CN114244618B - 一种异常访问检测方法、装置、电子设备及存储介质 - Google Patents

一种异常访问检测方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN114244618B
CN114244618B CN202111578668.0A CN202111578668A CN114244618B CN 114244618 B CN114244618 B CN 114244618B CN 202111578668 A CN202111578668 A CN 202111578668A CN 114244618 B CN114244618 B CN 114244618B
Authority
CN
China
Prior art keywords
access
filter
network message
current
hash value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111578668.0A
Other languages
English (en)
Other versions
CN114244618A (zh
Inventor
徐自全
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Topsec Technology Co Ltd
Beijing Topsec Network Security Technology Co Ltd
Beijing Topsec Software Co Ltd
Original Assignee
Beijing Topsec Technology Co Ltd
Beijing Topsec Network Security Technology Co Ltd
Beijing Topsec Software Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Topsec Technology Co Ltd, Beijing Topsec Network Security Technology Co Ltd, Beijing Topsec Software Co Ltd filed Critical Beijing Topsec Technology Co Ltd
Priority to CN202111578668.0A priority Critical patent/CN114244618B/zh
Publication of CN114244618A publication Critical patent/CN114244618A/zh
Application granted granted Critical
Publication of CN114244618B publication Critical patent/CN114244618B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/22—Indexing; Data structures therefor; Storage structures
    • G06F16/2228—Indexing structures
    • G06F16/2255—Hash tables
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/24—Querying
    • G06F16/245—Query processing
    • G06F16/2458—Special types of queries, e.g. statistical queries, fuzzy queries or distributed queries
    • G06F16/2471—Distributed queries

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Fuzzy Systems (AREA)
  • Probability & Statistics with Applications (AREA)
  • Mathematical Physics (AREA)
  • Computational Linguistics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请实施例提供一种异常访问检测方法、装置、电子设备及存储介质，涉及网络安全技术领域。该方法包括对流经网关的网络报文进行解析，以获取所述网络报文的源IP；若所述源IP存在于预设的布隆过滤访问记录表中，则计算所述网络报文的访问哈希值；基于所述访问哈希值匹配所述布隆过滤访问记录表，以确定所述网络报文是否为异常访问，无需提前确定每个ip的边界信息或者可信任资源池，不用访问大量日志信息，而且消耗的计算资源和内存资源小，实时性强，安全网关类设备均可部署，解决了现有方法消耗大量计算资源和内存资源并且耗时较长，实时性也较差的问题。

