CN113139179A - 基于web攻击的分析方法及装置 - Google Patents
基于web攻击的分析方法及装置 Download PDFInfo
- Publication number
- CN113139179A CN113139179A CN202010060505.2A CN202010060505A CN113139179A CN 113139179 A CN113139179 A CN 113139179A CN 202010060505 A CN202010060505 A CN 202010060505A CN 113139179 A CN113139179 A CN 113139179A
- Authority
- CN
- China
- Prior art keywords
- data
- web
- abnormal
- attack
- log data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000004458 analytical method Methods 0.000 title claims abstract description 61
- 230000002159 abnormal effect Effects 0.000 claims abstract description 176
- 238000001514 detection method Methods 0.000 claims abstract description 109
- 238000007619 statistical method Methods 0.000 claims abstract description 23
- 238000000034 method Methods 0.000 claims description 21
- 230000015654 memory Effects 0.000 claims description 19
- 238000004590 computer program Methods 0.000 claims description 8
- 238000010219 correlation analysis Methods 0.000 claims description 3
- 230000002547 anomalous effect Effects 0.000 claims description 2
- 230000007123 defense Effects 0.000 abstract description 5
- 238000005065 mining Methods 0.000 abstract description 5
- 238000002347 injection Methods 0.000 description 12
- 239000007924 injection Substances 0.000 description 12
- 238000010586 diagram Methods 0.000 description 9
- 239000000243 solution Substances 0.000 description 6
- 230000006870 function Effects 0.000 description 5
- 230000008901 benefit Effects 0.000 description 4
- 230000006399 behavior Effects 0.000 description 3
- 238000010295 mobile communication Methods 0.000 description 3
- 230000005856 abnormality Effects 0.000 description 2
- 238000012098 association analyses Methods 0.000 description 2
- 230000008859 change Effects 0.000 description 2
- 238000004891 communication Methods 0.000 description 2
- 230000007547 defect Effects 0.000 description 2
- 230000008569 process Effects 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 239000000284 extract Substances 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
- G06F16/24—Querying
- G06F16/245—Query processing
- G06F16/2458—Special types of queries, e.g. statistical queries, fuzzy queries or distributed queries
