[发明专利]一种基于HTTP日志的多维度webshell入侵检测方法及检测系统

说明书

本发明公开了一种基于HTTP日志的多维度webshell入侵检测方法及检测系统，所述方法包括：获取HTTP日志数据；对于HTTP日志数据当中的来访IP字段进行黑名单过滤，如来访IP在黑名单当中，则直接进行存储和上报；利用已知的HTTP正常访问数据及webshell入侵数据，提取访问参数特征及访问行为特征，并根据提取的访问参数特征及访问行为特征使用SVM分类器模型进行训练；对实时HTTP数据提取访问参数特征及访问行为特征，使用训练好的SVM分类器模型进行判断是否遭遇到webshell入侵，并将入侵行为进行存储和上报方便后续处理。本发明的检测方法和检测系统能够依据HTTP访问日志数据准确判断出网页服务器是否遭到WebShell入侵。

技术领域

本发明涉及网络安全应用领域，具体涉及一种HTTP日志的多维度webshell入侵检测方法及检测系统。

背景技术

“Web”的含义是需要服务器开放web服务，“shell”的含义是取得对服务器某种程度上的操作权限，常常被称为匿名用户(入侵者)通过网站端口对网站服务器的某种程度的操作权限。类似于个人电脑的cmd模式。可以通过它，获取服务器系统权限、控制“肉鸡”发起DDos攻击、篡改网站、网页挂马、作为用于隐藏自己的代理服务器、内部扫描、植入暗链/黑链等等。

由于webshell入侵时是ttp协议进行木马上传及恶意操作，因此webshell可以穿越服务器防火墙，由于与被控制的服务器或远程过80端口传递的，因此不会被防火墙拦截。并且使用webshell一般不会在系统日志中留下记录，只会在网站的web日志中留下一些数据提交记录。

因此，如何通过对HTTP日志进行分析来发现webshell入侵行为，是近期网络安全研究的热点，也是目前互联网安全领域亟待解决的问题。

发明内容

基于现有技术的上述缺陷，本发明的目的在于提供一种基于HTTP日志的多维度webshell入侵检测方法及检测系统，以解决原有的web服务器无法有效发现并拦截webshell的入侵。

本发明的一种基于HTTP日志的多维度webshell入侵检测方法，所述方法包括如下步骤：

步骤一、获取HTTP日志数据；

步骤二、对于HTTP日志数据当中的来访IP字段进行黑名单过滤，如来访IP在黑名单当中，则直接进行存储和上报；

步骤三、利用已知的HTTP正常访问数据及webshell入侵数据，提取访问参数特征及访问行为特征，并根据提取的访问参数特征及访问行为特征使用SVM分类器模型进行训练；

步骤四、对实时HTTP数据提取访问参数特征及访问行为特征，使用训练好的SVM分类器模型进行判断是否遭遇到webshell入侵，并将入侵行为进行存储和上报方便后续处理。

进一步地，所述HTTP日志数据包括：源IP，源端口，目标IP，目标端口，HTTP请求方式，访问主机名，URI，访问时间，POST参数。

进一步地，所述的访问参数包括：请求参数名个数，请求参数名平均字符长度，请求参数名最大字符长度，请求参数值平均字符长度，请求参数值最大字符长度，请求参数值是否包含恶意请求函数字符，请求参数值最大熵值。

进一步地，所述的访问行为包括：单位时间内总访问次数，单位时间内访问行为突发程度，单位时间内来访IP最大访问次数占比，单位时间内访问动态文件请求次数占比，单位时间内访问动态HTML页面请求次数占比，单位时间内访问静态HTML页面请求次数占比。