Description

一种异常访问检测方法、装置、电子设备及存储介质
技术领域
本申请涉及网络安全技术领域，具体而言，涉及一种异常访问检测方法、装置、电子设备及存储介质。
背景技术
针对互联网基础设施和金融、证券、交通、能源、海关、税务、工业、科技等重点行业的联网信息系统的探测、渗透和攻击逐渐增多。现有的异常访问的网络安全检测技术有：第一种，通过查询访问日志信息，对比可信任地址资源池(该资源池中包含可信任的ip地址端口以及协议等信息)；确定异常访问地址，并对异常访问地址对应的访问日志信息进行聚类分析，确定异常访问行为；第二种，首先生成网络行为主体的访问边界，监听网络环境中的网络报文，分析网络报文得到网络报文的源IP、目的IP、网络协议和服务端口；判断网络报文的源IP、目的IP、网络协议和服务端口是否存在于访问边界之外，从而确定异常访问行为；第三种，记录网络中的所有流量，从中分析用户的异常行为。
但是，查询访问日志，并对比可信任资源池，需要访问大量日志，并做大量的匹配操作，消耗计算资源并且耗时较大，实时性也较差；而分析网络报文得到源IP、目的IP、网络协议和服务端口再对比访问边界，则需要提前分析确定每个网络行为主体的边界信息，并存储访问边界信息，该访问边界信息可能消耗大量的内存资源；记录网络中的所有流量，从中分析用户的异常行为，该方法对存储资源和计算资源的要求较大，不适合安全网关类设备。
发明内容
本申请实施例的目的在于提供一种异常访问检测方法、装置、电子设备及存储介质，通过在内存中形成某一IP的布隆过滤访问记录表，再将当前网络报文与布隆过滤访问记录表进行比对，从而判定异常访问行为，无需提前确定每个ip的边界信息或者可信任资源池，不用访问大量日志信息，而且消耗的计算资源和内存资源小，实时性强，安全网关类设备均可部署，解决了现有方法消耗大量计算资源和内存资源并且耗时较长，实时性也较差的问题。
本申请实施例提供了一种异常访问检测方法，所述方法包括：
对流经网关的网络报文进行解析，以获取所述网络报文的源IP；
若所述源IP存在于预设的布隆过滤访问记录表中，则计算所述网络报文的访问哈希值；
基于所述访问哈希值匹配所述布隆过滤访问记录表，以确定所述网络报文是否为异常访问。
在上述实现过程中，通过建立布隆过滤访问记录表，当有网络报文通过网关时，通过比对布隆过滤访问记录表确定是否为异常访问行为，该方法无需提前确定每个ip的边界信息或者可信任资源池，不用访问大量日志信息，而且消耗的计算资源和内存资源小，实时性强，安全网关类设备均可部署，解决了现有方法消耗大量计算资源和内存资源并且耗时较长，实时性也较差的问题。
进一步地，在所述若所述源IP存在于预设的布隆过滤访问记录表中，则计算所述网络报文的访问哈希值的步骤之前，所述方法还包括：
记录已知内网IP在设定时间周期内的访问记录，所述访问记录包括源IP、目的IP、网络协议、源端口和目的端口；
计算所述访问记录的哈希值，并将所述哈希值存储至以源IP为节点的布隆过滤访问记录表。
在上述实现过程中，通过记录某ip在设定周期如一周内的访问记录并计算源IP、目的IP、网络协议、源端口和目的端口的哈希值，将哈希值记录在hash表上，在内存中形成此ip的布隆过滤访问记录表。
进一步地，所述基于所述访问哈希值匹配所述布隆过滤访问记录表，以确定所述网络报文是否为异常访问，包括：
若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述布隆过滤访问记录表中的当前过滤器中进行查找；
若不在所述当前过滤器中，则在非空的历史过滤器中查找；
若不在所述历史过滤器中，则将所述网络报文判定为异常访问并存储至异常访问数据库中。
在上述实现过程中，将网络报文的访问哈希值在设定时间周期内与布隆过滤访问记录进行匹配，若均不在当前过滤器和历史过滤器中，则说明该网络报文为异常访问行为。
进一步地，所述若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述访问记录表中的当前过滤器中进行查找，包括：
若在所述当前过滤器中，则更新所述当前过滤器的当前时间。
在上述实现过程中，若在当前过滤器中，则更新当前过滤器的当前时间，以便用于后续检测。
进一步地，所述基于所述访问哈希值匹配所述访问记录表，以确定所述网络报文是否为异常访问，包括：
若所述网络报文的最新记录时间不在设定时间周期内，则清空历史过滤器并替换为当前过滤器；
