[发明专利]一种网络攻击取证的方法及装置

权利要求书

1.一种网络攻击取证的方法，其特征在于，包括：

当网站受到攻击时，获取当前攻击数据的来源IP地址；

在保存的多个网站的网站日志数据中，获取包括所述来源IP地址的每条日志数据；

对获取的所述日志数据进行分析，取得网络攻击的证据；

其中，对获取的所述日志数据进行分析，取得网络攻击的证据，包括：从获取的所述日志数据中确定一条日志数据作为当前日志数据，并获取所述当前日志数据中携带的网页参数；

将所述网页参数与本地保存的行为数据库中的特征数据进行匹配；

执行携带cookie信息的每条日志数据对应的行为，获得对应的行为数据；

根据获得的所述行为数据，进行攻击会话的还原；

所述日志数据包括：host、时间、IP地址、URL、网页参数和cookie信息。

2.如权利要求1所述的方法，其特征在于，所述获取当前攻击数据的来源IP地址之前，还包括：

通过内容分发网络(CDN)记录所述多个网站的网站日志数据。

3.如权利要求1所述的方法，其特征在于，所述对获取的所述日志数据进行分析，取得网络攻击的证据还包括：

当所述行为数据库中存在与所述网页参数匹配的第一特征数据时，获取对应的网页文件的源代码；

通过所述源代码确定网络攻击的恶意程序。

4.如权利要求3所述的方法，其特征在于，所述通过所述源代码确定网络攻击的恶意程序包括：

将所述源代码与保存的恶意代码数据库中的每段恶意源代码进行比对；

当所述恶意代码数据库中存在与所述源代码匹配的第一恶意源代码时，确认与所述源代码对应的网页文件为恶意后门程序。

5.一种网络攻击取证的装置，其特征在于，包括：

获取单元，用于当网站受到攻击时，获取当前攻击数据的来源IP地址；

查找单元，用于在保存的多个网站的网站日志数据中，获取包括所述来源IP地址的每条日志数据；

取证单元，用于对获取的所述日志数据进行分析，取得网络攻击的证据；

所述取证单元，具体用于从获取的所述日志数据中确定一条日志数据作为当前日志数据，并获取所述当前日志数据中携带的网页参数，将所述网页参数与本地保存的行为数据库中的特征数据进行匹配；执行携带cookie信息的每条日志数据对应的行为，获得对应的行为数据；根据获得的所述行为数据，进行攻击会话的还原；

所述日志数据包括：host、时间、IP地址、URL、网页参数和cookie信息。

6.如权利要求5所述的装置，其特征在于，还包括：

记录单元，用于通过内容分发网络(CDN)记录所述多个网站的网站日志数据。

7.如权利要求5所述的装置，其特征在于，

所述取证单元，还具体用于当所述行为数据库中存在与所述网页参数匹配的第一特征数据时，获取对应网页文件的源代码，通过所述源代码确定网络攻击的恶意程序。

8.如权利要求7所述的装置，其特征在于，

所述取证单元，还用于将所述源代码与保存的恶意代码数据库中的每段恶意源代码进行比对，当所述恶意代码数据库中存在与所述源代码匹配的第一恶意源代码时，确认与所述源代码对应的网页文件为恶意后门程序。