例实施例的完全理解。然而,本领域普通技术人员应当理解可以在没有这些特定细节的情况下实现示例实施例。例如可以在框图中示出系统，以避免用不必要的细节来使得示例不清楚。在其他实例中，可以不以不必要的细节来示出众所周知的过程、结构和技术，以避免使得示例实施例不清。

实施例

为了实现对风险请求的检测，本申请实施例提供了一种请求检测方法、装置、电子设备及存储介质，请求检测方法、装置、电子设备及存储介质能够实现对风险请求的准确检测。

首先，为了更直观地理解本申请实施例提供的方案，下面结合图1，对本申请实施例提供的入侵检测方案的系统架构进行说明。

如图1所示，是本申请一个或多个实施例提供的请求检测方法、装置、电子设备及存储介质的应用环境示意图。如图1所示，请求端通过网关请求访问服务端的资源，所述网关对请求端发出的请求进行检测识别，并识别出请求端发出的请求是否为风险请求。

下面将对本申请实施例提供的请求检测方法进行详细说明。

本申请实施例提供的请求检测方法可应用于网关，除特别说明外，本申请实施例均以网关为执行主体进行说明。

可以理解的，所述执行主体并不构成对本申请的限定。

具体的，请求检测方法的流程如图2所示，可以包括如下步骤：

步骤S201,获取与请求访问服务端资源相关联的请求关联数据。

其中，请求关联数据包括请求访问服务端资源的请求参数和网关针对请求访问服务端资源触发安全认证所产生的认证参数。

所述请求参数可以是指请求端向网关发出请求以请求访问服务端资源时，所发出的请求的相关参数。所述请求参数可以包括在第一预定时间窗口内的请求频率(也可以是请求间隔)，和/或预设时间段内的请求次数与服务端在第二预定时间窗口内的最佳并发数的比值。

预定时间窗口内的最佳并发数可以是指预定时间窗口内的访问服务端的最佳次数，第一预定时间窗口、第二预定时间窗口以及预设时间段内可根据实际情况设置。例如，在一个实施例中，第一预定时间窗、第二预定时间窗口以及预设时间段可以为1秒。

所述认证参数可以是网关针对请求访问服务端资源触发安全认证时，该安全认证结果所对应的参数。所述认证参数可以包括网关在第三预定时间窗口内对请求访问所述服务端资源的数字签名验证失败次数，和/或网关在第四预定时间窗口内针对访问所述服务端资源而触发的常规安全防御措施的次数。

同样的，第三预定时间窗口和第四预定时间窗口可根据实际情况设置。所述安全防御措施的次数可以是网关在第四预定时间窗口内针对访问所述服务端资源而触发与SQL注入、XSS攻击、请求参数篡改、重放攻击以及身份校验关联的安全防御措施的次数。

本申请实施例中，当请求端向网关发出请求以请求访问服务端资源时，网关统计请求端所发出的请求的相关参数，同时统计网关针对请求访问服务端资源触发安全认证时该安全认证结果所对应的参数，从而得到与请求访问服务端资源相关联的请求关联数据。

步骤S202,将请求关联数据作为预先训练的请求检测模型的输入进行运算，得到请求的请求类型。

本申请实施例中，可预先建立用于检测请求端所发出的请求是否为风险请求的请求检测模型，在网关获取到与请求访问服务端资源相关联的请求关联数据后，可将该请求关联数据作为请求检测模型的输入进行运算，从而得到该请求的请求类型。

其中，请求检测模型是根据与请求访问应用蜜罐相关联的历史请求关联数据和与历史请求关联数据对应的历史请求类型进行训练得到的。请求的请求类型可以是风险请求或非风险请求，所述风险请求可以是指存在恶意入侵攻击的请求，非风险请求可以是指不存在恶意入侵攻击的请求。

进一步的，本申请实施例中，在通过请求检测模型进行运算之前，还可以对请求关联数据进行量化处理，在确定请求类型时，可以将量化处理后的所述请求关联数据作为预先训练的请求检测模型的输入进行运算，得到请求的请求类型。