清空所述当前过滤器并记录当前时间。
在上述实现过程中，若该网络报文不在设定时间周期内，则可更新当前时间。
进一步地，所述方法还包括：
若所述源IP不存在于预设的布隆过滤访问记录表中，则新建hash节点、初始化当前过滤器并记录当前时间；
将所述访问哈希值存储至当前过滤器中，所述访问哈希值为以源IP、目的IP、网络协议、源端口和目的端口计算生成的哈希值。
在上述实现过程中，若网络报文不在预设的布隆过滤访问记录表中，则可将该网络报文的IP信息对应的哈希值进行存储，以对该布隆过滤访问记录表进行补充，用于后续报文的检测。
本申请实施例还提供一种异常访问检测装置，所述装置包括：
解析模块，用于对流经网关的网络报文进行解析，以获取所述网络报文的源IP；
计算模块，用于若所述源IP存在于预设的访问记录表中，则计算所述网络报文的访问哈希值；
检测模块，用于基于所述访问哈希值匹配所述访问记录表，以确定所述网络报文是否为异常访问。
在上述实现过程中，通过建立布隆过滤访问记录表，当有网络报文通过网关时，通过比对布隆过滤访问记录表确定是否为异常访问行为，该方法无需提前确定每个ip的边界信息或者可信任资源池，不用访问大量日志信息，而且消耗的计算资源和内存资源小，实时性强，安全网关类设备均可部署，解决了现有方法消耗大量计算资源和内存资源并且耗时较长，实时性也较差的问题。
进一步地，所述检测模块包括：
时间判断模块，用于若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述访问记录表中的当前过滤器中进行查找；
查找模块，用于若不在所述当前过滤器中，则在非空的历史过滤器中查找；
判定模块，用于若不在所述历史过滤器中，则将所述网络报文判定为异常访问并存储至异常访问数据库中。
在上述实现过程中，将网络报文的访问哈希值在设定时间周期内与布隆过滤访问记录进行匹配，若均不在当前过滤器和历史过滤器中，则说明该网络报文为异常访问行为。
本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行上述中任一项所述的异常访问检测方法。
本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述中任一项所述的异常访问检测方法。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。
图1为本申请实施例提供的一种异常访问检测方法的流程图；
图2为本申请实施例提供的异常访问检测流程图；
图3为本申请实施例提供的布隆过滤访问记录表建立流程图；
图4为本申请实施例提供的网络报文的具体检测流程图；
图5为本申请实施例提供的超过七天的网络报文处理流程图；
图6为本申请实施例提供的hash节点建立流程图；
图7为本申请实施例提供的一种异常访问检测装置的结构框图；
图8为本申请实施例提供的另一种异常访问检测装置的结构框图。
图标：
100-解析模块；110-访问记录表建立模块；200-计算模块；300-检测模块；311-时间判断模块；312-查找模块；313-判定模块；320-清空模块；400-节点创建模块。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。
应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。
请参看图1，图1为本申请实施例提供的一种异常访问检测方法的流程图。该方法用于对经过网关的网络报文进行检测，以判断是否属于异常访问行为，提供了一种判断网络攻击的辅助手段。通过记录某IP在过去一周或者一月的访问记录(包含源IP、目的IP、网络协议和服务端口)在内存中形成此ip的布隆过滤访问记录表；分析当前通过网关设备的网络报文得到源IP、目的IP、网络协议和服务端口，再对比布隆过滤访问记录表，若判定某些访问行为是异常访问行为，则形成异常事件数据库，如果其他安全事件认为资产可疑，就可以查询异常事件数据库作为参考。该方法不用提前确定每个IP的边界信息或者可信任资源池，不用访问大量日志信息，而且消耗的计算资源和内存资源小，实时性强，安全网关类设备可部署。
具体包括以下步骤：
步骤S100：对流经网关的网络报文进行解析，以获取所述网络报文的源IP；
步骤S200：若所述源IP存在于预设的布隆过滤访问记录表中，则计算所述网络报文的访问哈希值；