- G06F16/2465—Query processing support for facilitating data mining operations in structured databases
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/10—File systems; File servers
- G06F16/18—File system types
- G06F16/1805—Append-only file systems, e.g. using logs or journals to store data
- G06F16/1815—Journaling file systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- Software Systems (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Databases & Information Systems (AREA)
- Computer Security & Cryptography (AREA)
- Data Mining & Analysis (AREA)
- Computer Hardware Design (AREA)
- Fuzzy Systems (AREA)
- Mathematical Physics (AREA)
- Probability & Statistics with Applications (AREA)
- Computational Linguistics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开了基于web攻击的分析方法及装置，属于信息安全技术领域。本发明能够在内部网络中获取多个终端设备的web日志数据；通过逐个对每一个web日志数据进行威胁检测，进而获取相应的异常数据；采用统计分析的方式对全部异常数据的进行深度挖掘分析，进而溯源内部网络中的终端设备受到攻击的路径(异常web路径信息)，以便于根据该攻击路径对攻击者进行追踪，提升网络安全防御能力。
Description
技术领域
本发明涉及信息安全技术领域，尤其涉及一种基于web攻击的分析方法及装置。
背景技术
网络攻击是黑客或者病毒木马等对电子设备(如：终端设备)发起的攻击，通过窃取文件等给用户带来了巨大损失。攻击者利用恶意程序对网络及信息系统进行入侵控制，达到窃取敏感数据和破坏系统和网络环境的目的，亟待提高对大型应用场景(如：企业内部网络)中对网络攻击的分析及防御能力。
目前，在进行终端设备的系统安全防护时，通常将单一的终端设备的web攻击事件进行相关事件的罗列，无法针对同一网络(如：银行内部专用网络，医院内部专用网络等)中所有终端设备的web攻击事件进行统计分析，不能有效的溯源攻击者的攻击路径。针对现有的系统安全防护因缺少对web攻击事件的关联分析能力，无法溯源攻击者的攻击路径，导致无法有效进行系统防护的缺陷。因此，提出一种新的基于web攻击的分析方式已成为安全技术领域亟待解决的技术问题。
发明内容
有鉴于此，本发明提供一种基于web攻击的分析方法及装置，主要目的在于能够在内部网络中对多个终端设备的web攻击事件进行联合分析，从而获取溯源攻击路径，提升检测网络攻击的能力。
本发明提供了一种基于web攻击的分析方法，应用于内部网络，包括：
获取所述内部网络中至少一个终端设备的web日志数据；
分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
对全部所述异常数据进行统计分析，生成异常web路径信息。
优选的，分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据，包括：
采用第一预设模型检测所述web日志数据是否包括异常数据；
当所述web日志数据包括异常数据时，基于所述异常数据生成异常数据的攻击路径信息。
优选的，当所述web日志数据包括异常数据时，基于所述异常数据生成异常数据的攻击路径信息，包括：
分别根据所述异常数据中每一个异常项对应的异常时间数据顺序，将相应的异常操作状态进行关联，生成与所述web日志数据对应的所述终端设备的攻击路径信息。
优选的，分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据，包括：
采用第二预设模型检测所述web日志数据是否包括异常数据；
当所述web日志数据包括所述异常数据时，获取所述异常数据。
优选的，所述对全部所述异常数据进行统计分析，生成异常web路径信息，包括：
获取每一个所述异常数据中的访问节点数据及相应的时间数据；
根据全部所述时间数据生成时间轴；
依据所述时间轴中的所述时间数据，将相应的访问节点数据关联，生成所述异常web路径信息。
优选的，还包括：
识别每一个所述异常数据的威胁级别；
基于所述威胁级别标记所述异常web路径信息中相应的终端设备的异常数据。
优选的，还包括：
根据所述异常web路径信息生成标识访问节点数据及访问路径的关联分析图像。
本发明还提供了一种基于web攻击的分析装置，应用于内部网络，包括：
