[发明专利]基于动态克隆选择算法的SQL注入攻击检测方法

说明书

本发明公开了基于动态克隆选择算法的SQL注入攻击检测方法，步骤是提取客户浏览器端提交的SQL语句，把该SQL语句提交给规则库检测模块进行“SQLIAs”快速模式匹配；将模式匹配失败的语句提交给动态检测模块进行更深层次的检测，在动态检测模块运行之前引入局部离群因子作为适应度函数来优化检测器之间的距离，构造高效检测器识别正常数据和异常数据；运行动态检测模块进行检测；调用克隆选择算法进行学习识别；根据检测结果更新系统模块。解决现有WAF检测性能下降以及无法识别未知特征和各种变形攻击的问题。

技术领域

本发明属于网络安全技术领域，特别是涉及一种基于动态克隆选择算法的SQL注入攻击检测方法。

背景技术

Web安全是信息安全领域的研究热点之一，SQL注入攻击(简称SQLIAs，SQLinjection attacks)是一种Web应用攻击，这种攻击的危害程度在近10年的十大最关键Web应用安全风险中一直高居前三位。

目前防护SQLIAs的主要方法是架设Web应用防火墙(Web Application Firewall，简称WAF)，WAF是基于异常规则库的检测机制，随着各种变种攻击的不断增加，其规则库会越来越庞大，导致其检测性能下降，而且更为严重的是它无法识别未知特征和各种变形攻击。基于此，有必要发明一种全新的动态SQL注入攻击检测方法，以解决现有方法存在的上述问题。

发明内容

本发明的目的在于提供一种基于动态克隆选择算法的SQL注入攻击检测方法，解决现有WAF检测性能下降以及无法识别未知特征和各种变形攻击的问题。

本发明所采用的技术方案是，基于动态克隆选择算法的SQL注入攻击检测方法，按照以下步骤进行：

步骤S1：提取客户浏览器端提交的SQL语句，把该SQL语句提交给规则库检测模块进行“SQLIAs”快速模式匹配，如果匹配成功，表明该语句包含注入攻击代码，系统终止用户提交的请求；

步骤S2：将模式匹配失败的语句提交给动态检测模块进行更深层次的检测，在动态检测模块运行之前引入局部离群因子作为适应度函数来优化检测器之间的距离，从而构造高效的检测器来识别正常数据和异常数据；

步骤S3：运行动态检测模块进行检测；

步骤S4：调用克隆选择算法进行学习识别；

步骤S5：根据检测结果更新系统模块。

进一步的，所述步骤S1中，规则库检测模块的快速模式匹配方法具体步骤如下：

步骤S11：将空格分割后的SQL查询语句以滑动窗口的形式和规则库中异常SQL查询语句逐条进行比对，当查询语句中第1个单词的内容和规则库中的某个位置的单词内容相等时，计算该位置之后子串的长度，若该字串的长度和查询语句的长度不等，模式匹配失败，表明该SQL语句可能是正常数据，也可能是未知的异常数据，需要动态检测模块进行更深入的检测；

步骤S12：若该字串的长度和查询语句的长度相等，且相似度高，表明该查询语句和规则库检测模块中的这条数据属于同一异常数据样本，模式匹配成功，系统拒绝SQL查询，其中相似度的计算公式如下：

其中：U是待检测的SQL查询语句，S[i]表示规则库模块列表中第i个异常数据模式，Match_num(U,S)是U和S中对应位置单词相等的个数，待检测的SQL查询语句的长度用length(Q)来表示，当Similarity的值大于0.88时，认为相似度高。

进一步的，所述步骤S2中构造高效的检测器的步骤如下：

步骤S21：随机生成一批SQL查询语句作为候选检测器，在该候选检测器中选取一条查询语句作为候选抗体x；