步骤S300：基于所述访问哈希值匹配所述布隆过滤访问记录表，以确定所述网络报文是否为异常访问。
示例地，如图2所示，为异常访问检测流程图，当有网络流量经过网关设备时，利用布隆过滤访问记录表对该网络流量进行异常访问行为检测。
在此之前，需要预先建立布隆过滤访问记录表，如图3所示，为布隆过滤访问记录表建立流程图，具体地：
步骤S111：记录已知内网IP在设定时间周期内的访问记录，所述访问记录包括源IP、目的IP、网络协议、源端口和目的端口；
步骤S112：计算所述访问记录的哈希值，并将所述哈希值存储至以源IP为节点的布隆过滤访问记录表。
当有网络流量通过网关设备时，首先判断是否为内网IP，若是，则将网络流量的源IP、目的IP、网络协议、源端口和目的端口进行hash计算，并将计算结果存入布隆过滤访问记录表中，依该种方式，记录连续一个时间周期如7天的访问信息，生成布隆过滤访问记录表，以该布隆过滤访问记录表为依据，之后如果再有该源IP的网络流量，则可以以该布隆过滤访问记录表为依据进行匹配，判断是否已经记录过，如果未有之前的记录则认为是一次异常访问，记入异常访问数据库。
相比于其它的数据结构，布隆过滤器在空间和时间方面都有巨大的优势。布隆过滤器存储空间和插入/查询时间都是常数。另外，Hash函数相互之间没有关系，方便由硬件并行实现。布隆过滤器不需要存储元素本身，在某些对保密要求非常严格的场合有优势，基于此优势，可以方便的将IP访问五元组(源IP、目的IP、网络协议、源端口和目的端口)存于布隆过滤访问记录表中，而不必消耗过多的内存资源和计算资源。
具体检测过程如下：
对于步骤S100，解析流经网关设备的网络报文，获取源IP信息。
对于步骤S200，检查该源IP是否存在于ip_hash表中，即是否为布隆过滤访问记录表的一个节点，ip＝key,hash(key)，如果冲突(key不同，hash(key)相同)则通过链表法解决冲突。
如图4所示，为网络报文的具体检测流程图，若网络报文经过hash计算在ip_hash表中匹配成功，则进行如下步骤：
步骤S311：若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述布隆过滤访问记录表中的当前过滤器中进行查找；
步骤S312：若不在所述当前过滤器中，则在非空的历史过滤器中查找；
步骤S313：若不在所述历史过滤器中，则将所述网络报文判定为异常访问并存储至异常访问数据库中。
示例地，设定时间周期为7天，则判断该网络报文上次的最新记录时间filter_current_create_time是否超过7天。如果未超过7天，则以目的IP、目的端口和协议ID进行hash计算得到的访问哈希值即以x＝(目的IP+目的端口+协议ID)计算布隆过滤hash值h1(x),h2(x)…hk(x)，并在当前过滤器filter_current中查找；若B[h1(x)]＝＝1&&B[h1(x)]＝＝1…B[hk(x)]＝＝1，即为找到，否则为未找到；若未找到，则在历史过滤器filter_last中查找，具体查找过程与上述相同，若仍未找到，则将该网络报文判定为异常访问，并记录进异常访问数据库中。
当一个已知报文被加入布隆过滤访问记录表时，通过K个散列函数将这个报文的IP访问五元组映射到一个位数组B[M]中的K个点，把它们置为1，即对五元组进行hash计算，得到hash值，该hash值对应B[M]中的一个点位，k次hash即得到K个点位。判断某个待测报文时，再通过这K个散列函数将这个待测报文进行映射，判断K个点的每一位是不是都是1；如果任何一位有一个是0，则该布隆过滤访问记录表中一定不存在该待测报文；如果都是1，则待测报文很可能存在。
Bloom Filter跟单个哈希函数映射不同，Bloom Filter使用了k个哈希函数，每个元素跟k个bit对应。从而降低了冲突的概率。通过调节参数k和位数组B[M]的大小就可以调节计算量和消耗内存的大小，通常参数k设置为10以内的数量并且数组B[M]大小在10M以内就可满足百万数据量的99.9％以上的准确度。相比于普通的单个hash存储或者全量数据存储有明显的优势，作为一种判别异常访问的辅助手段，并不需要100％的准确，相对内存大小和计算量的明显节约，这种方法有比较明显的优势。
若在当前过滤器filter_current中找到，则更新当前过滤器filter_current的当前时间filter_current_create_time并结束。