获取单元，用于获取所述内部网络中至少一个终端设备的web日志数据；
检测单元，用于分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
分析单元，用于对全部所述异常数据进行统计分析，生成异常web路径信息。
本发明还提供了一种计算机设备，所述计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。
本发明还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述方法的步骤。
本发明提供一种基于web攻击的分析方法及装置，能够获取内部网络中多个终端设备的web日志数据；通过逐个对每一个web日志数据进行威胁检测，进而获取相应的异常数据；采用统计分析的方式对全部异常数据的进行深度挖掘分析，进而溯源内部网络中的终端设备受到攻击的路径(异常web路径信息)，以便于根据该攻击路径对攻击者进行追踪，提升网络安全防御能力。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了本发明基于web攻击的分析装置的一种实施例的架构图；
图2示出了本发明实施例一所述的基于web攻击的分析方法的流程图；
图3示出了本发明获取异常数据的一种实施例的流程图；
图4示出了本发明生成异常web路径信息的一种实施例的流程图；
图5示出了本发明实施例二所述的基于web攻击的分析方法的流程图；
图6示出了本发明实施例三所述的基于web攻击的分析方法的流程图；
图7示出了本发明实施例四所述的基于web攻击的分析方法的流程图；
图8示出了本发明所述的基于web攻击的分析装置的一种实施例的模块图；
图9示出了本发明检测单元内部的一种实施例的模块图；
图10示出了本发明分析单元内部的一种实施例的模块图；
图11示出了本发明计算机设备的一个实施例的硬件架构图。
具体实施方式
以下结合附图与具体实施例进一步阐述本发明的优点。
这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。
在本公开使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本公开。在本公开和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。
应当理解，尽管在本公开可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本公开范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。
在本发明的描述中，需要理解的是，步骤前的数字标号并不标识执行步骤的前后顺序，仅用于方便描述本发明及区别每一步骤，因此不能理解为对本发明的限制。
本申请实施例的终端设备可以是大型视频播放设备、游戏机、台式计算机、智能手机、平板电脑、膝上型便携计算机、电子书阅读器以及其它终端等。
本申请实施例的基于web攻击的分析方法可以应用在医院内部专用网络、银行内部专用网络以及其他企业内部专用网络等大型或中型网络中。本申请实施例中，通过终端设备将web日志数据上传至服务器，由服务器对接收到的待检测信息进行威胁检测，进而获取相应的异常数据，采用统计分析的方式对检测后的全部异常数据进行深度挖掘分析，进而溯源攻击路径。请参考图1，图1是本申请实施例提供的基于web攻击的分析装置架构图。终端设备A、终端设备B、终端设备C和终端设备D分别将各自的待检测信息发送至服务器W，服务器W对接收到的web日志数据分别进行威胁检测，经检测：终端设备D未受到攻击，终端设备A、终端设备B和终端设备C均受到攻击，提取相应的异常数据，对所有的异常数据进行统计分析，进而溯源终端设备A、终端设备B和终端设备C之间的攻击路径。此处的终端设备可以是用户端，可以是web服务器。服务器W可以是云端服务器，还可以是本地服务器。终端设备不局限于图示的移动设备，所有可以进行数据通信的智能终端均可适用。
实施例一
本实施例为了解决现有的攻击分析方法只针对单一终端设备，且仅能分析web攻击事件的缺陷，提出了可对内部网络(如：银行内部专用网络、医院内部专用网络等)中多台终端设备的web攻击事件进行联合分析的基于web攻击的分析方法。参阅图2，其为一符合本实施例基于web攻击的分析方法的流程示意图，从图中可以看出，本实施例中所提供的基于web攻击的分析方法主要包括以下步骤：
S1.获取所述内部网络中至少一个终端设备的web日志数据；
本实施例的终端设备可采用是Linux系统或Windows系统。
对于web日志数据的获取：可通过查询终端设备web日志的方式获取web日志数据，并由终端设备将获取的web日志数据发送至服务器，由服务器采用基于web攻击的分析方法对web日志数据进行检测。
需要说明的是：web日志数据包括与该数据关联的终端设备的IP数据。
S2.分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
在本步骤中，web威胁检测可包括：webshell检测、webshell扫描检测、SQL注入检测、文件上传检测、命令执行检测、扫描器检测、XSS威胁检测、任意文件下载检测、Struts2攻击检测、解析漏洞检测、信息泄露检测、web后门检测和web文件篡改检测中的至少一种检测。
