[发明专利]一种检测残余攻击的方法及装置

权利要求书

1.一种检测残余攻击的方法，其特征在于，包括：

采集数据包，所述数据包已经过防御设备的检测；

判断所述数据包是否包括疑似攻击事件；

若包括，检测所述疑似攻击事件是否存在误判行为；

若不存在，确定所述疑似攻击事件为攻击事件。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

分析所述攻击事件，确定所述攻击事件是否被响应；

根据响应结果，分析确定所述防御设备的检测缺陷。

3.根据权利要求1或2所述的方法，其特征在于，所述数据包包括：

请求数据包及响应数据包。

4.根据权利要求3所述的方法，其特征在于，所述判断所述数据包是否包括疑似攻击事件，包括：

将所述数据包与内置的攻击规则进行匹配；

若匹配，则确定所述数据包包括疑似攻击事件；

若不匹配，则确定所述数据包不包括疑似攻击事件。

5.根据权利要求4所述的方法，其特征在于，所述检测所述疑似攻击事件是否存在误判行为，包括：

通过上下文关联分析及白名单排除机制，检测所述疑似攻击事件是否存在误判行为。

6.根据权利要求2所述的方法，其特征在于，所述分析所述攻击事件，确定所述攻击事件是否被响应，包括：

采集针对所述攻击事件的响应数据包；

检测所述响应数据包中的回复状态码是否为200OK；

若是，则确定所述攻击事件已被响应；

若否，则确定所述攻击事件未被响应。

7.一种检测残余攻击的装置，其特征在于，包括：

采集单元，用于采集数据包，所述数据包已经过防御设备的检测；

判断单元，用于判断所述数据包是否包括疑似攻击事件；

检测单元，用于在所述数据包包括疑似攻击事件时，检测所述疑似攻击事件是否存在误判行为；

确定单元，用于在所述疑似攻击事件不存在误判行为时，确定所述疑似攻击事件为攻击事件。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第一分析确定单元，用于分析所述攻击事件，确定所述攻击事件是否被响应；

第二分析确定单元，用于根据响应结果，分析确定所述防御设备的检测缺陷。

9.根据权利要求7或8所述的装置，其特征在于，所述数据包包括：

请求数据包及响应数据包。

10.根据权利要求9所述的装置，其特征在于，所述判断单元包括：

匹配模块，用于将所述数据包与内置的攻击规则进行匹配；

第一确定模块，用于在所述数据包与内置的攻击规则匹配时，确定所述数据包包括疑似攻击事件；

第二确定模块，用于在所述数据包与内置的攻击规则不匹配时，确定所述数据包不包括疑似攻击事件。

11.根据权利要求10所述的装置，其特征在于，所述检测单元包括：

检测模块，用于在所述数据包包括疑似攻击事件时，通过上下文关联分析及白名单排除机制，检测所述疑似攻击事件是否存在误判行为。

12.根据权利要求8所述的装置，其特征在于，所述第一分析确定单元，包括：

采集模块，用于采集针对所述攻击事件的响应数据包；

检测模块，用于检测所述响应数据包中的回复状态码是否为200OK；

第三确定模块，用于在所述回复状态码为200OK时，确定所述攻击事件已被响应；

第四确定模块，用于在所述回复状态码不为200OK时，确定所述攻击事件未被响应。

13.一种防火墙，其特征在于，包括如权利要求7至12中任一项所述的检测残余攻击的装置。

14.一种计算机装置，其特征在于，包括处理器，所述处理器用于执行存储器中存储的计算机程序时实现如权利要求1至6中任一项所述检测残余攻击的方法中的步骤。

15.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被执行时实现如权利要求1至6中任一项所述检测残余攻击的方法中的步骤。