CN115514539B - 一种网络攻击的防护方法及装置、存储介质及电子设备 - Google Patents
一种网络攻击的防护方法及装置、存储介质及电子设备 Download PDFInfo
- Publication number
- CN115514539B CN115514539B CN202211073141.7A CN202211073141A CN115514539B CN 115514539 B CN115514539 B CN 115514539B CN 202211073141 A CN202211073141 A CN 202211073141A CN 115514539 B CN115514539 B CN 115514539B
- Authority
- CN
- China
- Prior art keywords
- result
- request
- vector
- incoming request
- determined
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 42
- 239000013598 vector Substances 0.000 claims abstract description 128
- 238000001514 detection method Methods 0.000 claims abstract description 83
- 238000007781 pre-processing Methods 0.000 claims abstract description 21
- 238000012545 processing Methods 0.000 claims description 34
- 230000014509 gene expression Effects 0.000 claims description 8
- 238000004364 calculation method Methods 0.000 claims description 4
- 238000004140 cleaning Methods 0.000 claims description 4
- 238000004590 computer program Methods 0.000 claims description 3
- 230000004044 response Effects 0.000 claims description 3
- 230000006378 damage Effects 0.000 description 9
- 230000006399 behavior Effects 0.000 description 8
- 238000002347 injection Methods 0.000 description 7
- 239000007924 injection Substances 0.000 description 7
- 238000010586 diagram Methods 0.000 description 5
- 238000013515 script Methods 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 3
- 230000002159 abnormal effect Effects 0.000 description 2
- 230000009471 action Effects 0.000 description 2
- 230000006978 adaptation Effects 0.000 description 2
- 238000013528 artificial neural network Methods 0.000 description 2
- 230000006870 function Effects 0.000 description 2
- 239000013307 optical fiber Substances 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 239000000243 solution Substances 0.000 description 2
- 230000005856 abnormality Effects 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 239000012634 fragment Substances 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 238000003780 insertion Methods 0.000 description 1
- 230000037431 insertion Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 230000037452 priming Effects 0.000 description 1
- 230000003252 repetitive effect Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 238000012549 training Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本公开提供了一种网络攻击的防护方法及装置、存储介质及电子设备，涉及网络安全技术领域。该方法包括：通过获取传入请求数据；将传入请求数据进行预处理，获得传入请求向量；根据余弦距离公式计算传入请求向量与预设法向量之间的距离，获得向量距离；判断向量距离是否小于阈值，如果确定向量距离小于阈值，则输出的判断结果为有效请求；如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求；基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果；根据检测结果和判断结果进行判定，获得网络攻击的判定结果。这样能够提高网络攻击检测的精度和效率。