进一步地，如图3所示步骤S2可包括：
S21.采用第一预设模型检测所述web日志数据是否包括异常数据；
在本步骤中，第一预设模型可包括：webshell检测模型、webshell扫描检测模型、SQL注入检测模型、文件上传检测模型、命令执行检测模型、扫描器检测模型、XSS威胁检测模型、任意文件下载检测模型、Struts2攻击检测模型和解析漏洞检测模型中的至少一种检测模型。异常数据可以包括webshell异常项、webshell扫描异常项、SQL注入异常项、文件上传异常项、命令执行异常项、扫描器检测异常项、XSS威胁异常项、文件下载异常项、Struts2攻击异常项和漏洞异常项中的至少一种异常项，将web日志数据分别与第一预设模型进行匹配，以识别web日志数据是否存在异常数据。
S22.当所述web日志数据包括异常数据时，基于所述异常数据生成异常数据的攻击路径信息。
进一步的，步骤S22可包括分别根据所述异常数据中每一个异常项对应的异常时间数据顺序，将相应的异常操作状态进行关联，生成与所述web日志数据对应的所述终端设备的攻击路径信息。
作为举例而非限定，一个终端设备的异常数据可包括多个异常项，每一个异常项对应相应的时间节点；将终端设备的web日志数据与webshell检测模型进行匹配，若匹配，则获取web日志数据中的webshell数据，基于该webshell数据获取web日志数据中与其相关的IP地址，基于该IP地址查询web日志数据以获取相关操作数据，进而生成webshell检测的攻击路径信息；将终端设备的web日志数据与任意文件下载检测模型进行匹配，获取匹配的文件下载路径，基于该文件下载路径查询web日志数据以获取web扫描器，根据web扫描器查询web日志数据以获取与其关联的访问敏感路径操作，根据访问敏感路径查询web日志数据获取shell注入操作，根据shell注入操作追溯到异常IP首次访问记录，从而获取任意文件下载检测的攻击路径信息(例如：异常IP首次访问→shell注入→访问敏感路径→web扫描器→文件下载)。
在本实施例中，步骤S2还可包括步骤A：采用第二预设模型检测所述web日志数据是否包括异常数据；当所述web日志数据包括所述异常数据时，获取所述异常数据。
本实施例中的第二预设模型可包括信息泄露检测模型、web后门检测模型和web文件篡改检测模型中的至少一种模型。
在步骤A中将web日志数据与web后门检测模型进行匹配，可获取web后门的类别、位置、访问次数、持续时间等异常数据；将web日志数据与web文件篡改检测模型进行匹配，可得到内存发生变化的文件路径，以及发生变化的时间等异常数据；将web日志数据与信息泄露检测模型进行匹配，可得到文件上传/攻击压缩文件上传的路径、开放端口等异常信息，从而获取攻击者IP的攻击次数、地域分布等信息进行统计分析。
在实际应用中，对进行web威胁检测时，将web日志数据与相应的检测模型中的检测数据进行匹配，若匹配，则存在异常；若不匹配，则表示数据正常。
S3.对全部所述异常数据进行统计分析，生成异常web路径信息。
在本步骤中，通过将所有终端设备的异常数据进行统计分析，以获取受到攻击的终端设备之间的关联关系。
进一步地，如图4所示步骤S3可包括：
S31.获取每一个所述异常数据中的访问节点数据及相应的时间数据；
S32.根据全部所述时间数据生成时间轴；
S33.依据所述时间轴中的所述时间数据，将相应的访问节点数据关联，生成所述异常web路径信息。
在步骤S3中，提取每一终端设备的异常数据中的异常访问节点(访问IP地址)及相应的访问时刻，根据所有的异常访问时刻生成时间轴，根据该时间轴上的异常访问时刻，将相应的异常访问节点顺序关联，进而生成包括异常访问节点及相应访问时刻的异常web路径信息。
在本实施例中，基于web攻击的分析方法能够获取内部网络中多个终端设备的web日志数据；通过逐个对每一个web日志数据进行威胁检测，进而获取相应的异常数据；采用统计分析的方式对全部异常数据的进行深度挖掘分析，进而得到溯源内部网络中的终端设备受到攻击的路径(异常web路径信息)，以便于根据该攻击路径对攻击者进行追踪，提升网络安全防御能力。
实施例二
参考图5本实施例提供了一种基于web攻击的分析方法，应用于内部网络，包括下述步骤：
S1.获取所述内部网络中至少一个终端设备的web日志数据；
B.识别每一所述终端设备的web日志数据类型，并标记所述web日志数据；
其中，web日志数据类型与应终端设备的web系统类型相对应。
S2.分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
S4.分别对每一种类型的全部所述异常数据进行统计分析，生成异常web路径信息。
在本实施例中，基于web攻击的分析方法可对多个不同的web系统进行web攻击的分析。若对内部网络的多个终端设备进行分析时，涉及到多个web系统，可分别根据终端设备的web日志数据类型的不同，将每一种类型的所有异常数据分别进行统计分析，进而生成多个异常web路径信息。
实施例三
参考图6本实施例提供了一种基于web攻击的分析方法，应用于内部网络，包括下述步骤：
S1.获取所述内部网络中至少一个终端设备的web日志数据；
