[发明专利]一种基于RASP零规则的JNI恶意攻击检测方法及装置

说明书

本发明提出了一种基于RASP零规则的JNI恶意攻击检测方法，包括：实时应用程序自我保护系统RASP实时监听网页中的产生的操作事件；解析所述操作事件，通过调用相应的JIN扫描线程进行操作事件扫描；根据对操作事件的扫描结果调用RASP中相应的零规则漏洞检测算法对操作事件进行攻击行为检测，并将所述检测结果上传至JAVA层。本发明的检测方法在恶意攻击检测过程中基于JIN线程的准确性以及RASP中预设的规则的灵活性，有效提升恶意攻击检测效率。另外，本发明还提供了一种基于RASP零规则的JNI恶意攻击检测装置。

技术领域

本发明属于信息安全检测技术领域，具体为一种基于RASP零规则的JNI恶意攻击检测方法及装置。

背景技术

随着网络技术的不断发展，移动终端对网络的需求增大也是基于应用软件的不断增多而形成的，应用软件市场使软件行销、安装和更新一体化，因此开发者可以很容易的把应用程序放到应用市场中，人们也可以很容易的从应用市场中获取和使用相应的应用程序。

通过分析典型漏洞攻击流程，总结得到的漏洞攻击利用规则集合，具有一定程度的通用性。然而对于传统WAF的来说，一方面拿不到数据库的查询语句，只能在请求里寻找SQL注入特征；另一方面也无法识别用户输入，所以存在绕过的可能。此外，现有技术中缺乏有效的JNI一致性检查方案。在进行漏洞检测时，不能根据JNI的一致性来进行漏洞检测从而造成网络威胁。

发明内容

本发明的目的在于针对现有技术的不足之处，提出了基于RASP零规则的JNI恶意攻击检测方法及装置。从而在恶意攻击检测过程中基于JNI线程的准确性以及RASP中预设的规则的灵活性，有效提升恶意攻击检测效率。

本发明提出了一种基于RASP零规则的JNI恶意攻击检测方法，所述方法包括如下步骤：

实时应用程序自我保护系统RASP实时监听网页中的产生的操作事件；

解析所述操作事件，通过调用相应的JNI扫描线程进行操作事件扫描；

根据对操作事件的扫描结果调用RASP中相应的零规则漏洞检测算法对操作事件进行攻击行为检测，并将所述检测结果上传至JAVA层。

进一步，所述实时应用程序自我保护系统RASP实时监听网页中的产生的操作事件的步骤之前，还包括，在实时应用程序自我保护系统RASP中创建JAVA本地接口JNI扫描线程，其中，所述实时应用程序自我保护系统RASP中设置基于不同JNI扫描线程对应的零规则漏洞检测模型。

进一步，所述零规则漏洞检测模型包括基于SQL注入的检测算法模型、基于WebShell行为识别算法的检测模型。

进一步，所述解析所述操作事件，通过调用相应的JNI扫描线程进行操作事件扫描的步骤，还包括，调用API检测插件对语句进行token解析，去除语句中匹配出的字符特征，再次进行token解析，判断操作事件中携带的攻击类型，若为SQL注入漏洞，则调用基于SQL漏洞的JNI扫描线程进行扫描；若为WebShell行为攻击特征，则调用基于WebShell行为攻击特征的JNI扫描线程进行扫描。

进一步，所述JNI扫描线程包括基于敏感文件的扫描线程，基于数据库下载的扫描线程以及访问权限的扫描线程。

进一步，所述基于访问权限的扫描线程包括所述操作事件访问服务中的访问权限，以及，包括所述操作事件中对应的访问用户访问所述操作事件以外的访问权限。

本发明的第二方面的目的是提出了一种基于RASP零规则的JNI恶意攻击检测装置，所述装置包括：

监听模块，用于通过实时应用程序自我保护系统RASP实时监听网页中的产生的操作事件；

解析模块，用于解析所述操作事件，通过调用相应的JNI扫描线程进行操作事件扫描；