Description
技术领域
本公开涉及网络安全技术领域，尤其涉及一种网络攻击的防护方法及装置、存储介质及电子设备。
背景技术
WAF(Web Application Firewall，Web应用防护系统)为个人或组织的信息系统提供保护，防止网络攻击和恶意、蓄意破坏。大多数网络攻击是利用服务器和web应用程序的漏洞来执行的，常见的网络攻击类型有代码注入、命令注入、SQL注入、跨站脚本等。
相关技术中，最受欢迎的WAF是ModSecurity，提供OWASP的ModSecurity的核心规则集(即CRS规则)。但随着攻击技术的不断对抗提升，以及运用CRS规则的个人或组织多了，一些绕过规则匹配的检测的方法也逐渐出现，导致网络攻击检测精度和检测效率低。
需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
本公开的目的在于提供一种网络攻击的防护方法及装置、存储介质及电子设备，至少在一定程度上克服由于相关技术中的网络攻击检测精度和检测效率低的问题。
本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
根据本公开的一个方面，提供一种网络攻击的防护方法，包括：
获取传入请求数据；
将所述传入请求数据进行预处理，获得传入请求向量；
根据余弦距离公式计算所述传入请求向量与预设法向量之间的距离，获得向量距离；
判断所述向量距离是否小于阈值，
如果确定所述向量距离小于所述阈值，则输出的判断结果为有效请求；
如果确定所述向量距离大于或等于所述阈值，则输出的判断结果为无效请求；
基于Web应用防护系统的规则集对所述传入请求数据进行规则检测，获得检测结果；
根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果。
在本公开一个实施例中，还包括：
获取一段时间内的正常请求数据；
将所述正常请求数据进行预处理，获得正常请求向量；
根据所述一段时间内的所有所述正常请求向量进行计算，获得预设法向量。
在本公开一个实施例中，所述阈值为所述一段时间内的每个所述正常请求向量与所述预设法向量之间的平均距离或最大距离。
在本公开一个实施例中，所述根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果，包括：
根据所述检测结果和所述判断结果进行判定，
如果确定所述检测结果和所述判断结果均为有效请求，则所述判定结果为有效请求；
如果确定所述检测结果为有效请求和所述判断结果为无效请求，则所述判定结果为有效请求；
如果确定所述检测结果为无效请求和所述判断结果为有效请求，则所述判定结果为有效请求；
如果确定所述检测结果和所述判断结果均为无效请求，则所述判定结果为无效请求。
在本公开一个实施例中，所述将所述传入请求数据进行预处理，获得传入请求向量，包括：
对所述传入请求数据进行数据清理，获得传入请求的源代码；
将所述传入请求的源代码表示为抽象语法树；
基于word2vec模型对所述抽象语法树进行矢量化处理，获得所述传入请求向量。
在本公开一个实施例中，所述对所述传入请求数据进行数据清理，包括：基于正则表达式清理所述传入请求数据。
在本公开一个实施例中，所述根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果之后，包括：
如果确定所述判定结果为无效请求，则拦截所述传入请求数据；
如果确定所述判定结果为有效请求，则根据所述传入请求数据进行业务处理；
根据所述业务处理的结果发送请求响应。
根据本公开的另一个方面，提供一种网络攻击的防护装置，包括：
获取模块，用于获取传入请求数据；
预处理模块，用于将所述传入请求数据进行预处理，获得传入请求向量；
计算模块，用于根据余弦距离公式计算所述传入请求向量与预设法向量之间的距离，获得向量距离；
判断模块，用于判断所述向量距离是否小于阈值，
第一处理模块，用于如果确定所述向量距离小于所述阈值，则输出的判断结果为有效请求；
第二处理模块，用于如果确定所述向量距离大于或等于所述阈值，则输出的判断结果为无效请求；
检测模块，用于基于Web应用防护系统的规则集对所述传入请求数据进行规则检测，获得检测结果；
判定模块，用于根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果。
根据本公开的再一个方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述的网络攻击的防护方法。
根据本公开的又一个方面，提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的网络攻击的防护方法。
本公开的实施例所提供的一种网络攻击的防护方法及装置、存储介质及电子设备，在获取传入请求数据后，基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果；同时，将传入请求数据进行预处理获得传入请求向量，根据余弦距离公式计算传入请求向量与预设法向量之间的距离，获得向量距离，并判断向量距离是否小于阈值，如果确定向量距离小于阈值，则输出的判断结果为有效请求，如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求；最后根据检测结果和判断结果进行判定，获得网络攻击的判定结果。通过这样对传入请求数据的并行处理获得的判定结果，能够避免仅使用Web应用防护系统的规则集检测的单一性，从而提高网络攻击检测的精度和效率。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1示出本公开实施例中一种网络攻击的防护方法的流程图。
