[发明专利]一种检测残余攻击的方法及装置

说明书

技术领域

本发明涉及计算机技术软件检测技术领域，尤其涉及一种检测残余攻击的方法及装置。

背景技术

随着计算机技术的发展，数据处理量越来越大，且处理速度越来越快，随之而来的数据安全成为一个不可忽视的重大问题。

目前，计算机主要通过两种方式来实现数据的检测，一是在服务器上安装安全检测软件(如看门狗、360杀毒软件等)，二是在保护的区域前部署防御设备(如WAF、IPS或NGAF等)。

基于目前的检测机制，第一种检测方式中的防御软件因不包括强大的攻击规则库，只能检测少量的攻击，且检测攻击的类型不全，会导致攻击行为漏检；第二中检测方式中的防御设备往往是串联部署在需要保护的区域前，而这种串联方式因为数据路径的增长，会导致数据的延时；其次，防御设备一般无法实现回包检测，继而无法准确判断当前的请求为正常数据请求还是攻击行为；再次，如果防御设备与网关设备为同一厂商的设备，则会因为其采取同样的防御策略，而导致攻击行为被漏查。

发明内容

本发明实施例提供了一种检测残余攻击的方法及装置，用于对经过防御设备或防御软件后的数据包，先做疑似攻击事件的判定，继而分析该疑似攻击事件是否存在误判，并在不存在误判的情形下，进一步确定该疑似攻击事件为攻击事件，从而提高了残余攻击检测能力，减小了残余攻击的漏检机率。

本发明提供了一种检测残余攻击的方法，包括：

采集数据包，数据包已经过防御设备的检测；

判断数据包是否包括疑似攻击事件；

若包括，检测疑似攻击事件是否存在误判行为；

若不存在，确定疑似攻击事件为攻击事件。

可选的，方法还包括：

分析攻击事件，确定攻击事件是否被响应；

根据响应结果，分析确定防御设备的检测缺陷。

可选的，数据包包括：

请求数据包及响应数据包。

可选的，判断数据包是否包括疑似攻击事件，包括：

将数据包与内置的攻击规则进行匹配；

若匹配，则确定数据包包括疑似攻击事件；

若不匹配，则确定数据包不包括疑似攻击事件。

可选的，检测疑似攻击事件是否存在误判行为，包括：

通过上下文关联分析及白名单排除机制，检测疑似攻击事件是否存在误判行为。

可选的，分析攻击事件，确定攻击事件是否被响应，包括：

采集针对攻击事件的响应数据包；

检测响应数据包中的回复状态码是否为200OK；

若是，则确定攻击事件已被响应；

若否，则确定攻击事件未被响应。

本发明第二方面提供了一种检测残余攻击的装置，包括：

采集单元，用于采集数据包，数据包已经过防御设备的检测；

判断单元，用于判断数据包是否包括疑似攻击事件；

检测单元，用于在数据包包括疑似攻击事件时，检测疑似攻击事件是否存在误判行为；

确定单元，用于在疑似攻击事件不存在误判行为时，确定疑似攻击事件为攻击事件。

可选的，该装置还包括：

第一分析确定单元，用于分析攻击事件，确定攻击事件是否被响应；

第二分析确定单元，用于根据响应结果，分析确定防御设备的检测缺陷。

可选的，数据包包括：

请求数据包及响应数据包。

可选的，判断单元包括：

匹配模块，用于将数据包与内置的攻击规则进行匹配；

第一确定模块，用于在数据包与内置的攻击规则匹配时，确定数据包包括疑似攻击事件；

第二确定模块，用于在数据包与内置的攻击规则不匹配时，确定数据包不包括疑似攻击事件。

可选的，检测单元包括：

检测模块，用于在数据包包括疑似攻击事件时，通过上下文关联分析及白名单排除机制，检测疑似攻击事件是否存在误判行为。

可选的，第一分析确定单元，包括：

采集模块，用于采集针对攻击事件的响应数据包；

检测模块，用于检测响应数据包中的回复状态码是否为200OK；

第三确定模块，用于在回复状态码为200OK时，确定攻击事件已被响应；

第四确定模块，用于在回复状态码不为200OK时，确定攻击事件未被响应。

本发明第三方面提供了一种计算机装置，包括：处理器，处理器用于执行存储器中存储的计算机程序时实现如下步骤：

采集数据包，数据包已经过防御设备的检测；