[发明专利]一种基于双引擎的高效WAF设计方法

说明书

本发明公开了一种基于双引擎的高效WAF设计方法，包括步骤1：hs引擎每隔一段时间从配置中心拉取安全策略；步骤2：根据不同的安全策略，组装规则库并编译成hs数据库然后和相应的规则ID缓存到redis数据库；步骤3：pcre引擎每隔一段时间从配置中心拉取最新安全策略，若安全策略有变化则从redis数据库获取最新的hs数据库和规则id表；无变化则获取用户的http请求；步骤4：使用hs引擎对步骤3所得http请求进行匹配，若没有匹配结果则视为无攻击行为，直接放行；步骤5：使用pcre规则库对分离出来的目标字段进行匹配，直至遍历完所有规则；步骤6：判定该次请求含有攻击行为，阻断档次访问并返回警告信息。

技术领域

本发明涉及互联网安全技术领域，具体的说，是一种基于双引擎的高效WAF设计方法。

背景技术

Web应用防护系统，也称：网站应用级入侵防御系统。英文：Web ApplicationFirewall，简称：WAF。WAF是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品,能屏蔽常见的网站漏洞攻击，如SQL注入，XML注入、XSS等。一般针对的是应用层而非网络层的入侵。

现在市场上大多数的产品是基于规则的WAF。其原理是每一个会话都要经过一系列的测试，每一项测试都由多个检测规则组成，如果测试没通过，请求就会被认为非法并拒绝。

基于规则的WAF很容易构建并且能有效的防范已知安全问题。当我们要制定自定义防御策略时使用它会更加便捷。因为它们必须要首先确认每一个威胁的特点，所以要由一个强大的规则数据库支持。但是，随着威胁的增加，相应的规则也随之增加，越强大的WAF拥有的规则数据库就越大，庞大的数据库拖慢了WAF的执行效率，以至于有时候不得不刻意减少执行的规则数量，以取得较高性能。

发明内容

本发明的目的在于提供一种基于双引擎的高效WAF设计方法，用于解决现有技术中随着威胁的增加，相应的规则也随之增加，越强大的WAF拥有的规则数据库就越大，庞大的数据库拖慢了WAF的执行效率的问题。

本发明通过下述技术方案解决上述问题：

一种基于双引擎的高效WAF设计方法，该方法包括如下步骤：

步骤1：hs引擎每隔一段时间从配置中心拉取最新安全策略；

步骤2：根据不同的安全策略，组装不同规则库，并编译成hs数据库然后和相应的规则ID缓存到redis数据库；

步骤3：pcre引擎每隔一段时间从配置中心拉取最新安全策略，若安全策略有变化则从redis数据库获取最新的hs数据库和规则ID表；无变化则获取用户的http请求；

步骤4：使用hs引擎对步骤3所得http请求进行匹配，若没有匹配结果则视为无攻击行为，直接放行；若有匹配结果则获取hs引擎命中的一系列规则ID，并使用hs命中的一系列规则ID,重建pcre规则库，并根据规则定义的匹配区域，从原始http请求中分离出目标字段；

步骤5：使用步骤4重建的pcre规则库对分离出来的目标字段进行匹配，直至遍历完所有规则，如果目标字段匹配成功，则对应规则得分，当累计得分超过策略规定的阈值时进入步骤6；匹配不成功则重复本步骤；

步骤6：判定该请求含有攻击行为，阻断当次访问并返回警告信息。

本发明采用hs引擎和pcre两个引擎，hs负责粗略匹配，预选规则，然后将预匹配命中的规则输入pcre进行识别。首先是hs采取多模匹配，无论多少规则都仅仅执行一次匹配，效率极高，其次经过hs规则预选，使得pcre要执行的规则数量大幅减少，很好的保证了WAF的效率。

进一步地，所述步骤1和步骤3中引擎的间隔时间为5秒。