图2是图1中预设法向量的获取方法流程图。
图3是图1中数据预处理的方法流程图。
图4是图1中根据判定结果处理的方法流程图。
图5示出本公开实施例中一种网络攻击的防护装置的示意图。
图6示出本公开实施例中一种网络攻击的防护方法的电子设备框图。
图7示出本公开实施例中一种网络攻击的防护方法的计算机可读存储介质示意图。
具体实施方式
现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。
此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
下面结合图1来描述根据本申请示例性实施方式的用于一种网络攻击的防护方法。需要注意的是，下述应用场景仅是为了便于理解本申请的精神和原理而示出，本申请的实施方式在此方面不受任何限制。相反，本申请的实施方式可以应用于适用的任何场景。
参考图1，应用于一种网络攻击的防护方法，包括：
步骤S102：获取传入请求数据；
步骤S104：将传入请求数据进行预处理，获得传入请求向量；
步骤S106：根据余弦距离公式计算传入请求向量与预设法向量之间的距离，获得向量距离；
步骤S108：判断向量距离是否小于阈值，
步骤S110：如果确定向量距离小于阈值，则输出的判断结果为有效请求；
步骤S112：如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求；
步骤S114：基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果；
步骤S116：根据检测结果和判断结果进行判定，获得网络攻击的判定结果。
下面分别对图1中的各个步骤进行具体说明。
在步骤S102中，获取传入请求数据。
获取传入请求数据，可以调用抓包工具捕获客户端中应用程序向服务器发送的传入请求数据，其中，抓包工具包括：GitHub、fiddler、Charles等等。传入请求数据包括正常请求数据和非正常请求数据，其中，非正常请求数据为存在攻击和蓄意破坏网络的请求数据，常见的网络攻击有代码注入、命令注入、SQL注入(SQLi)、跨站脚本(XSS)等等。
SQL注入，即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。
跨站脚本(也称为XSS)，指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户，从用户那里恶意盗取信息的目的。
在步骤S104中，将传入请求数据进行预处理，获得传入请求向量。
其中，传入请求数据中包括一些脚本、编程语言形式的数据，需要对此类数据进行处理，转换成统一的传入请求向量的格式，方便后续步骤的处理。
在步骤S106中，根据余弦距离公式计算传入请求向量与预设法向量之间的距离，获得向量距离。
余弦相似度：用向量空间中两个向量夹角的余弦值作为衡量两个个体间差异的大小的度量。向量：多维空间中有方向的线段，如果两个向量的方向一致，即夹角接近零，那么这两个向量就相近。而要确定两个向量方向是否一致，这就要用到余弦定理计算向量的夹角。
其中，余弦定理计算公式为：
余弦距离的计算公式为：dist(A,B)＝1-cos(A,B)。
在步骤S108中，判断向量距离是否小于阈值。
判断向量距离dist(A,B)是否小于阈值。其中，阈值为一段时间内的每个正常请求向量与预设法向量之间的平均距离或最大距离。设定一个时间段，例如两周，这一阶段只传入正常的请求数据，每一个传入正常请求数据对应的正常请求向量，与预设法向量计算余弦距离，将这段时间内的所有两向量间距离的平均值作为阈值或者所有两向量间中最大距离作为阈值。
在步骤S110中，如果确定向量距离小于阈值，则输出的判断结果为有效请求。
当向量距离小于阈值时，判断结果为有效请求，即传入请求数据初步判断为不存在网络攻击和恶意、蓄意破坏的行为。
在步骤S112中，如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求。
当向量距离大于或等于阈值时，判断结果为无效请求，即传入请求数据初步判断为存在网络攻击和恶意、蓄意破坏的行为。
在步骤S114中，基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果。
其中，Web应用防护系统(Web Application Firewall)，简称为：WAF，也称为：网站应用级入侵防御系统。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。Web应用防火墙会对HTTP的请求进行异常检测，拒绝不符合HTTP标准的请求。并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响范围。甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项。
其中，基于Web应用防护系统的规则的保护可以提供各种Web应用的安全规则，WAF生产商会维护这个规则库，并时时为其更新。用户可以按照这些规则对应用进行全方面检测。
