[发明专利]一种基于日志分析的网络攻击检测方法及装置

权利要求书

1.一种基于日志分析的网络攻击检测方法，其特征在于，包括：

读取待检测的服务器日志文件，获取待检测的服务器日志文件对应的主机的网络地址、服务器端口号、应用类型及故障类型，根据待检测的服务器日志文件的头部格式信息判断待检测的服务器日志文件采用的格式类型；

根据所述待检测的服务器日志文件采用的格式类型、待检测主机的网络地址、服务器端口号、应用类型及故障类型，与预先设置的场景类型进行匹配，确定待检测的服务器日志文件对应的扫描场景；

从预先设置的策略库中选取与所述扫描场景唯一对应的扫描策略；所述扫描策略用于表示扫描过程中所应用的扫描逻辑；

根据所述扫描策略对所述待检测的服务器日志文件进行扫描，生成日志安全扫描结果；

根据预先设置的文件格式输出所述日志安全扫描结果、所述扫描场景及扫描策略。

2.根据权利要求1所述的基于日志分析的网络攻击检测方法，其特征在于，所述读取待检测的服务器日志文件，获取待检测的服务器日志文件对应的主机的网络地址、服务器端口号、应用类型及故障类型，根据待检测的服务器日志文件的头部格式信息判断服务器日志采用的格式类型，包括：

采用自动化的端口扫描脚本，根据服务器开放端口及绑定类型识别服务器上已部署的网络中间件服务类型；所述网络中间件服务类型包括：IIS、Tomcat、Jboss、Weblogic以及Websphere；

根据所述网络中间件服务类型，采用预先配置的默认路径及常见配置路径，通过文件后缀匹配查找所述默认路径及常见配置路径中是否存在待检测的服务器日志文件；

若所述默认路径及常见配置路径中存在待检测的服务器日志文件，读取所述待检测的服务器日志文件，获取待检测的服务器日志文件对应的主机的网络地址、服务器端口号、应用类型及故障类型，并根据待检测的服务器日志文件的头部格式信息判断服务器日志采用的格式类型；所述服务器日志采用的格式类型为CLF、ECLF或ExLF。

3.根据权利要求2所述的基于日志分析的网络攻击检测方法，其特征在于，根据所述服务器日志采用的格式类型、待检测主机的网络地址、服务器端口号、应用类型及故障类型，与预先设置的场景类型进行匹配，确定待检测的服务器日志文件对应的扫描场景，包括：

在预先设置的场景类型匹配内置字典中匹配查找所述服务器日志采用的格式类型、待检测主机的网络地址、服务器端口号、应用类型及故障类型对应的场景类型，确定待检测的服务器日志文件对应的扫描场景。

4.根据权利要求3所述的基于日志分析的网络攻击检测方法，其特征在于，所述扫描策略包括分组排序策略和匹配模板；

所述分组排序策略包括：

根据同一IP地址的单次会话对各待检测的服务器日志文件进行分组，以同一IP地址的单次会话的日志条目数量对各分组进行排序，并逐一对各分组进行扫描；

根据同一IP地址的单次会话对各待检测的服务器日志文件进行分组，将同一IP地址的分组数量进行排序，并将排序后的同一IP地址的分组按照会话长度进行排序，并逐一对各分组进行扫描；

根据固定时间长度对各待检测的服务器日志文件进行分组，并以固定时间长度内日志条目数量对各分组进行排序，并逐一对各分组进行扫描；

所述匹配模板用于表示网络攻击类型，所述网络攻击类型包括：SQL注入、敏感信息窃取、反射型跨站以及拒绝服务攻击。