一种web攻击检测方法、装置及电子设备和存储介质制造方法及图纸

本申请公开了一种web攻击检测方法、装置及一种电子设备和计算机可读存储介质，该方法包括：获取恶意访问连接，基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型；当接收到目标访问请求时，确定所述目标访问请求所属的目标访问连接；将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果。本申请提供的web攻击检测方法，考虑到整个访问连接中各访问请求之间的上下文关系，可以在大幅提升web攻击检出率的同时，保证低误报率。

【技术实现步骤摘要】
一种web攻击检测方法、装置及电子设备和存储介质
本申请涉及计算机
，更具体地说，涉及一种web攻击检测方法、装置及一种电子设备和一种计算机可读存储介质。
技术介绍
由于web应用的普及十分广泛，使得web应用成为攻击者主要的攻击目标。目前，网站主要采用WAF(中文全称：Web应用防护系统，英文全称：WebApplicationFirewall)应对web攻击。在相关技术中，WAF基于单个访问请求进行web攻击检测拦截，其对于特征不是很明显的web攻击检测能力弱。因此，如何提高对web攻击的检测能力是本领域技术人员需要解决的技术问题。
技术实现思路
本申请的目的在于提供一种web攻击检测方法、装置及一种电子设备和一种计算机可读存储介质，提高了对web攻击的检测能力。为实现上述目的，本申请提供了一种web攻击检测方法，包括：获取恶意访问连接，基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型；当接收到目标访问请求时，确定所述目标访问请求所属的目标访问连接；将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果。其中，所述基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型，包括：识别所述恶意访问连接中每个访问请求的请求类型；根据每个所述访问请求的请求类型构建所述恶意访问连接对应的恶意操作序列；确定所述恶意访问模型为所述恶意操作序列；相应的，将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果，包括：构建所述目标访问连接对应的目标操作序列，将所述目标操作序列与所述恶意操作序列进行匹配得到所述目标访问请求的检测结果。其中，将所述目标操作序列与所述恶意操作序列进行匹配得到所述目标访问请求的检测结果，包括：将所述目标操作序列与所述恶意操作序列进行匹配得到公共子串；当所述公共子串的长度大于第一预设值时，判定所述目标访问请求为恶意访问请求。其中，将所述目标操作序列与所述恶意操作序列进行匹配得到所述目标访问请求的检测结果，包括：计算所述目标操作序列与所述恶意操作序列的字符串相似度；当所述字符串相似度大于第二预设值时，判定所述目标访问请求为恶意访问请求。其中，所述基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型，包括：对所述恶意访问连接中每个访问请求进行报文解析得到每个所述访问请求对应的所有字段；根据每个所述访问请求对应的所有字段构建每个所述访问请求对应的特征向量；利用所有所述访问请求的特征向量训练神经网络模型，并确定所述恶意访问模型为训练完成的神经网络模型。相应的，将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果，包括：将所述目标访问连接中每个访问请求对应的特征向量输入所述训练完成的神经网络模型中得到所述目标访问请求的检测结果。其中，所述根据每个所述访问请求对应的所有字段构建每个所述访问请求对应的特征向量，包括：将每个所述访问请求对应的每个字段映射为ASCII码字符串，并根据映射结果构建每个所述访问请求对应的特征向量；其中，每个所述ASCII码字符串的长度相同。其中，将所述目标访问连接中每个访问请求对应的特征向量输入所述训练完成的神经网络模型中得到所述目标访问请求的检测结果，包括：将所述目标访问连接中每个访问请求对应的特征向量输入所述训练完成的神经网络模型中，得到所述目标访问连接中每个访问请求对应的预测向量；其中，所述预测向量中的第i个元素为所述访问请求为所述神经网络模型定义的第i个输出状态的概率；基于所述目标访问请求对应的预测向量计算所述目标访问请求对应的预测值；当所述预测值大于第三预测值时，判定所述目标访问请求为恶意访问请求。其中，所述利用所有所述访问请求的特征向量训练神经网络模型，包括：利用所有所述访问请求的特征向量训练神经网络模型，在训练过程中优化目标向量；其中，所述目标向量中的第i个元素为所述第i个输出状态的权重；相应的，所述基于所述目标访问请求对应的预测向量计算所述目标访问请求对应的预测值，包括：将所述目标访问请求对应的预测向量与目标向量的乘积作为所述目标访问请求对应的预测值。其中，所述基于匹配结果得到所述目标访问请求的检测结果之后，还包括：当所述目标访问请求为恶意访问请求时，拦截所述目标访问请求；确定所述目标访问请求对应的源IP地址，并封锁所述源IP地址。为实现上述目的，本申请提供了一种web攻击检测装置，包括：构建模块，用于获取恶意访问连接，基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型；确定模块，用于当接收到目标访问请求时，确定所述目标访问请求所属的目标访问连接；匹配模块，用于将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果。为实现上述目的，本申请提供了一种电子设备，包括：存储器，用于存储计算机程序；处理器，用于执行所述计算机程序时实现如上述web攻击检测方法的步骤。为实现上述目的，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述web攻击检测方法的步骤。通过以上方案可知，本申请提供的一种web攻击检测方法，包括：获取恶意访问连接，基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型；当接收到目标访问请求时，确定所述目标访问请求所属的目标访问连接；将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果。本申请提供的web攻击检测方法，通过分析恶意访问连接中各访问请求的上下文特征建立恶意访问模型，跟踪学习整个访问连接的行为，能够联合web攻击的多个弱特征，更好的理解攻击者的意图，恶意访问模型具有更高的准确性。当接收到目标访问请求时，将该目标访问请求对应的整个目标访问连接与恶意访问模型进行匹配，从而综合整个目标访问连接中的多个访问请求之间的上下文特征进行判定。与相关技术中仅对目标访问请求进行单个报文检测的方案相比，考虑到整个访问连接中各访问请求之间的上下文关系，可以在大幅提升web攻击检出率的同时，保证低误报率。本申请还公开了一种web攻击检测装置及一种电子设备和一种计算机可读存储介质，同样能实现上述技术效果。应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。附图说明为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其本文档来自技高网...

【技术保护点】
1.一种web攻击检测方法，其特征在于，包括：/n获取恶意访问连接，基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型；/n当接收到目标访问请求时，确定所述目标访问请求所属的目标访问连接；/n将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果。/n

【技术特征摘要】
1.一种web攻击检测方法，其特征在于，包括：
获取恶意访问连接，基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型；
当接收到目标访问请求时，确定所述目标访问请求所属的目标访问连接；
将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果。


2.根据权利要求1所述web攻击检测方法，其特征在于，所述基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型，包括：
识别所述恶意访问连接中每个访问请求的请求类型；
根据每个所述访问请求的请求类型构建所述恶意访问连接对应的恶意操作序列；
确定所述恶意访问模型为所述恶意操作序列；
相应的，将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果，包括：
构建所述目标访问连接对应的目标操作序列，将所述目标操作序列与所述恶意操作序列进行匹配得到所述目标访问请求的检测结果。


3.根据权利要求2所述web攻击检测方法，其特征在于，将所述目标操作序列与所述恶意操作序列进行匹配得到所述目标访问请求的检测结果，包括：
将所述目标操作序列与所述恶意操作序列进行匹配得到公共子串；
当所述公共子串的长度大于第一预设值时，判定所述目标访问请求为恶意访问请求。


4.根据权利要求2所述web攻击检测方法，其特征在于，将所述目标操作序列与所述恶意操作序列进行匹配得到所述目标访问请求的检测结果，包括：
计算所述目标操作序列与所述恶意操作序列的字符串相似度；
当所述字符串相似度大于第二预设值时，判定所述目标访问请求为恶意访问请求。


5.根据权利要求1所述web攻击检测方法，其特征在于，所述基于所述恶意访问连接中访问请求的上下文特征构建恶意访问模型，包括：
对所述恶意访问连接中每个访问请求进行报文解析得到每个所述访问请求对应的所有字段；
根据每个所述访问请求对应的所有字段构建每个所述访问请求对应的特征向量；
利用所有所述访问请求的特征向量训练神经网络模型，并确定所述恶意访问模型为训练完成的神经网络模型；
相应的，将所述目标访问连接与所述恶意访问模型进行匹配，并基于匹配结果得到所述目标访问请求的检测结果，包括：
将所述目标访问连接中每个访问请求对应的特征向量输入所述训练完成的神经网络模型中得到所述目标访问请求的检测结果。


6.根据权利要求5所述web攻击检测方法，其特征在于，所述根据每个所述访问请求对应的所有字段构建每个所述访问...

【专利技术属性】
技术研发人员：杨荣海，
申请(专利权)人：深信服科技股份有限公司，
类型：发明
国别省市：广东;44