[发明专利]一种网络入侵的检测方法及装置

说明书

技术领域

本申请涉及计算机技术领域，尤其涉及一种网络入侵的检测方法及装置。

背景技术

随着网络及系统层漏洞的逐渐减少及Web攻防技术的日趋成熟，黑客们将注意力从以往对网络服务器的攻击逐步转移到了对Web应用的攻击上。

通常，为了实时监测和防止网络系统的攻击，人们采用的方式为：在网络层部署检测装置，用于对网络入侵的检测，具体处理包括：该检测装置从当前网络系统的网络层获取数据包，并将该数据包存储在指定的存储设备中。技术人员定期或实时对存储的数据包进行分析，确定其中是否包含能够对网络服务器、终端设备及其硬件或软件造成危害的应用程序或程序代码，如果包括，则可以确定该数据包可能会危害网络系统，此时，技术人员可以针对该数据包中包含的具体应用程序或程序代码，判定其属于何种网络入侵，从而采取或制定相应的措施。如果不包括，则可以确定该数据包不会危害网络系统。

但是，上述检测装置是部署在网络层，由于网络层的数据包中大多包含的是各种网络代码或程序代码，技术人员在分析网络代码或程序代码时很多情况下会存在解读错误的情况，这样很可能会造成网络系统危害的数据包被分析成正常的数据，从而使得Web应用的安全受到威胁，给黑客以可乘之机。

发明内容

本申请实施例提供一种网络入侵的检测方法及装置，用以解决现有技术中很可能会造成网络系统危害的数据包被分析成正常的数据，从而使得Web应用的安全受到威胁的问题。

本申请实施例提供的一种网络入侵的检测方法，所述方法包括：

从当前网络体系中的应用层获取待分析的网络数据包；

对所述待分析的网络数据包中的应用数据进行分析，获取所述应用数据的数据特征；

如果所述应用数据的数据特征与预先存储的基准数据特征相匹配，则输出网络入侵通知消息。

可选地，所述对所述待分析的网络数据包中的应用数据进行分析，获取所述应用数据的数据特征，包括：

对所述应用数据进行漏洞扫描行为分析，获取所述应用数据的第一数据特征；

相应地，所述如果所述应用数据的数据特征与预先存储的基准数据特征相匹配，则输出网络入侵通知消息，包括：

如果所述应用数据的第一数据特征与预先存储的基准数据特征中的漏洞扫描行为特征相匹配，则输出网络入侵通知消息。

可选地，所述方法还包括：

如果所述应用数据的第一数据特征与预先存储的基准数据特征中的漏洞扫描行为特征相匹配，则记录所述应用数据的第一数据特征。

可选地，所述对所述待分析的网络数据包中的应用数据进行分析，获取所述应用数据的数据特征，包括：

对所述应用数据进行漏洞触发分析，获取所述应用数据的第二数据特征；

相应地，所述如果所述应用数据的数据特征与预先存储的基准数据特征相匹配，则输出网络入侵通知消息，包括：

如果所述应用数据的第二数据特征与预先存储的基准数据特征中的漏洞触发特征相匹配，则输出网络入侵通知消息。

可选地，所述方法还包括：

检测当前网络体系对应的网络系统的运行状态信息；

如果所述运行状态信息中包括预定的控制操作信息，则输出网络入侵通知消息。

可选地，所述运行状态信息中包括流量状态信息，

所述方法还包括：

如果所述流量状态信息指示当前流量异常，则输出网络入侵通知消息。

本申请实施例提供的一种网络入侵的检测装置，所述装置包括：

数据包获取模块，用于从当前网络体系中的应用层获取待分析的网络数据包；

分析模块，用于对所述待分析的网络数据包中的应用数据进行分析，获取所述应用数据的数据特征；

消息输出模块，用于如果所述应用数据的数据特征与预先存储的基准数据特征相匹配，则输出网络入侵通知消息。

可选地，所述分析模块，用于对所述应用数据进行漏洞扫描行为分析，获取所述应用数据的第一数据特征；

相应地，所述消息输出模块，用于如果所述应用数据的第一数据特征与预先存储的基准数据特征中的漏洞扫描行为特征相匹配，则输出网络入侵通知消息。

可选地，所述装置还包括：

特征记录模块，用于如果所述应用数据的第一数据特征与预先存储的基准数据特征中的漏洞扫描行为特征相匹配，则记录所述应用数据的第一数据特征。