基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果，其中，检测结果包括有效请求和无效请求。例如，如果检测到web访问请求与规则集中至少一条规则相匹配，则判定该请求为无效请求，其存在攻击行为；否则判定该请求为有效请求。
在步骤S116中，根据检测结果和判断结果进行判定，获得网络攻击的判定结果。
其中，在获得检测结果和判断结果后，根据两者结果进行判定。
如果确定检测结果和判断结果均为有效请求，则判定结果为有效请求，即传入请求数据最终判定为不存在网络攻击和恶意、蓄意破坏的行为；
如果确定检测结果为有效请求和判断结果为无效请求，则判定结果为有效请求，即传入请求数据最终判定为不存在网络攻击和恶意、蓄意破坏的行为；
如果确定检测结果为无效请求和判断结果为有效请求，则判定结果为有效请求，即传入请求数据最终判定为不存在网络攻击和恶意、蓄意破坏的行为；
如果确定检测结果和判断结果均为无效请求，则判定结果为无效请求，即传入请求数据最终判定为存在网络攻击和恶意、蓄意破坏的行为。
上述实施例中，通过获取传入请求数据，在基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果；同时，将传入请求数据进行预处理获得传入请求向量，根据余弦距离公式计算传入请求向量与预设法向量之间的距离，获得向量距离，并判断向量距离是否小于阈值，如果确定向量距离小于阈值，则输出的判断结果为有效请求，如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求；最后根据检测结果和判断结果进行判定，获得网络攻击的判定结果。通过这样对传入请求数据的并行处理获得的判定结果，能够避免仅使用Web应用防护系统的规则集检测的单一性，从而提高网络攻击检测的精度和效率。
参考图2，图2是图1中获取预设法向量的方法流程图。
图2所示，在未获取传入请求数据前，获取预设法向量的方法，包括：
步骤S202：获取一段时间内的正常请求数据；
其中，可以设定一个时间段，例如两周，在这一阶段只获取传入正常的请求数据，即不存在网络攻击和恶意、蓄意破坏的行为。
步骤S204：将正常请求数据进行预处理，获得正常请求向量；
其中，正常请求数据中包括一些脚本、编程语言形式的数据，需要对此类数据进行处理，转换成统一的传入请求向量的格式，方便后续步骤的处理。
步骤S206：根据一段时间内的所有正常请求向量进行计算，获得预设法向量。
例如，将一段时间内的所有正常请求向量进行相加，计算出受保护网站的预设法向量。
图3是图1中数据预处理的方法流程图。
图3所示，将传入请求数据进行预处理，获得传入请求向量，包括：
步骤S302：对所述传入请求数据进行数据清理，获得传入请求的源代码；
其中，传入请求数据中的代码片段包括函数、声明、部分随机源代码，需要对此类数据进行数据处理，转换成与HTTP请求(Hyper Text Transfer Protocol，超文本传输协议)的格式保持一致。可以使用正则表达式清理每个片段，例如，格式化空白、删除注释等，使数据与真正的HTTP请求保持一致，并获得传入请求的源代码信息。
正则表达式，又称规则表达式，(Regular Expression，在代码中常简写为regex、regexp或RE)，是一种文本模式，包括普通字符(例如，a到z之间的字母)和特殊字符(称为“元字符”)，是计算机科学的一个概念。正则表达式使用单个字符串来描述、匹配一系列匹配某个句法规则的字符串，通常被用来检索、替换那些符合某个模式(规则)的文本。可以通过正则表达式，从字符串中获取我们想要的特定部分。
步骤S304：将所述传入请求的源代码表示为抽象语法树；
抽象语法树(Abstract Syntax Tree，AST)，或简称语法树(Syntax tree)，是源代码语法结构的一种抽象表示。它以树状的形式表现编程语言的语法结构，树上的每个节点都表示源代码中的一种结构。
步骤S306：基于word2vec模型对所述抽象语法树进行矢量化处理，获得所述传入请求向量。
Word2vec模型是一群用来产生词向量的相关模型。这些模型为浅而双层的神经网络，用来训练以重新建构语言学之词文本。网络以词表现，并且需猜测相邻位置的输入词，在word2vec中词袋模型假设下，词的顺序是不重要的。训练完成之后，word2vec模型可用来映射每个词到一个向量，可用来表示词对词之间的关系，该向量为神经网络之隐藏层。其中，使用gensim实现word2vec模型，即通过矢量化器进行矢量化，获得所述传入请求向量。
图4是图1中根据判定结果处理的方法流程图。
图4所示，根据检测结果和判断结果进行判定，获得网络攻击的判定结果之后，包括：
步骤S402：如果确定判定结果为无效请求，则拦截传入请求数据；
其中，判定结果为无效请求，即传入请求数据最终判定为存在网络攻击和恶意、蓄意破坏的行为，则将该传入请求数据拦截下来。
步骤S404：如果确定判定结果为有效请求，则根据传入请求数据进行业务处理；
其中，判定结果为有效请求，即传入请求数据最终判定为不存在网络攻击和恶意、蓄意破坏的行为，则根据传入请求数据进行业务处理。
步骤S406：根据业务处理的结果发送请求响应。
将传入请求数据进行业务处理后的结果，发送给客户端。
上述实施例中，通过对传入请求数据的并行处理获得的判定结果，能够避免仅使用Web应用防护系统的规则集检测的单一性，从而提高网络攻击检测的精度和效率，同时，根据判定结果对传入请求数据进行拦截或进行业务处理，能够起到防护作用。
参考图5，图5示出本公开实施例中一种网络攻击的防护装置5的示意图。
本申请还提供一种网络攻击的防护装置5，包括：
获取模块502，用于获取传入请求数据；
预处理模块504，用于将传入请求数据进行预处理，获得传入请求向量；
计算模块506，用于根据余弦距离公式计算传入请求向量与预设法向量之间的距离，获得向量距离；
判断模块508，用于判断向量距离是否小于阈值，
