[发明专利]对APP和网关通信进行批量攻击的检测识别方法及装置

摘要

本发明提出了一种对APP和网关通信进行批量攻击的检测识别方法及装置，方法包括：对客户端APP和网关通信的每种请求约定编号及相对顺序号；将每次请求行为记录到请求行为数据库中；建立异常请求行为规则集；对请求行为超过设定次数的单个会话进行行为分析，并检测是否符合异常请求行为规则集中的一条或多条，如是，执行下一步骤；否则，认为单个会话正常；判断是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑；否则，将单个会话提交到人工进行判断；认为不存在嫌疑时，对异常请求行为规则集进行丰富和校正。实施本发明的对APP和网关通信进行批量攻击的检测识别方法及装置，具有以下有益效果：能从根本上解决批量攻击的检测问题。

主权项

1.一种对APP和网关通信进行批量攻击的检测识别方法，其特征在于，包括如下步骤：A)对客户端APP和网关进行通信的每种请求约定其编号以及相对顺序号；B)当任意一个所述客户端APP连上所述网关时，所述网关将其每次的请求行为记录到请求行为数据库中；所述请求行为包括会话ID、请求的种类编号、请求的IP和请求的发起时间信息；C)所述网关建立异常请求行为规则集，并将其保存到行为异常数据库中；D)所述网关自动对请求行为超过设定次数的单个会话进行行为分析，并自动检测所述单个会话是否符合所述异常请求行为规则集中的一条或多条行为异常规则的会话ID，如是，执行步骤E)；否则，认为所述单个会话正常；E)判断所述单个会话是否达到自动拦截确认的阈值，如是，确认存在批量攻击嫌疑，执行步骤G)；否则，将所述单个会话提交到人工进行二次判断，执行步骤F)；F)所述人工对所述单个会话进行行为判断界定，判断是否存在嫌疑，如是，确认存在批量攻击嫌疑，执行步骤G)；否则，对所述异常请求行为规则集进行丰富和校正，并返回步骤D)；G)所述网关将检测识别结果发送到所述客户端APP；所述异常请求行为规则集包括会话超过设定时间仍在线的场景、发出请求的频率超出了正常人的反应速度的场景、发出请求的时间跨越了凌晨的场景和多个会话源自同一IP的场景。