S2.分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
S3.对全部所述异常数据进行统计分析，生成异常web路径信息；
S5.识别每一个所述异常数据的威胁级别；
S6.基于所述威胁级别标记所述异常web路径信息中相应的终端设备的异常数据。
在本实施例中，根据每一异常数据对应的异常攻击行为级别(如：被攻击或存在威胁情报)，对相应的异常数据的终端设备的IP地址进行标记。从而直观的了解受到异常攻击的终端设备被攻击的情况，以及别攻击的路径，以便对攻击者的攻击行为进行分析。
实施例四
参考图7本实施例提供了一种基于web攻击的分析方法，应用于内部网络，包括下述步骤：
S1.获取所述内部网络中至少一个终端设备的web日志数据；
S2.分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
S3.对全部所述异常数据进行统计分析，生成异常web路径信息；
S7.根据所述异常web路径信息生成标识访问节点数据及访问路径的关联分析图像。
在本实施例中，可根据异常web路径信息中的访问节点、访问时刻及访问路径，生成关联分析图，从而直观的了解受到异常攻击的终端设备被攻击的情况，以及别攻击的路径，以便对攻击者的攻击行为进行分析。
实施例五
参考图8本实施例提供了一种基于web攻击的分析装置1，应用于内部网络，包括：获取单元11、检测单元12和分析单元13；其中，
获取单元11，用于获取所述内部网络中至少一个终端设备的web日志数据；
本实施例的终端设备可采用是Linux系统或Windows系统。
对于web日志数据的获取：可通过查询终端设备web日志的方式获取web日志数据，并由终端设备将获取的web日志数据发送至服务器，由服务器采用基于web攻击的分析方法对web日志数据进行检测。
需要说明的是：web日志数据包括与该数据关联的终端设备的IP数据。
检测单元12，用于分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
本实施例中的web威胁检测可包括：webshell检测、webshell扫描检测、SQL注入检测、文件上传检测、命令执行检测、扫描器检测、XSS威胁检测、任意文件下载检测、Struts2攻击检测、解析漏洞检测、信息泄露检测、web后门检测和web文件篡改检测中的至少一种检测。
进一步地，如图9所示检测单元12可包括：第一检测模型121和第二检测模型122；
第一检测模型121，用于采用第一预设模型检测所述web日志数据是否包括异常数据；
其中，第一预设模型可包括：webshell检测模型、webshell扫描检测模型、SQL注入检测模型、文件上传检测模型、命令执行检测模型、扫描器检测模型、XSS威胁检测模型、任意文件下载检测模型、Struts2攻击检测模型和解析漏洞检测模型中的至少一种检测模型。异常数据可以包括webshell数据、webshell扫描异常项、SQL注入异常项、文件上传异常项、命令执行异常项、扫描器检测异常项、XSS威胁异常项、文件下载异常项、Struts2攻击异常项和漏洞异常项中的至少一种异常项，将web日志数据分别与第一预设模型中的检测模型进行匹配，以识别web日志数据是否存在异常数据。
当所述web日志数据包括异常数据时，第一检测模型121基于所述异常数据生成异常数据的攻击路径信息；
具体地，第一检测模型121可分别根据所述异常数据中每一个异常项对应的异常时间数据顺序，将相应的异常操作状态进行关联，生成与所述web日志数据对应的所述终端设备的攻击路径信息。
作为举例而非限定，一个终端设备的异常数据可包括多个异常项，每一个异常项对应相应的时间节点；将终端设备的web日志数据与webshell检测模型进行匹配，若匹配，则获取web日志数据中的webshell数据，基于该webshell数据获取web日志数据中与其相关的IP地址，基于该IP地址查询web日志数据以获取相关操作数据，进而生成webshell检测的攻击路径信息；将终端设备的web日志数据与任意文件下载检测模型进行匹配，获取匹配的文件下载路径，基于该文件下载路径查询web日志数据以获取web扫描器，根据web扫描器查询web日志数据以获取与其关联的访问敏感路径操作，根据访问敏感路径查询web日志数据获取shell注入操作，根据shell注入操作追溯到异常IP首次访问记录，从而获取任意文件下载检测的攻击路径信息(例如：异常IP首次访问→shell注入→访问敏感路径→web扫描器→文件下载)。
第二检测模型122，用于采用第二预设模型检测所述web日志数据是否包括异常数据；当所述web日志数据包括所述异常数据时，获取所述异常数据；
其中，第二预设模型可包括信息泄露检测模型、web后门检测模型和web文件篡改检测模型中的至少一种模型。
在本实施例中，将web日志数据与web后门检测模型进行匹配，可获取web后门的类别、位置、访问次数、持续时间等异常数据；将web日志数据与web文件篡改检测模型进行匹配，可得到内存发生变化的文件路径，以及发生变化的时间等异常数据；将web日志数据与信息泄露检测模型进行匹配，可得到文件上传/攻击压缩文件上传的路径、开放端口等异常信息，从而获取攻击者IP的攻击次数、地域分布等信息进行统计分析。
