[发明专利]一种基于目标站点自学习建模的WAF防御方法

摘要

本发明公开了一种基于目标站点自学习建模的WAF防御方法，基于Nginx ModSecurity模块搭建WAF，并自主学习目标站点进行自学习建模，在切换防御模式后通过学习到的模型生成ModSecurity规则来实现对目标站点的异常访问，包含URI、COOKIE、HEAD、参数名、参数值的拦截，实现全方位保护目标站点安全的功效。这些规则基于发起http或者https的访问，对访问的报文进行深度解析，监测与该服务相关的所有通信，并利用学习到的所有信息来针对目标站点进行特征防御。

主权项

1.一种基于目标站点自学习建模的WAF防御方法，其特征在于，包括以下步骤：(1)Linux服务器上用Apache开源模块ModSecurity和Nginx搭建WAF；(2)开启学习模式：目标站点发起网络访问后，WAF通过Nginx调用ModSecurity的Lua脚本采集目标站点信息，包括URI、HEAD、COOKIE、参数名、参数值；(3)对步骤(2)采集到的目标站点信息进行处理，包括以下步骤：3.1将采集到的URI存入数据库URI表，将参数名、HEAD、COOKIE存入参数名表，将参数值存入参数值表，将参数名表和URI表ID相关联，将参数值表和URI表ID相关联，将参数值表和参数名表参数名关联；参数名表记录参数名次数和参数名正则；参数值表记录参数值正则；3.2相同的URI在URI表中只记录一次，URI表设置学习次数来标记相同URI采集次数；3.3步骤3.2中学习次数达到设定次数后，根据URI表ID找到参数名表对应的所有参数名，若每个参数名对应的参数名次数均等于学习次数，则参数名正则设置为和参数名一致，若有参数名对应的参数名次数不等于学习次数，则自定义正则匹配参数名填入参数名正则；3.4参数值表中将相同参数名的所有参数值与正则库进行正则比对，得到匹配该参数名所有参数值的正则，设置为参数值正则；(4)关闭学习模式，切换防御模式，根据数据库中URI表、参数值表和参数名表生成ModSecurity规则，添加规则到nginx配置文件中，开启ModSecurity模块，对目标站点进行针对性防御。