[发明专利]一种基于行为识别的扫描类攻击处置方法

权利要求书

1.一种基于行为识别的扫描类攻击处置方法，其特征在于：所述方法包括以下步骤：

步骤1：统计t时间内，所有IP针对任一网页的异常访问频次a、错误状态码触发频次b和攻击行为频次c；0＜t≤2min；

步骤2：若连续t时间内异常访问频次a、错误状态码触发频次b或攻击行为频次c满足告警规则，告警；在t时间内，任一IP对样式图片类资源访问次数为0，则异常访问频次a满足告警规则；

步骤3：当存在任一IP触发拦截机制，进行下一步，否则，返回步骤1；拦截机制为异常访问频次a和错误状态码触发频次b同时满足告警规则，或攻击行为频次c满足告警规则；

步骤4：对步骤3的IP进行扫描IP威胁情报库匹配，如无匹配项，则对当前IP直接拦截时间T，将当前IP及关联信息更新至扫描IP威胁情报库，返回步骤1，如有匹配项，进行下一步；T＞0；

步骤5：查询扫描IP威胁情报库中当前IP上一次被拦截的时间T_n，对当前IP拦截时间T’，T’=T_n^²；

步骤6：将T’更新至扫描IP威胁情报库并与当前IP对应，返回步骤1。

2.根据权利要求1所述的一种基于行为识别的扫描类攻击处置方法，其特征在于：所述步骤2中，在t时间内，任一IP触发的首位为4的状态码的个数占所有IP访问所述网页返回的状态码的个数的百分比超过m，则错误状态码触发频次b满足告警规则；0＜m≤100%。

3.根据权利要求2所述的一种基于行为识别的扫描类攻击处置方法，其特征在于：所述m为40%。

4.根据权利要求1所述的一种基于行为识别的扫描类攻击处置方法，其特征在于：所述步骤2中，在t时间内，任一IP对所述网页发起攻击且攻击行为的次数占所述IP访问所述网页的次数的百分比超过n，则攻击行为频次c满足告警规则；0＜n≤100%。

5.根据权利要求4所述的一种基于行为识别的扫描类攻击处置方法，其特征在于：所述n为40%。

6.根据权利要求1所述的一种基于行为识别的扫描类攻击处置方法，其特征在于：所述t为1min。

7.根据权利要求1所述的一种基于行为识别的扫描类攻击处置方法，其特征在于：所述步骤4中，时间T为600s。

8.根据权利要求1所述的一种基于行为识别的扫描类攻击处置方法，其特征在于：所述扫描IP威胁情报库包括扫描时间、IP、IP所属区域、扫描域名和IP最近一次拦截时间。