在实际应用中，对进行web威胁检测时，将web日志数据与相应的检测模型中的检测数据进行匹配，若匹配，则存在异常；若不匹配，则表示数据正常。
分析单元13，用于对全部所述异常数据进行统计分析，生成异常web路径信息。
本实施例中，通过将所有终端设备的异常数据进行统计分析，以获取受到攻击的终端设备之间的关联关系。
进一步地，如图10所示分析单元13可包括：获取模块131、生成模块132和关联模块133；其中，
获取模块131，用于获取每一个所述异常数据中的访问节点数据及相应的时间数据；
生成模块132，用于根据全部所述时间数据生成时间轴；
关联模块133，用于依据所述时间轴中的所述时间数据，将相应的访问节点数据关联，生成所述异常web路径信息。
本实施例中，通过分析单元13提取每一终端设备的异常数据中的异常访问节点(访问IP地址)及相应的访问时刻，根据所有的异常访问时刻生成时间轴，根据该时间轴上的异常访问时刻，将相应的异常访问节点顺序关联，进而生成包括异常访问节点及相应访问时刻的异常web路径信息。
在本实施例中，基于web攻击的分析装置1能够获取内部网络中多个终端设备的web日志数据；通过逐个对每一个web日志数据进行威胁检测，进而获取相应的异常数据；采用统计分析的方式对全部异常数据的进行深度挖掘分析，进而溯源内部网络中的终端设备受到攻击的路径(异常web路径信息)，以便于根据该攻击路径对攻击者进行追踪，提升网络安全防御能力。
实施例六
如图11所示，一种计算机设备2，所述计算机设备2包括：
存储器21，用于存储可执行程序代码；以及
处理器22，用于调用所述存储器21中的所述可执行程序代码，执行步骤包括上述的基于web攻击的分析方法。
图11中以一个处理器22为例。
存储器21作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块，如本申请实施例中的基于web攻击的分析方法对应的程序指令/模块(例如，图8至图10所示的单元/模块)。处理器22通过运行存储在存储器21中的非易失性软件程序、指令以及模块，从而执行计算机设备2的各种功能应用以及数据处理，即实现上述实施例基于web攻击的分析装置1。
存储器21可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储用户在计算机设备2的处理信息。此外，存储器21可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，存储器21可选包括相对于处理器22远程设置的存储器21，这些远程存储器21可以通过网络连接至基于web攻击的分析装置1。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
所述一个或者多个模块存储在所述存储器21中，当被所述一个或者多个处理器22执行时，执行上述任意方法实施例中的基于web攻击的分析装置1，例如，执行以上描述的图2-图7步骤，实现图8-图10的功能。
上述产品可执行本申请实施例所提供的方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本申请实施例所提供的方法。
本申请实施例的计算机设备2以多种形式存在，包括但不限于:
(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。
(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。
(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。
(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子装置。
实施例七
本申请实施例提供了一种非易失性计算机可读存储介质，所述计算机可读存储介质存储有计算机可执行指令，该计算机可执行指令被一个或多个处理器执行，例如图11中的一个处理器22，可使得上述一个或多个处理器22可执行上述任意方法实施例中的基于web攻击的分析装置1，例如，执行以上描述的图2-图7步骤，实现图8-图10的功能。
以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到至少两个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。
通过以上的实施方式的描述，本领域普通技术人员可以清楚地了解到各实施方式可借助软件加通用硬件平台的方式来实现，当然也可以通过硬件。本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)或随机存储记忆体(RandomAccessMemory，RAM)等。
最后应说明的是：以上各实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述各实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。
Claims (10)
1.一种基于web攻击的分析方法，其特征在于，应用于内部网络，包括：
获取所述内部网络中至少一个终端设备的web日志数据；
