[发明专利]一种代理主机的反向追踪溯源方法及装置

说明书

本发明涉及一种代理主机的反向追踪溯源方法及装置，属于网络安全技术领域。该方法包括：从已拦截的WEB攻击告警日志中筛选出存在代理行为的至少一个HTTP请求数据；判断所述至少一个HTTP请求数据中的每个HTTP请求数据的请求头中是否包含有真实攻击者的真实IP地址；在所述至少一个HTTP请求数据中存在包含有真实攻击者的真实IP地址的第一HTTP请求数据时，在预设威胁情报数据库中对所述第一HTTP请求数据的真实IP地址以及代理IP地址进行查询，得到第一查询结果。该方法不仅能够快速有效地判断真实攻击来源的IP地址、完成追踪溯源的工作，并且还能帮助网络安全防护设备提高对代理攻击行为的识别能力。

技术领域

本发明属于网络安全技术领域，具体涉及一种代理主机的反向追踪溯源方法及装置。

背景技术

在日常分析网络安全设备日志的过程中发现，大多数告警的攻击来源IP地址并不是攻击者真实的IP地址，网络攻击者不仅拥有漏洞探测能力，其自身安全意识也都比常人高，特别是以黑色产业链为生的黑产从业者，更是对网络匿名攻击技术有一定的研究和实战。然而，往往是这些所谓“专业”的黑客每天都在制造网络攻击告警数据，给网络安全带来了极大的挑战。在传统的对黑客甚至是黑产网络攻击的追踪溯源中，经常遇到线索断在了代理IP地址上，无法对攻击者真实IP地址进行追溯，进而无法措施以提升网络安全防护设备的入侵识别能力。

发明内容

鉴于此，本发明的目的在于提供一种代理主机的反向追踪溯源方法及装置，以有效地改善上述问题。

本发明的实施例是这样实现的：

第一方面，本发明实施例提供了一种代理主机的反向追踪溯源方法，包括：从已拦截的WEB攻击告警日志中筛选出存在代理行为的至少一个HTTP请求数据；判断所述至少一个HTTP请求数据中的每个HTTP请求数据的请求头中是否包含有真实攻击者的真实IP地址；在所述至少一个HTTP请求数据中存在包含有真实攻击者的真实IP地址的第一HTTP请求数据时，在预设威胁情报数据库中对所述第一HTTP请求数据的真实IP地址以及代理IP地址进行查询，得到第一查询结果。

结合第一方面的一种实施方式，从已拦截的WEB攻击告警日志中筛选出存在代理行为的至少一个HTTP请求数据，包括：从已拦截的WEB攻击告警日志中获取每条WEB攻击告警日志的HTTP请求数据；将获取到的所有HTTP请求数据均格式化为字典结构；依次将每个HTTP请求数据对应的字典键名和键值在预设代理工具指纹库中进行匹配；在所述预设代理工具指纹库中得到匹配的至少一个HTTP请求数据对应的字典键名和键值时，所述得到匹配的至少一个HTTP请求数据即为存在代理行为的HTTP请求数据。

结合第一方面的又一种实施方式，从已拦截的WEB攻击告警日志中获取每条WEB攻击告警日志的HTTP请求数据，包括：从网络安全防护设备已拦截的攻击告警日志中筛选出WEB类型的WEB攻击告警日志；从筛选出的WEB攻击告警日志中获取每条WEB攻击告警日志的HTTP请求数据。

结合第一方面的又一种实施方式，在判断所述至少一个HTTP请求数据中的每个HTTP请求数据的请求头中是否包含有真实攻击者的真实IP地址之后，所述方法还包括：在所述至少一个HTTP请求数据中不存在包含有真实攻击者的真实IP地址的第二HTTP请求数据时，在预设威胁情报数据库中对所述第二HTTP请求数据的代理IP地址进行查询，得到第二查询结果。

结合第一方面的又一种实施方式，所述方法还包括：将所述第一查询结果或所述第二查询结果存储至MongoDB数据库。