例如，请求参数包括在第一预定时间窗口内的请求频率和预设时间段内的请求次数与服务端在第二预定时间窗口内的最佳并发数的比值，认证参数包括网关在第三预定时间窗口内对请求访问服务端资源的数字签名验证失败次数和网关在第四预定时间窗口内针对访问服务端资源而触发的常规安全防御措施的次数。假定第一预定时间窗口内的请求频率为20次/秒，预设时间段内的请求次数与服务端在第二预定时间窗口内的最佳并发数的比值为55％，第三预定时间窗口内对请求访问服务端资源的数字签名验证失败次数为10次，网关在第四预定时间窗口内针对访问服务端资源而触发与SQL注入、XSS攻击、请求参数篡改、重放攻击以及身份校验关联的安全防御措施的次数分别为5次、10次、0次、15次和0次。则将进行量化处理时，可以将这些数据量化为一多维向量，每一个维度的向量值对应一个维度的数据。例如上述所列举的请求关联数据可以量化为一数学表达式为(20,55,10，5,10,0,15,0)的多维向量。

可以理解的，上述将请求关联数据量化处理为多维向量仅是举例说明。

本申请实施例中，训练请求检测模型的流程如图3所述，可以包括如下步骤。

步骤S301,获取与请求访问应用蜜罐相关联的历史请求关联数据。

其中，历史请求关联数据包括请求访问应用蜜罐的历史请求参数和网关针对请求访问应用蜜罐触发安全认证所参数的历史认证参数。

所述历史请求参数可以是指在本申请的请求检测方法之前，请求端向网关发出请求以请求访问应用蜜罐时，所发出的历史请求的相关参数。所述应用蜜罐是指安装在服务端的作为诱饵的应用，可以诱使攻击方对其实施攻击，从而可以对攻击行为进行捕获和分析。

同样的，所述历史请求参数也可以包括在一预定时间窗口内的请求频率，和/或预设时间段内的请求次数与服务端在一预定时间窗口内的最佳并发数的比值，本申请实施例中不再具体说明。

历史认证参数可以是在本申请的请求检测方法之前，网关针对请求访问应用蜜罐触发安全认证时，该安全认证结果所对应的参数。

同样的，历史认证参数也可以包括网关在一预定时间窗口内对请求访问应用蜜罐的数字签名验证失败次数，和/或网关在一预定时间窗口内针对访问应用蜜罐而触发的常规安全防御措施的次数，本申请实施例中不再具体说明。

步骤S302,将历史请求关联数据作为训练模型的输入、历史请求关联数据对应的历史请求类型作为训练模型的输出进行训练，得到请求检测模型。

历史请求关联数据对应的历史请求类型可以是用户对历史请求所对应的请求类型进行人工分析得到的。

同样的，本申请实施例中，在进行训练之前可以将历史请求关联数据进行量化处理，得到一多维向量。可以理解的，在进行训练之前也可以将该历史请求类型进行量化处理。然后将量化处理后的将历史请求关联数据作为训练模型的输入，量化处理后的历史请求类型作为训练模型的输出进行训练，得到该请求检测模型。

步骤S203,基于请求类型，执行与请求类型相应的请求响应策略。

本申请实施例中，请求的请求类型可分为风险请求或非风险请求，若请求类型为非风险请求，则网关不限制请求端对服务端资源的访问，若请求类型为风险请求，则网关限制请求端对服务端资源的访问。

进一步的，在一个可选的实施方式中，风险请求还可以分为低风险请求和高风险请求，针对低风险请求网关可部分限制请求端对服务端资源的访问，如限制请求访问时间和访问流量。针对高风险请求网关可完全限制请求端对服务端资源的访问。

本申请实施例提供的请求检测方法通过获取与请求访问服务端资源相关联的请求关联数据，并将该请求关联数据作为预先训练的请求检测模型的输入进行运算，得到请求的请求类型，从而能够十分方便准确的完成对各类风险请求的检测识别，提升风险请求的识别率，保证应用系统及数据的安全。同时，可针对低风险请求和高风险请求执行不同的请求响应策略，在确保应用系统及数据安全的同时，能够尽可能保障系统的功能。另外，采用基于机器学习的请求检测模型，可通过不断将历史请求关联数据和历史请求类型作为训练样本对请求检测模型进行训练优化，通过自我学习不断完善请求检测模型，强化请求的检测准确率，达到请求检测的自我完善，可满足日益复杂的网络环境所带来的入侵风险的检测识别。

