[发明专利]一种检测事中攻击的方法及系统

权利要求书

1.一种检测事中攻击的方法，其特征在于，包括：

采集攻击的请求数据包和响应数据包；

通过预置的回包特征库分别对所述请求数据包和所述响应数据包进行匹配；

若匹配失败，检测所述攻击是否有可利用的漏洞；

若所述检测结果为是，则对所述攻击和目标对象进行漏洞关联分析，以确定所述目标对象是否存在所述漏洞；

若所述目标对象存在所述漏洞，则确定所述攻击成功；

若所述检测结果为不确定，则对所述请求数据包和所述响应数据包进行上下文关联分析，以确定所述攻击是否成功及所述攻击产生的影响；

其中，所述上下文关联分析，包括：

基线特征匹配和/或时间序列检测；

所述若所述检测结果为不确定，则对所述请求数据包和所述响应数据包进行上下文关联分析，以确定所述攻击是否成功及所述攻击产生的影响，包括：

若所述检测结果为不确定，则对所述请求数据包和所述响应数据包进行基线特征匹配；

若匹配成功，则确定所述攻击失败；

若匹配失败，则确定所述攻击成功，再对所述请求数据包和所述响应数据包进行时间序列检测，以确定所述攻击产生的影响。

2.根据权利要求1所述的方法，其特征在于，在所述通过预置的回包特征库分别对所述请求数据包和所述响应数据包进行匹配之后，所述方法还包括：

若匹配成功，则确定所述攻击成功；

在所述对所述攻击和目标对象进行漏洞关联分析，以确定所述目标对象是否存在所述漏洞之后，所述方法还包括：

若所述目标对象不存在所述漏洞，则确定所述攻击失败；

在所述确定所述攻击成功之后，所述方法还包括：

对所述请求数据包和所述响应数据包进行上下文关联分析，以确定所述攻击产生的影响。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

在所述确定所述攻击成功时，将所述攻击与全网的安全评估结果关联。

4.根据权利要求1所述的方法，其特征在于，在所述采集攻击的请求数据包和响应数据包之后，所述通过预置的回包特征库分别对所述请求数据包和所述响应数据包进行匹配之前，所述方法还包括：

对所述响应数据包进行过滤，以滤除无效的响应数据包；

对所述攻击进行过滤，以滤除预置的攻击类型。

5.一种检测事中攻击的系统，其特征在于，包括：

采集单元，用于采集攻击的请求数据包和响应数据包；

第一匹配单元，用于通过预置的回包特征库分别对所述请求数据包和所述响应数据包进行匹配；

检测单元，用于在匹配失败时，检测所述攻击是否有可利用的漏洞；

第一分析单元，用于在所述检测结果为是时，对所述攻击和目标对象进行漏洞关联分析，以确定所述目标对象是否存在所述漏洞；

第一确定单元，用于在所述目标对象存在所述漏洞时，确定所述攻击成功；

第二分析单元，用于在所述检测结果为不确定时，对所述请求数据包和所述响应数据包进行上下文关联分析，以确定所述攻击是否成功及所述攻击产生的影响；

其中，所述上下文关联分析包括：

基线特征匹配和/或时间序列检测；

所述第二分析单元，包括：

匹配模块，用于在所述检测结果为不确定时，对所述请求数据包和所述响应数据包进行基线特征匹配；

第三确定模块，用于在匹配成功时，确定所述攻击失败；

第四确定模块，用于在匹配失败时，确定所述攻击成功，再对所述请求数据包和所述响应数据包进行时间序列检测，以确定所述攻击产生的影响。

6.根据权利要求5所述的系统，其特征在于，所述系统还包括：

第二确定单元，用于匹配成功时，则确定所述攻击成功；

第三确定单元，用于在所述目标对象不存在所述漏洞时，确定所述攻击失败；

所述第一确定单元，包括：

第一确定模块，用于在所述目标对象存在所述漏洞时，确定所述攻击成功；

第二确定模块，用于在所述攻击成功时，对所述请求数据包和所述响应数据包进行上下文关联分析，以确定所述攻击产生的影响。