分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
对全部所述异常数据进行统计分析，生成异常web路径信息。
2.根据权利要求1所述的基于web攻击的分析方法，其特征在于，分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据，包括：
采用第一预设模型检测所述web日志数据是否包括异常数据；
当所述web日志数据包括异常数据时，基于所述异常数据生成异常数据的攻击路径信息。
3.根据权利要求2所述的基于web攻击的分析方法，其特征在于，当所述web日志数据包括异常数据时，基于所述异常数据生成异常数据的攻击路径信息，包括：
分别根据所述异常数据中每一个异常项对应的异常时间数据顺序，将相应的异常操作状态进行关联，生成与所述web日志数据对应的所述终端设备的攻击路径信息。
4.根据权利要求1所述的基于web攻击的分析方法，其特征在于，分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据，包括：
采用第二预设模型检测所述web日志数据是否包括异常数据；
当所述web日志数据包括所述异常数据时，获取所述异常数据。
5.根据权利要1所述的基于web攻击的分析方法，其特征在于，所述对全部所述异常数据进行统计分析，生成异常web路径信息，包括：
获取每一个所述异常数据中的访问节点数据及相应的时间数据；
根据全部所述时间数据生成时间轴；
依据所述时间轴中的所述时间数据，将相应的访问节点数据关联，生成所述异常路径信息。
6.根据权利要求1所述的基于web攻击的分析方法，其特征在于，还包括：
识别每一个所述异常数据的威胁级别；
基于所述威胁级别标记所述异常路径信息中相应的终端设备的异常数据。
7.根据权利要求1所述的基于web攻击的分析方法，其特征在于，还包括：
根据所述异常路径信息生成标识访问节点数据及访问路径的关联分析图像。
8.一种基于web攻击的分析装置，其特征在于，应用于内部网络，包括：
获取单元，用于获取所述内部网络中至少一个终端设备的web日志数据；
检测单元，用于分别对每一个所述web日志数据进行web威胁检测，获取相应的异常数据；
分析单元，用于对全部所述异常数据进行统计分析，生成异常web路径信息。
9.一种计算机设备，所述计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现权利要求1至7任一项所述方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现权利要求1至7任一项所述方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010060505.2A CN113139179A (zh) | 2020-01-19 | 2020-01-19 | 基于web攻击的分析方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010060505.2A CN113139179A (zh) | 2020-01-19 | 2020-01-19 | 基于web攻击的分析方法及装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN113139179A true CN113139179A (zh) | 2021-07-20 |
Family
ID=76808777
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010060505.2A Pending CN113139179A (zh) | 2020-01-19 | 2020-01-19 | 基于web攻击的分析方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113139179A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115913705A (zh) * | 2022-11-14 | 2023-04-04 | 百润红科技有限公司 | 一种多维数据驱动的网络数据安全分析方法 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107454103A (zh) * | 2017-09-07 | 2017-12-08 | 杭州安恒信息技术有限公司 | 基于时间线的网络安全事件过程分析方法及系统 |
| CN108769077A (zh) * | 2018-07-06 | 2018-11-06 | 武汉思普崚技术有限公司 | 一种网络安全溯源分析的方法及装置 |
| CN109600387A (zh) * | 2018-12-29 | 2019-04-09 | 360企业安全技术(珠海)有限公司 | 攻击事件的追溯方法及装置、存储介质、计算机设备 |
| US10291637B1 (en) * | 2016-07-05 | 2019-05-14 | Palantir Technologies Inc. | Network anomaly detection and profiling |
-
