[发明专利]网络攻击检测方法及装置

说明书

本发明提供了一种网络攻击检测方法和装置，该方法包括：获取目标终端向目标服务器发送的属于同一会话的多个目标访问请求；确定检测特征项，并根据多个目标访问请求确定检测特征项的访问特征值；获得与检测特征项对应的目标检测规则；使用目标检测规则对访问特征值进行判断，获得第一攻击检测结果；第一攻击检测结果用于表示是否存在对同一会话的网络攻击行为。本发明通过对将同一会话的多个目标访问请求作为一组进行检测提取访问特征值，提取到的访问特征值所携带的信息更加全面，从而攻击检测准确度更高。

技术领域

本发明涉及网络安全技术领域，更具体地，是网络攻击检测方法及装置。

背景技术

在互联网中，终端与服务器进行交互的过程，可能遭受黑客等恶意程序的网络攻击。为了保证网络访问的安全性，通常在终端与服务器的访问路径上部署应用防火墙，基于应用防火墙的防护规则，对访问过程进行攻击检测及攻击处理。

目前，应用防火墙主要有两种形式：一种是以硬件服务器作为防火墙的主体，以独立设备的形态接入到网络拓扑结构中；另一种是使用云端应用防火墙，修改访问请求的DNS解析方式将云端应用防火墙入到网络拓扑结构中。

终端的访问请求由以上某种形式的应用防火墙进行攻击检测，但上述应用防火墙的攻击检测准确度较低。

发明内容

有鉴于此，本发明提供了一种网络攻击检测方法和装置，用以提高网络攻击检测准确度。

为实现所述目的，本发明提供的技术方案如下：

第一方面，本发明提供了一种网络攻击检测方法，包括：

获取目标终端向目标服务器发送的属于同一会话的多个目标访问请求；确定检测特征项，并根据多个目标访问请求确定检测特征项的访问特征值；获得与检测特征项对应的目标检测规则；使用目标检测规则对访问特征值进行判断，获得第一攻击检测结果；第一攻击检测结果用于表示是否存在对同一会话的网络攻击行为。

第二方面，本发明提供了一种网络攻击检测装置，包括：

访问请求获取模块，用于获取目标终端向目标服务器发送的属于同一会话的多个目标访问请求；

特征项确定模块，用于确定检测特征项，并根据所述多个目标访问请求确定所述检测特征项的访问特征值；

规则获取模块，用于获得与所述检测特征项对应的目标检测规则；

第一攻击检测结果获取模块，用于使用所述目标检测规则对所述访问特征值进行判断，获得第一攻击检测结果；所述第一攻击检测结果用于表示是否存在对所述同一会话的网络攻击行为。

由以上可知，本发明提供了一种网络攻击检测方法和装置，该方法包括：获取目标终端向目标服务器发送的属于同一会话的多个目标访问请求；确定检测特征项，并根据多个目标访问请求确定检测特征项的访问特征值；获得与检测特征项对应的目标检测规则；使用目标检测规则对访问特征值进行判断，获得第一攻击检测结果；第一攻击检测结果用于表示是否存在对同一会话的网络攻击行为。现有技术仅对单次访问请求流量进行检测，然而本发明通过对将同一会话的多个目标访问请求作为一组进行检测提取访问特征值，提取到的访问特征值所携带的信息更加全面，从而攻击检测准确度更高。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明提供的防火墙系统的一种框架结构图；

图2为本发明提供的网络攻击检测方法的一种流程示意图；

图3为本发明提供的网络攻击检测方法的另一种流程示意图；