如图5所示，为超过七天的网络报文处理流程图，若判断该网络报文上次的最新记录已经超过7天，则：
步骤S321：若所述网络报文的最新记录时间不在设定时间周期内，则清空历史过滤器并替换为当前过滤器；
步骤S322：清空所述当前过滤器并记录当前时间。
如果该网络报文上次的最新记录时间filter_current_create_time超过7天，则清空历史过滤器filter_last，并替换为当前过滤器filter_current；清空当前过滤器filter_current，记录当前时间filter_current_create_time，对filter_current_create_time进行更新。
如图6所示，为hash节点建立流程图，若网络报文经过hash计算在ip_hash表中没有匹配成功，则：
步骤S401：若所述源IP不存在于预设的布隆过滤访问记录表中，则新建hash节点、初始化当前过滤器并记录当前时间；
步骤S402：将所述访问哈希值存储至当前过滤器中，所述访问哈希值为以源IP、目的IP、网络协议、源端口和目的端口计算生成的哈希值。
若网络报文的IP不在ip_hash表(布隆过滤访问记录表依附于ip_hash表)中，则新建hash节点，初始化当前过滤器filter_current，记录当前时间在filter_current_create_time中；以目的IP、目的端口和协议ID计算布隆过滤hash结果并存入当前过滤器filter_current中。
该方法将经过网关的流量报文中的IP信息通过hash计算记录在hash表中，并记录某IP在过去一周的访问记录(包含源IP、目的IP、网络协议和服务端口)在该hash表上，在内存中形成此IP的布隆过滤访问记录表。当前流量通过对比布隆过滤访问记录表，并判断是否存在一周之前的访问记录，并判定某些访问行为是异常访问行为，最终形成异常事件数据库。
该方法提供了一种判断网络攻击的辅助手段，通过对网络流量的实时分析记录，确定可疑的异常访问行为，而且消耗的计算资源和内存资源小，实时性强，可操作性好。
本申请实施例还提供一种异常访问检测装置，如图7所示，为一种异常访问检测装置的结构框图，该装置包括：
解析模块100，用于对流经网关的网络报文进行解析，以获取所述网络报文的源IP；
计算模块200，用于若所述源IP存在于预设的访问记录表中，则计算所述网络报文的访问哈希值；
检测模块300，用于基于所述访问哈希值匹配所述访问记录表，以确定所述网络报文是否为异常访问。
如图8所示，为另一种异常访问检测装置的结构框图，在图7的基础上，进一步地，检测模块300包括：
时间判断模块311，用于若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述访问记录表中的当前过滤器中进行查找；
查找模块312，用于若不在所述当前过滤器中，则在非空的历史过滤器中查找；
判定模块313，用于若不在所述历史过滤器中，则将所述网络报文判定为异常访问并存储至异常访问数据库中。
检测模块300还包括清空模块320：
若所述网络报文的最新记录时间不在设定时间周期内，则清空历史过滤器并替换为当前过滤器；清空所述当前过滤器并记录当前时间。
该装置还包括节点创建模块400，用于：
若所述源IP不存在于预设的布隆过滤访问记录表中，则新建hash节点、初始化当前过滤器并记录当前时间；将所述访问哈希值存储至当前过滤器中，所述访问哈希值为以源IP、目的IP、网络协议、源端口和目的端口计算生成的哈希值。
该装置还包括访问记录表建立模块110，用于：
记录已知内网IP在设定时间周期内的访问记录，所述访问记录包括源IP、目的IP、网络协议、源端口和目的端口；计算所述访问记录的哈希值，并将所述哈希值存储至以源IP为节点的布隆过滤访问记录表。
本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行上述中任一项所述的异常访问检测方法。
本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述中任一项所述的异常访问检测方法。
在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。
所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (7)

