[发明专利]恶意行为检测优化方法、装置、入侵防御设备及存储介质

权利要求书

1.一种恶意行为检测优化方法，其特征在于，所述方法包括：

接收第一流量；

在确定所述第一流量是超文本传输协议HTTP请求流量，且在所述第一流量的访问方法为获取资源GET方法的情况下，获取所述第一流量的统一资源定位符URL；

基于所述URL是否存在于白名单中，确定是否对第二流量进行恶意行为检测，所述第二流量为所述第一流量对应的响应流量，所述白名单中的每个URL对应的响应流量为无恶意行为的流量。

2.根据权利要求1所述的方法，其特征在于，所述基于所述URL是否存在于白名单中，确定是否对所述第二流量进行恶意行为检测，包括：

在所述URL存在于所述白名单中的情况下，过滤所述第二流量；

在所述URL不存在于所述白名单中的情况下，对所述第二流量进行恶意行为检测。

3.根据权利要求2所述的方法，其特征在于，所述白名单中包括至少一个节点，每个节点包括一个URL、所述一个URL对应的目标时刻、所述一个URL对应的定时时长；所述目标时刻为最近一次检测相应URL对应的无恶意行为的响应流量对应的时刻；

所述在所述URL存在于所述白名单中的情况下，过滤所述第二流量，包括：

在所述URL存在于所述白名单中，且所述第二流量的访问时刻与所述URL对应的目标时刻之差，小于或等于所述URL的定时时长的情况下，过滤所述第二流量。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在所述URL存在于所述白名单中，且所述第二流量的访问时刻与所述目标时刻之差大于所述定时时长的情况下，对所述第二流量进行恶意行为检测。

5.根据权利要求4所述的方法，其特征在于，所述在所述URL存在于所述白名单中，且所述第二流量的访问时刻与所述目标时刻之差大于所述定时时长的情况下，对所述第二流量进行恶意行为检测之后，所述方法还包括：

在检测到所述第二流量无恶意行为的情况下，更新所述白名单中所述URL对应的节点中的所述目标时刻；

在检测到所述第二流量存在恶意行为的情况下，将所述白名单中所述URL对应的节点删除。

6.根据权利要求2至5中任一项所述的方法，其特征在于，所述在所述URL不存在于所述白名单中的情况下，对所述第二流量进行恶意行为检测之后，所述方法还包括：

在检测到所述第二流量无恶意行为的情况下，将所述URL对应的节点添加到所述白名单中。

7.根据权利要求6所述的方法，其特征在于，所述在检测到所述第二流量无恶意行为的情况下，将所述URL对应的节点添加到所述白名单中，包括：

在所述白名单中不存在空闲节点的情况下，删除所述白名单中的第一节点，将所述URL对应的节点添加到所述白名单中；

其中，所述第一节点包括的目标时刻距当前时刻的时长，大于或等于所述白名单中的其他节点包括的目标时刻距当前时刻的时长。

8.一种恶意行为检测优化装置，其特征在于，所述装置包括：接收模块和确定模块；

所述接收模块，用于接收第一流量；

所述确定模块，用于在确定所述第一流量是HTTP请求流量，且在所述第一流量的访问方法为GET方法的情况下，获取所述第一流量的URL；基于所述URL是否存在于白名单中，确定是否对第二流量进行恶意行为检测，所述第二流量为所述第一流量对应的响应流量，所述白名单中的每个URL对应的响应流量为无恶意行为的流量。

9.一种入侵防御设备，其特征在于，包括处理器，存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如权利要求1至7中任一项所述的恶意行为检测优化方法的步骤。

10.一种可读存储介质，其特征在于，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如权利要求1至7中任一项所述的恶意行为检测优化方法的步骤。