[发明专利]一种网络攻击的检测方法、装置、设备及存储介质

权利要求书

1.一种网络攻击的检测方法，其特征在于，包括：

获取目标主机的第一网络报文；

提取所述第一网络报文的报文载荷；

检测所述第一网络报文的报文载荷中是否存在敏感信息；

在检测到所述第一网络报文的报文载荷中存在敏感信息后，获取所述第一网络报文之前的所述目标主机的至少一个第二网络报文；

提取所述第二网络报文的报文载荷；

检测所述第二网络报文的报文载荷中是否存在攻击命令；

在检测到所述第二网络报文的报文载荷中存在攻击命令后，发送用于指示攻击成功的告警提示信息。

2.根据权利要求1所述的方法，其特征在于，所述第二网络报文的目的地址与所述第一网络报文的源地址相同。

3.根据权利要求2所述的方法，其特征在于，所述获取所述第一网络报文之前的所述目标主机的至少一个第二网络报文，包括：

获取所述第一网络报文之前的预定时间段内的所述目标主机的第二网络报文。

4.根据权利要求2所述的方法，其特征在于，所述获取所述第一网络报文之前的至少一个第二网络报文，包括：

获取所述第一网络报文之前的预定数量的所述目标主机的第二网络报文。

5.根据权利要求2所述的方法，其特征在于，所述获取所述第一网络报文之前的所述目标主机的至少一个第二网络报文，包括：

调用检测脚本对所述第一网络报文之前的所述目标主机的至少一个第二网络报文的目的地址与所述第一网络报文的源地址进行匹配；

获取匹配成功的第二网络报文。

6.根据权利要求1～5任一项所述的方法，其特征在于，所述在检测到所述第一网络报文的报文载荷中存在敏感信息后，所述方法还包括：

发送用于指示存在危险执行动作的告警提示信息。

7.根据权利要求1～5任一项所述的方法，其特征在于，所述在检测到所述第一网络报文的报文载荷中存在敏感信息后，获取所述第一网络报文之前的所述目标主机的至少一个第二网络报文，进一步包括：

在检测到所述第一网络报文的报文载荷中存在敏感信息后，获取所述第一网络报文对应的响应报文；

在确定所述响应报文为确认响应后，获取所述第一网络报文之前的所述目标主机的至少一个第二网络报文。

8.根据权利要求1～5任一项所述的方法，其特征在于，所述检测所述第一网络报文的报文载荷中是否存在敏感信息，包括：

调用预先建立的敏感信息检测模型检测所述第一网络请求的报文载荷中是否存在敏感信息，所述敏感信息检测模型是由已知的外泄敏感信息样本训练得到的。

9.根据权利要求1～5任一项所述的方法，其特征在于，所述检测所述第二网络报文的报文载荷中是否存在攻击命令，包括：

调用预先建立的攻击命令检测模型检测所述第二网络报文的报文载荷中是否存在攻击命令。

10.一种网络攻击的检测装置，其特征在于，包括：

第一网络报文获取模块，用于获取目标主机的第一网络报文；

第一报文载荷提取模块，用于提取所述第一网络报文的报文载荷；

敏感信息检测模块，用于检测所述第一网络报文的报文载荷中是否存在敏感信息；

第二网络报文获取模块，用于在检测到所述第一网络报文的报文载荷中存在敏感信息后，获取所述第一网络报文之前的所述目标主机的至少一个第二网络报文；

第二报文载荷提取模块，用于提取所述第二网络报文的报文载荷；

攻击命令检测模块，用于检测所述第二网络报文的报文载荷中是否存在攻击命令；

攻击成功告警模块，用于在检测到所述第二网络报文的报文载荷中存在攻击命令后，发送用于指示攻击成功的告警提示信息。

11.根据权利要求10所述的装置，其特征在于，所述第二网络报文的目的地址与所述第一网络报文的源地址相同。