请参阅图4，本申请实施例提供了请求检测装置，请求检测装置包括：

在一个可能的设计中，请求检测装置还包括：

量化模块，用于将所述请求关联数据进行量化处理；

在一个可能的设计中，所述请求参数包括在第一预定时间窗口内的请求频率和/或预设时间段内的请求次数与服务端在第二预定时间窗口内的最佳并发数的比值；

在一个可能的设计中，网关在第四预定时间窗口内针对访问所述服务端资源而触发的常规安全防御措施的次数包括：

在一个可能的设计中，请求检测装置还包括：

本实施例提供的硬件装置的工作过程、工作细节和技术效果，可以参见上述方法实施例的内容，于此不再赘述。

请参阅图5，本申请实施例提供了一种电子设备，该电子设备包括依次通信相连的存储器、处理器和收发器，其中，所述存储器用于存储计算机程序，所述收发器用于收发消息，所述处理器用于读取所述计算机程序，执行如上述实施例所述的请求检测方法。

具体举例的，所述存储器可以但不限于包括随机存取存储器(RAM)、只读存储器(ROM)、闪存(Flash Memory)、先进先出存储器(FIFO)和/或先进后出存储器(FILO)等等；所述处理器可以不限于采用型号为STM32F105系列的微处理器、ARM(Advanced RISCMachines)、X86等架构处理器或集成NPU(neural-network processing units)的处理器；所述收发器可以但不限于为WiFi(无线保真)无线收发器、蓝牙无线收发器、通用分组无线服务技术(General Packet Radio Service，GPRS)无线收发器、紫蜂协议(基于IEEE802.15.4标准的低功耗局域网协议，ZigBee)无线收发器、3G收发器、4G收发器和/或5G收发器等。此外，所述电子设备还可以但不限于包括有电源模块、显示屏和其它必要的部件。

本实施例提供的电子设备的工作过程、工作细节和技术效果，可以参见上述方法实施例的内容，于此不再赘述。

本申请实施例还提供了一种计算机可读存储介质，即所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，执行如上述所述的请求检测方法。其中，所述计算机可读存储介质是指存储数据的载体，可以但不限于包括软盘、光盘、硬盘、闪存、优盘和/或记忆棒(Memory Stick)等，所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。

本实施例提供的计算机可读存储介质的工作过程、工作细节和技术效果，可以参见上述方法实施例，于此不再赘述。

本申请实施例还提供了包含指令的计算机程序产品，当所述指令在计算机上运行时，使所述计算机执行如上述所述的请求检测方法，其中，所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。

以上所描述的多个实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备执行各个实施例或者实施例的某些部分所述的方法。

本发明不局限于上述可选实施方式，任何人在本发明的启示下都可得出其他各种形式的产品，但不论在其形状或结构上作任何变化，凡是落入本发明权利要求界定范围内的技术方案，均落在本发明的保护范围之内。

Claims

1.一种请求检测方法，其特征在于，包括：

其中，所述请求检测模型是根据与请求访问应用蜜罐相关联的历史请求关联数据和与所述历史请求关联数据对应的历史请求类型进行训练得到的，所述请求类型为风险请求或非风险请求；

所述请求参数包括在第一预定时间窗口内的请求频率和/或预设时间段内的请求次数与服务端在第二预定时间窗口内的最佳并发数的比值；

2.如权利要求1所述的方法，其特征在于，所述方法还包括：

3.如权利要求1所述的方法，其特征在于，所述方法还包括:

将所述请求关联数据进行量化处理；

4.如权利要求1所述的方法，其特征在于，网关在第四预定时间窗口内针对访问所述服务端资源而触发的常规安全防御措施的次数包括：

5.如权利要求1所述的方法，其特征在于，所述方法还包括：

6.一种请求检测装置，其特征在于：包括：

7.如权利要求6所述的装置，其特征在于，还包括：

8.一种电子设备，其特征在于，包括：依次通信相连的存储器、处理器和收发器，其中，所述存储器用于存储计算机程序，所述收发器用于收发消息，所述处理器用于读取所述计算机程序，执行如权利要求1～5任意一项所述的请求检测方法。

9.一种计算机可读存储介质，其特征在于：所述计算机可读存储介质上存储有指令，当所述指令在计算机上运行时，执行如权利要求1～5任意一项所述的请求检测方法。