2020
- 2020-01-19 CN CN202010060505.2A patent/CN113139179A/zh active Pending
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10291637B1 (en) * | 2016-07-05 | 2019-05-14 | Palantir Technologies Inc. | Network anomaly detection and profiling |
| CN107454103A (zh) * | 2017-09-07 | 2017-12-08 | 杭州安恒信息技术有限公司 | 基于时间线的网络安全事件过程分析方法及系统 |
| CN108769077A (zh) * | 2018-07-06 | 2018-11-06 | 武汉思普崚技术有限公司 | 一种网络安全溯源分析的方法及装置 |
| CN109600387A (zh) * | 2018-12-29 | 2019-04-09 | 360企业安全技术(珠海)有限公司 | 攻击事件的追溯方法及装置、存储介质、计算机设备 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115913705A (zh) * | 2022-11-14 | 2023-04-04 | 百润红科技有限公司 | 一种多维数据驱动的网络数据安全分析方法 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| AU2017254815B2 (en) | Anomaly detection to identify coordinated group attacks in computer networks | |
| CN111030986B (zh) | 一种攻击组织溯源分析的方法、装置及存储介质 | |
| CN113141335B (zh) | 网络攻击检测方法及装置 | |
| CN111274583A (zh) | 一种大数据计算机网络安全防护装置及其控制方法 | |
| WO2013142573A1 (en) | System and method for crowdsourcing of mobile application reputations | |
| CN108293044A (zh) | 用于经由域名服务流量分析来检测恶意软件感染的系统和方法 | |
| US11777961B2 (en) | Asset remediation trend map generation and utilization for threat mitigation | |
| CN114531258B (zh) | 网络攻击行为的处理方法和装置、存储介质及电子设备 | |
| CN110188538B (zh) | 采用沙箱集群检测数据的方法及装置 | |
| CN110880983A (zh) | 基于场景的渗透测试方法及装置、存储介质、电子装置 | |
| WO2016014014A1 (en) | Remedial action for release of threat data | |
| CN113496033A (zh) | 访问行为识别方法和装置及存储介质 | |
| US20200327224A1 (en) | Attack Kill Chain Generation and Utilization for Threat Analysis | |
| CN114329448A (zh) | 一种系统安全检测方法、装置、电子设备及存储介质 | |
| CN111683084A (zh) | 一种智能合约入侵检测方法、装置、终端设备及存储介质 | |
| CN113079157A (zh) | 获取网络攻击者位置的方法、装置、电子设备 | |
| CN114363002B (zh) | 一种网络攻击关系图的生成方法及装置 | |
| CN113139179A (zh) | 基于web攻击的分析方法及装置 | |
| CN110611675A (zh) | 向量级检测规则生成方法、装置、电子设备及存储介质 | |
| CN111027063A (zh) | 防止终端感染蠕虫的方法、装置、电子设备及存储介质 | |
| CN113364766B (zh) | 一种apt攻击的检测方法及装置 | |
| CN114268481A (zh) | 内网终端违规外联信息处理方法、装置、设备和介质 | |
| CN114640484A (zh) | 网络安全对抗方法、装置和电子设备 | |
| US11777989B1 (en) | Automated deployment of decoy production networks | |
| CN113141334A (zh) | 基于网络攻击的数据采集、分析方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20210720 |
|
| RJ01 | Rejection of invention patent application after publication |