第一处理模块510，用于如果确定向量距离小于阈值，则输出的判断结果为有效请求；
第二处理模块512，用于如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求；
检测模块514，用于基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果；
判定模块516，用于根据检测结果和判断结果进行判定，获得网络攻击的判定结果。
上述实施例中，通过获取模块502获取传入请求数据；预处理模块504对传入请求数据进行预处理，获得传入请求向量；计算模块506计算传入请求向量与预设法向量之间的距离，获得向量距离；判断模块508用于判断向量距离是否小于阈值；第一处理模块510用于如果确定向量距离小于阈值，则输出的判断结果为有效请求；第二处理模块512用于如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求；检测模块514对传入请求数据进行规则检测，获得检测结果；判定模块516对检测结果和判断结果进行判定，获得网络攻击的判定结果。通过这样对传入请求数据的并行处理获得的判定结果，能够避免仅使用Web应用防护系统的规则集检测的单一性，从而提高网络攻击检测的精度和效率。
所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。
下面参照图6来描述根据本发明的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：上述至少一个处理单元610、上述至少一个存储单元620、连接不同系统组件(包括存储单元620和处理单元610)的总线630。
其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元610执行，使得所述处理单元610执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。例如，所述处理单元610可以执行如图1中所示的S102，获取传入请求数据；S104，将传入请求数据进行预处理，获得传入请求向量；S106，根据余弦距离公式计算传入请求向量与预设法向量之间的距离，获得向量距离；S108，判断向量距离是否小于阈值；S110，如果确定向量距离小于阈值，则输出的判断结果为有效请求；S112，如果确定向量距离大于或等于阈值，则输出的判断结果为无效请求；S114，基于Web应用防护系统的规则集对传入请求数据进行规则检测，获得检测结果；S116，根据检测结果和判断结果进行判定，获得网络攻击的判定结果。
存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。
存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备600也可以与一个或多个外部设备800(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器660通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。
下面参照图7，在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品700。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品700的形式，其包括程序代码，当所述程序产品700在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。
描述了根据本发明的实施方式的用于实现上述方法的程序产品700，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品700不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
所述程序产品700可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。
此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施方式的方法。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由所附的权利要求指出。
Claims (10)
1.一种网络攻击的防护方法，其特征在于，包括：
获取传入请求数据；
将所述传入请求数据进行预处理，获得传入请求向量；
根据余弦距离公式计算所述传入请求向量与预设法向量之间的距离，获得向量距离；
判断所述向量距离是否小于阈值，
如果确定所述向量距离小于所述阈值，则输出的判断结果为有效请求；
如果确定所述向量距离大于或等于所述阈值，则输出的判断结果为无效请求；
基于Web应用防护系统的规则集对所述传入请求数据进行规则检测，获得检测结果；
根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果；
其中，所述根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果，包括：
根据所述检测结果和所述判断结果进行判定，
如果确定所述检测结果和所述判断结果均为有效请求，则所述判定结果为有效请求；
如果确定所述检测结果和所述判断结果均为无效请求，则所述判定结果为无效请求。
2.根据权利要求1所述的网络攻击的防护方法，其特征在于，还包括：
获取一段时间内的正常请求数据；
将所述正常请求数据进行预处理，获得正常请求向量；
根据所述一段时间内的所有所述正常请求向量进行计算，获得预设法向量。