1.一种异常访问检测方法，其特征在于，所述方法包括：
对流经网关的网络报文进行解析，以获取所述网络报文的源IP；
若所述源IP存在于预设的布隆过滤访问记录表中，则计算所述网络报文的访问哈希值；
基于所述访问哈希值匹配所述布隆过滤访问记录表，以确定所述网络报文是否为异常访问，具体地：
若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述布隆过滤访问记录表中的当前过滤器中进行查找，若在所述当前过滤器中，则更新所述当前过滤器的当前时间；若不在所述当前过滤器中，则在非空的历史过滤器中查找；若不在所述历史过滤器中，则将所述网络报文判定为异常访问并存储至异常访问数据库中；
若所述网络报文的最新记录时间不在设定时间周期内，则清空历史过滤器并替换为当前过滤器；清空所述当前过滤器并记录当前时间。
2.根据权利要求1所述的异常访问检测方法，其特征在于，在所述若所述源IP存在于预设的布隆过滤访问记录表中，则计算所述网络报文的访问哈希值的步骤之前，所述方法还包括：
记录已知内网IP在设定时间周期内的访问记录，所述访问记录包括源IP、目的IP、网络协议、源端口和目的端口；
计算所述访问记录的哈希值，并将所述哈希值存储至以源IP为节点的布隆过滤访问记录表。
3.根据权利要求1所述的异常访问检测方法，其特征在于，所述方法还包括：
若所述源IP不存在于预设的布隆过滤访问记录表中，则新建hash节点、初始化当前过滤器并记录当前时间；
将所述访问哈希值存储至当前过滤器中，所述访问哈希值为以源IP、目的IP、网络协议、源端口和目的端口计算生成的哈希值。
4.一种异常访问检测装置，其特征在于，所述装置包括：
解析模块，用于对流经网关的网络报文进行解析，以获取所述网络报文的源IP；
计算模块，用于若所述源IP存在于预设的访问记录表中，则计算所述网络报文的访问哈希值；
检测模块，用于基于所述访问哈希值匹配所述访问记录表，以确定所述网络报文是否为异常访问，所述检测模块具体包括：
时间判断模块，用于若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述访问记录表中的当前过滤器中进行查找，若在所述当前过滤器中，则更新所述当前过滤器的当前时间；
查找模块，用于若不在所述当前过滤器中，则在非空的历史过滤器中查找；
判定模块，用于若不在所述历史过滤器中，则将所述网络报文判定为异常访问并存储至异常访问数据库中；
清空模块，用于若所述网络报文的最新记录时间不在设定时间周期内，则清空历史过滤器并替换为当前过滤器；清空所述当前过滤器并记录当前时间。
5.根据权利要求4所述的异常访问检测装置，其特征在于，所述检测模块包括：
时间判断模块，用于若所述网络报文的最新记录时间在设定时间周期内，则以所述访问哈希值在所述访问记录表中的当前过滤器中进行查找；
查找模块，用于若不在所述当前过滤器中，则在非空的历史过滤器中查找；
判定模块，用于若不在所述历史过滤器中，则将所述网络报文判定为异常访问并存储至异常访问数据库中。
6.一种电子设备，其特征在于，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行根据权利要求1至3中任一项所述的异常访问检测方法。
7.一种可读存储介质，其特征在于，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行权利要求1至3任一项所述的异常访问检测方法。
CN202111578668.0A 2021-12-22 2021-12-22 一种异常访问检测方法、装置、电子设备及存储介质 Active CN114244618B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111578668.0A CN114244618B (zh) 2021-12-22 2021-12-22 一种异常访问检测方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111578668.0A CN114244618B (zh) 2021-12-22 2021-12-22 一种异常访问检测方法、装置、电子设备及存储介质

Publications (2)

Publication Number Publication Date
CN114244618A CN114244618A (zh) 2022-03-25
CN114244618B true CN114244618B (zh) 2023-11-10

Family

ID=80761057

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111578668.0A Active CN114244618B (zh) 2021-12-22 2021-12-22 一种异常访问检测方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN114244618B (zh)

Citations (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101567812A (zh) * 2009-03-13 2009-10-28 华为技术有限公司 对网络攻击进行检测的方法和装置
CN101958883A (zh) * 2010-03-26 2011-01-26 湘潭大学 一种基于Bloom Filter和开源内核防御SYN Flood攻击的方法
US7900194B1 (en) * 2004-03-25 2011-03-01 Verizon Corporate Services Group Inc. Kernel-based intrusion detection using bloom filters
CN104113525A (zh) * 2014-05-23 2014-10-22 中国电子技术标准化研究院 一种防御资源消耗型Web攻击方法及装置
CN104378380A (zh) * 2014-11-26 2015-02-25 南京晓庄学院 一种基于SDN架构的识别与防护DDoS攻击的系统及方法
WO2017107965A1 (zh) * 2015-12-25 2017-06-29 北京奇虎科技有限公司 一种web异常检测方法和装置
CN109672669A (zh) * 2018-12-03 2019-04-23 国家计算机网络与信息安全管理中心 流量报文的过滤方法及装置
CN110493260A (zh) * 2019-09-12 2019-11-22 贵州电网有限责任公司 一种网络洪范攻击行为检测方法
CN110768946A (zh) * 2019-08-13 2020-02-07 中国电力科学研究院有限公司 一种基于布隆过滤器的工控网络入侵检测系统及方法
WO2020181740A1 (zh) * 2018-12-29 2020-09-17 长沙理工大学 一种高性能的openflow虚拟流表查找方法
US10891375B1 (en) * 2017-09-27 2021-01-12 Allure Security Technology Inc. Document behavior analytics—abnormal document flows to identify suspicious exfiltration utility patent
CN112532598A (zh) * 2020-11-19 2021-03-19 南京大学 一种用于实时入侵检测系统的过滤方法
CN112600797A (zh) * 2020-11-30 2021-04-02 泰康保险集团股份有限公司 异常访问行为的检测方法、装置、电子设备及存储介质
CN112989403A (zh) * 2019-12-18 2021-06-18 拓尔思天行网安信息技术有限责任公司 一种数据库破坏的检测方法、装置、设备及存储介质
CN113824730A (zh) * 2021-09-29 2021-12-21 恒安嘉新（北京）科技股份公司 一种攻击分析方法、装置、设备及存储介质

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10366229B2 (en) * 2016-06-20 2019-07-30 Jask Labs Inc. Method for detecting a cyber attack
US10938851B2 (en) * 2018-03-29 2021-03-02 Radware, Ltd. Techniques for defense against domain name system (DNS) cyber-attacks

Patent Citations (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7900194B1 (en) * 2004-03-25 2011-03-01 Verizon Corporate Services Group Inc. Kernel-based intrusion detection using bloom filters
CN101567812A (zh) * 2009-03-13 2009-10-28 华为技术有限公司 对网络攻击进行检测的方法和装置
CN101958883A (zh) * 2010-03-26 2011-01-26 湘潭大学 一种基于Bloom Filter和开源内核防御SYN Flood攻击的方法
CN104113525A (zh) * 2014-05-23 2014-10-22 中国电子技术标准化研究院 一种防御资源消耗型Web攻击方法及装置
CN104378380A (zh) * 2014-11-26 2015-02-25 南京晓庄学院 一种基于SDN架构的识别与防护DDoS攻击的系统及方法
WO2017107965A1 (zh) * 2015-12-25 2017-06-29 北京奇虎科技有限公司 一种web异常检测方法和装置
US10891375B1 (en) * 2017-09-27 2021-01-12 Allure Security Technology Inc. Document behavior analytics—abnormal document flows to identify suspicious exfiltration utility patent
CN109672669A (zh) * 2018-12-03 2019-04-23 国家计算机网络与信息安全管理中心 流量报文的过滤方法及装置
WO2020181740A1 (zh) * 2018-12-29 2020-09-17 长沙理工大学 一种高性能的openflow虚拟流表查找方法
CN110768946A (zh) * 2019-08-13 2020-02-07 中国电力科学研究院有限公司 一种基于布隆过滤器的工控网络入侵检测系统及方法
CN110493260A (zh) * 2019-09-12 2019-11-22 贵州电网有限责任公司 一种网络洪范攻击行为检测方法
CN112989403A (zh) * 2019-12-18 2021-06-18 拓尔思天行网安信息技术有限责任公司 一种数据库破坏的检测方法、装置、设备及存储介质
CN112532598A (zh) * 2020-11-19 2021-03-19 南京大学 一种用于实时入侵检测系统的过滤方法
CN112600797A (zh) * 2020-11-30 2021-04-02 泰康保险集团股份有限公司 异常访问行为的检测方法、装置、电子设备及存储介质
CN113824730A (zh) * 2021-09-29 2021-12-21 恒安嘉新（北京）科技股份公司 一种攻击分析方法、装置、设备及存储介质

Non-Patent Citations (9)

* Cited by examiner, † Cited by third party
Title
"Vectored-Bloom Filter Implemented on FPGA for IP Address Lookup";H. Byun 等;《2019International Conference on Electronics, Information,and Communication(ICEIC)》;全文 *
DDoS攻击检测和控制方法;张永铮;肖军;云晓春;王风宇;;软件学报(第08期);全文 *
一种IP可追踪性的网络流量异常检测方法;王明华;周渊;李爱平;张冰;罗娜;;南京邮电大学学报(自然科学版)(第03期);全文 *
一种基于BF-DT-CUSUM算法的电网工控系统DDoS攻击检测方法;费稼轩;张涛;马媛媛;周诚;;电信科学(第S1期);全文 *
一种面向深度数据包检测的索引拆分Bloom过滤器;黄昆;张大方;;中国科学:信息科学(第08期);全文 *
可加速最长前缀匹配的布隆过滤查找方案;王乾;乔庐峰;陈庆华;;通信技术(第07期);全文 *
基于BloomFilter的大规模异常TCP连接参数再现方法;龚俭;彭艳兵;杨望;刘卫江;;软件学报(第03期);全文 *
网络安全事件关联分析系统设计――基于布隆过滤器的;王珂;;淮南职业技术学院学报(第03期);全文 *
网络攻击源追踪技术研究综述;姜建国;王继志;孔斌;胡波;刘吉强;;信息安全学报(第01期);全文 *

Also Published As

Publication number Publication date
CN114244618A (zh) 2022-03-25

Similar Documents

Publication Publication Date Title
CN111259204B (zh) 基于图算法的apt检测关联分析方法
CN110602029B (zh) 一种用于识别网络攻击的方法和系统
CN107430535B (zh) 一种用于执行威胁检测的方法及计算机可读介质
CN106790256B (zh) 用于危险主机监测的主动机器学习系统
CN111355697B (zh) 僵尸网络域名家族的检测方法、装置、设备及存储介质
CN117473571B (zh) 一种数据信息安全处理方法及系统
CN112528279B (zh) 一种入侵检测模型的建立方法和装置
WO2010114363A1 (en) Method and system for alert classification in a computer network
TWI234974B (en) Methodology of predicting distributed denial of service based on gray theory
CN110768946A (zh) 一种基于布隆过滤器的工控网络入侵检测系统及方法
CN112019523A (zh) 一种工控系统的网络审计方法和装置
EP4111660B1 (en) Cyberattack identification in a network environment
CN114579636A (zh) 数据安全风险预测方法、装置、计算机设备和介质
CN114679327B (zh) 网络攻击等级确定方法、装置、计算机设备和存储介质
CN115514558A (zh) 一种入侵检测方法、装置、设备及介质
CN115189963A (zh) 异常行为检测方法、装置、计算机设备及可读存储介质
CN114662096A (zh) 一种基于图核聚类的威胁狩猎方法
Mathew et al. Situation awareness of multistage cyber attacks by semantic event fusion
Xiao et al. A novel data mining-based method for alert reduction and analysis
CN117061254B (zh) 异常流量检测方法、装置和计算机设备
CN111865958B (zh) 基于多源安全检测框架的检测方法及系统
CN114244618B (zh) 一种异常访问检测方法、装置、电子设备及存储介质
CN110912753B (zh) 一种基于机器学习的云安全事件实时检测系统及方法
Pangsuban et al. A real-time risk assessment for information system with cicids2017 dataset using machine learning
CN112714118A (zh) 网络流量检测方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant