[发明专利]HTTP漏洞扫描主机的确认方法、装置、设备及介质

权利要求书

1.一种HTTP漏洞扫描主机的确认方法，其特征在于，所述HTTP漏洞扫描主机的确认方法包括如下步骤：

调用预设镜像设备持续对所述主机发起的HTTP流量数据进行审计得到各HTTP日志；

在各所述HTTP日志中，提取符合预设条件的HTTP敏感日志；

对提取出的所述HTTP敏感日志进行分类聚合得到第一类别HTTP敏感日志和第二类别HTTP敏感日志；

分别对第一类别HTTP敏感日志和第二类别HTTP敏感日志进行分析以确认所述主机是否利用HTTP进行漏洞扫描；

其中，所述第一类别HTTP敏感日志为记录多条请求路径的HTTP日志，所述对第一类别HTTP敏感日志进行分析的步骤包括：

采集所述主机的历史行为学特征，根据所述历史行为学特征排除多条所述请求路径中的部分路径；

从排除所述部分路径后剩余的多条请求路径中，提取出符合预设路径特征的目标请求路径；

对记录所述目标请求路径的所述第一类别HTTP敏感日志进行时域特征分析，以确认所述主机是否利用HTTP进行漏洞扫描；

其中，所述第二类别HTTP敏感日志为记录唯一请求路径的HTTP日志，对第二类别HTTP敏感日志进行分析，包括：

对所述第二类别HTTP敏感日志进行时域特征分析，以确认所述主机是否利用HTTP进行漏洞扫描。

2.如权利要求1所述的HTTP漏洞扫描主机的确认方法，其特征在于，所述历史行为学特征为记录基于HTTP进行正常访问的行为特征，

所述根据所述历史行为学特征排除多条所述请求路径中的部分路径的步骤，包括：

根据记录的基于HTTP进行正常访问的行为特征，从多条所述请求路径中，排除属于正常访问的部分路径。

3.如权利要求1所述的HTTP漏洞扫描主机的确认方法，其特征在于，所述路径特征路径相似度是否大于预设阈值；

所述从排除所述部分路径后剩余的多条请求路径中，提取出符合预设路径特征的目标请求路径的步骤，包括：

逐一对比排除所述部分路径后剩余的多条请求路径与预设路径之间的相似度，并提取出所述相似度大于预设阈值的目标请求路径。

4.如权利要求1所述的HTTP漏洞扫描主机的确认方法，其特征在于，所述对记录所述目标请求路径的所述第一类别HTTP敏感日志进行时域特征分析，以确认所述主机是否利用HTTP进行漏洞扫描的步骤，包括：

识别记录所述目标请求路径的所述第一类别HTTP敏感日志的生成时间点；

根据所述生成时间点检测所述主机发起所述HTTP流量数据的请求频率；

若检测到所述请求频率超过预设频率，确定所述主机利用HTTP进行漏洞扫描；

若检测到所述请求频率未超过预设频率，确定所述主机未利用HTTP进行漏洞扫描。

5.如权利要求1所述的HTTP漏洞扫描主机的确认方法，其特征在于，所述调用预设镜像设备持续对所述主机发起的HTTP流量数据进行审计得到各HTTP日志的步骤，包括：

保留各所述HTTP流量数据中，所述主机发起的各请求信息和接收到与所述请求信息对应的返回头字段信息；

将所述请求信息和对应的所述返回头字段信息封装为HTTP日志，以得到各请求信息对应的HTTP日志。

6.如权利要求5所述的HTTP漏洞扫描主机的确认方法，其特征在于，所述在各所述HTTP日志中，提取符合预设条件的HTTP敏感日志的步骤，包括：

将所述请求信息和所述返回头字段信息均符合所述预设条件的所述HTTP日志作为所述HTTP敏感日志，并提取出所述HTTP敏感日志，其中，所述预设条件为利用HTTP进行恶意扫描的行为特征。

7.如权利要求6所述的HTTP漏洞扫描主机的确认方法，其特征在于，所述行为特征包括：HTTP状态码、请求文件后缀和/或请求参数数量。