3.根据权利要求2所述的网络攻击的防护方法，其特征在于，所述阈值为所述一段时间内的每个所述正常请求向量与所述预设法向量之间的平均距离或最大距离。
4.根据权利要求1所述的网络攻击的防护方法，其特征在于，所述根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果，还包括：
如果确定所述检测结果为有效请求和所述判断结果为无效请求，则所述判定结果为有效请求；
如果确定所述检测结果为无效请求和所述判断结果为有效请求，则所述判定结果为有效请求。
5.根据权利要求1所述的网络攻击的防护方法，其特征在于，所述将所述传入请求数据进行预处理，获得传入请求向量，包括：
对所述传入请求数据进行数据清理，获得传入请求的源代码；
将所述传入请求的源代码表示为抽象语法树；
基于word2vec模型对所述抽象语法树进行矢量化处理，获得所述传入请求向量。
6.根据权利要求5所述的网络攻击的防护方法，其特征在于，所述对所述传入请求数据进行数据清理，包括：基于正则表达式清理所述传入请求数据。
7.根据权利要求1所述的网络攻击的防护方法，其特征在于，所述根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果之后，包括：
如果确定所述判定结果为无效请求，则拦截所述传入请求数据；
如果确定所述判定结果为有效请求，则根据所述传入请求数据进行业务处理；
根据所述业务处理的结果发送请求响应。
8.一种网络攻击的防护装置，其特征在于，包括：
获取模块，用于获取传入请求数据；
预处理模块，用于将所述传入请求数据进行预处理，获得传入请求向量；
计算模块，用于根据余弦距离公式计算所述传入请求向量与预设法向量之间的距离，获得向量距离；
判断模块，用于判断所述向量距离是否小于阈值，
第一处理模块，用于如果确定所述向量距离小于所述阈值，则输出的判断结果为有效请求；
第二处理模块，用于如果确定所述向量距离大于或等于所述阈值，则输出的判断结果为无效请求；
检测模块，用于基于Web应用防护系统的规则集对所述传入请求数据进行规则检测，获得检测结果；
判定模块，用于根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果，其中，所述根据所述检测结果和所述判断结果进行判定，获得网络攻击的判定结果，包括：根据所述检测结果和所述判断结果进行判定，如果确定所述检测结果和所述判断结果均为有效请求，则所述判定结果为有效请求，如果确定所述检测结果和所述判断结果均为无效请求，则所述判定结果为无效请求。
9. 一种电子设备，其特征在于，包括：
处理器；以及
存储器，用于存储所述处理器的可执行指令；
其中，所述处理器配置为经由执行所述可执行指令来执行权利要求 1～7中任意一项所述网络攻击的防护方法。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1～7中任意一项所述的网络攻击的防护方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211073141.7A CN115514539B (zh) | 2022-09-02 | 2022-09-02 | 一种网络攻击的防护方法及装置、存储介质及电子设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211073141.7A CN115514539B (zh) | 2022-09-02 | 2022-09-02 | 一种网络攻击的防护方法及装置、存储介质及电子设备 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN115514539A CN115514539A (zh) | 2022-12-23 |
| CN115514539B true CN115514539B (zh) | 2024-01-30 |
Family
ID=84501784
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202211073141.7A Active CN115514539B (zh) | 2022-09-02 | 2022-09-02 | 一种网络攻击的防护方法及装置、存储介质及电子设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN115514539B (zh) |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2021008028A1 (zh) * | 2019-07-18 | 2021-01-21 | 平安科技（深圳）有限公司 | 网络攻击源定位及防护方法、电子设备及计算机存储介质 |
| CN112583850A (zh) * | 2020-12-27 | 2021-03-30 | 杭州迪普科技股份有限公司 | 网络攻击防护方法、装置及系统 |
| CN114285641A (zh) * | 2021-12-24 | 2022-04-05 | 中国电信股份有限公司 | 网络攻击检测方法及装置、电子设备、存储介质 |
| CN114760106A (zh) * | 2022-03-22 | 2022-07-15 | 恒安嘉新（北京）科技股份公司 | 网络攻击的确定方法、系统、电子设备及存储介质 |
-
2022
- 2022-09-02 CN CN202211073141.7A patent/CN115514539B/zh active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2021008028A1 (zh) * | 2019-07-18 | 2021-01-21 | 平安科技（深圳）有限公司 | 网络攻击源定位及防护方法、电子设备及计算机存储介质 |
