[发明专利]攻击流量的自动识别及验证方法及系统

说明书

本发明提供一种攻击流量的自动识别及验证方法及系统，所述自动识别及验证方法包括：获取数据流，并对所述数据流进行镜像映射，得到镜像数据流；依次根据第一特征库和第二特征库识别所述镜像数据流是否为攻击流量，其中，所述第一特征库为本地特征库，所述第二特征库为开源特征库；依据识别为所述攻击流量的所述镜像数据流所匹配的所述第二类特征确定识别为所述攻击流量的所述镜像数据流的验证动作；依据所确定的验证动作验证识别为所述攻击流量的所述镜像数据流是否成功攻击；以及输出步骤：输出所述验证结果。本发明提供的攻击流量的自动识别及验证方法及系统利用两个特征库提升系统处理效率。

技术领域

本发明涉及计算机应用技术领域，尤其涉及一种攻击流量的自动识别及验证方法及系统。

背景技术

随着互联网的不断发展，被外部攻击者进行恶意攻击的事件数量增长迅速，公司的信息安全关乎到公司利益价值。现有技术通常是对恶意流量进行提取，然后告警，由运营人员或开发人员对告警进行响应。

目前，一些应用安全技术仅仅采用流量攻击特征捕获的方式进行识别，这样的方式至少会带来如下缺陷：1)海量的告警会导致漏洞响应的效率降低；2)仅仅采用流量攻击特征捕获的方式进行识别增加系统数据处理量，整个系统识别效率降低。

发明内容

本发明为了克服上述现有技术存在的缺陷，提供一种攻击流量的自动识别及验证方法及系统，以提高系统处理效率。

根据本发明的一个方面，提供一种攻击流量的自动识别及验证方法，包括：镜像步骤：获取数据流，并对所述数据流进行镜像映射，得到镜像数据流；识别步骤：依次根据第一特征库和第二特征库识别所述镜像数据流是否为攻击流量，其中，所述第一特征库包括多个第一类特征，所述第一特征库为本地特征库，所述第二特征库包括多个第二类特征，所述第二特征库为开源特征库；验证动作确定步骤：依据识别为所述攻击流量的所述镜像数据流所匹配的所述第二类特征确定识别为所述攻击流量的所述镜像数据流的验证动作；验证步骤：依据所确定的验证动作验证识别为所述攻击流量的所述镜像数据流是否成功攻击；以及输出步骤：输出所述验证结果。

可选地，所述第二特征库更新所述第二类特征时，若存在新的第二类特征与所述第一类特征相同，则不将该新的第二类特征更新至所述第二类特征库。

可选地，根据所述第二特征库识别所述镜像数据流是否为攻击流量时，所述第二特征库中若存在与所述第一类特征相同的第二类特征，则不再依据该第二类特征识别所述镜像数据流是否为攻击流量。

可选地，所述识别步骤包括：若所述镜像数据流与所述第一特征库中的任一第一类特征都不匹配，则丢弃所述镜像数据流；若所述镜像数据流与所述第一特征库中的任一第一类特征匹配，则所述镜像数据流与所述第二特征库中的多个第二类特征匹配。

可选地，所述镜像数据流与所述第二特征库中的多个第二类特征匹配的步骤包括：若所述镜像数据流与所述第二特征库中的任一第二类特征都不匹配，则将所述镜像数据流存入一非攻击特征流量数据库；若所述镜像数据流与所述第二特征库中的任一第二类特征匹配，则依据所匹配的第二类特征识别所述镜像数据流为所述攻击流量。

可选地，所述验证动作确定步骤包括：依据识别为所述攻击流量的所述镜像数据流所匹配的所述第二类特征在包含第二类特征和验证动作集的对应关系的规则库中确定一验证动作集，所述验证动作集包括多个验证动作；在所确定的验证动作集中确定一验证动作。

可选地，在所述依次根据第一特征库识别所述镜像数据流是否为攻击流量的步骤之后，所述依次根据第二特征库识别所述镜像数据流是否为攻击流量的步骤之前，还包括：对所述镜像数据流进行误报过滤。

可选地，所述对所述镜像数据流进行误报过滤的步骤包括：依据网站架构、响应码、自定义错误页面及对比测试中任一项或多项丢弃认定为攻击无效的所述镜像数据流。