| CN112583850A (zh) * | 2020-12-27 | 2021-03-30 | 杭州迪普科技股份有限公司 | 网络攻击防护方法、装置及系统 |
| CN114285641A (zh) * | 2021-12-24 | 2022-04-05 | 中国电信股份有限公司 | 网络攻击检测方法及装置、电子设备、存储介质 |
| CN114760106A (zh) * | 2022-03-22 | 2022-07-15 | 恒安嘉新（北京）科技股份公司 | 网络攻击的确定方法、系统、电子设备及存储介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN115514539A (zh) | 2022-12-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10505973B2 (en) | System and methods of detecting malicious elements of web pages | |
| RU2668710C1 (ru) | Вычислительное устройство и способ для обнаружения вредоносных доменных имен в сетевом трафике | |
| US8225402B1 (en) | Anomaly-based detection of SQL injection attacks | |
| US11196746B2 (en) | Whitelisting of trusted accessors to restricted web pages | |
| RU2606564C1 (ru) | Система и способ блокировки выполнения сценариев | |
| US7752662B2 (en) | Method and apparatus for high-speed detection and blocking of zero day worm attacks | |
| Song et al. | Advanced evasion attacks and mitigations on practical ML‐based phishing website classifiers | |
| CN109768992B (zh) | 网页恶意扫描处理方法及装置、终端设备、可读存储介质 | |
| US8769692B1 (en) | System and method for detecting malware by transforming objects and analyzing different views of objects | |
| CN109698831B (zh) | 数据防护方法和装置 | |
| US20240039942A1 (en) | Malware detection at endpoint devices | |
| US8307276B2 (en) | Distributed content verification and indexing | |
| US10505986B1 (en) | Sensor based rules for responding to malicious activity | |
| US20090119768A1 (en) | Using Application Gateways to Protect Unauthorized Transmission of Confidential Data Via Web Applications | |
| US9973525B1 (en) | Systems and methods for determining the risk of information leaks from cloud-based services | |
| CN107808095B (zh) | 用于检测网页的异常元素的系统和方法 | |
| CN106470214A (zh) | 攻击检测方法和装置 | |
| CN113190839A (zh) | 一种基于SQL注入的web攻击防护方法及系统 | |
| Bharadwaj et al. | Is this URL safe: detection of malicious URLs using global vector for word representation | |
| CN115514539B (zh) | 一种网络攻击的防护方法及装置、存储介质及电子设备 | |
| EP3306511B1 (en) | System and methods of detecting malicious elements of web pages | |
| WO2016118153A1 (en) | Marking nodes for analysis based on domain name system resolution | |
| CN113328976B (zh) | 一种安全威胁事件识别方法、装置及设备 | |
| CN115134095A (zh) | 僵尸网络控制端检测方法及装置、存储介质、电子设备 | |
| CN117240629B (zh) | 一种基于网络安全入侵的预测方法及预测系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |