[发明专利]自动检测web威胁识别防御系统的运行状态的方法及装置

权利要求书

1.一种自动检测web威胁识别防御系统的运行状态的方法，其特征在于，包括：

在线模拟用户攻击和/或正常访问web服务器所产生的原始web攻击和/或正常访问日志数据；

获取所述web威胁识别防御系统对所述原始web攻击和/或正常访问日志数据进行数据统计、数据分析、威胁识别的处理结果；

基于所述处理结果确定所述web威胁识别防御系统是否处于正常运行状态；

所述基于所述处理结果确定所述web威胁识别防御系统是否处于正常运行状态的步骤包括：

基于所述处理结果确定所述web威胁识别防御系统是否检测到了web攻击；和/或

在未检测到web攻击时，确定未检测到web攻击的原因；和/或

在误检测到web攻击时，确定误检测到web攻击的原因；

所述在未检测到web攻击时，确定未检测到web攻击的原因包括：

针对web攻击访问日志数据制定策略，当指定日志数据的URL请求特征值没有被正确计算时，对URL请求特征值没有被正确计算这一事件进行标记，将带有标记的上述事件存储在elasticsearch的事件索引中；

查询elasticsearch事件索引中的URL请求特征值没有被正确计算这一事件，当查询到URL请求特征值没有被正确计算这一事件时，则确定该web威胁识别防御系统未检测到所述指定web攻击的原因为指定日志数据的URL请求特征值没有被正确计算；

所述在误检测到web攻击时，确定误检测到web攻击的原因包括：

针对正常访问日志数据制定策略，当指定日志数据的URL请求特征值没有被正确计算时，对URL请求特征值没有被正确计算这一事件进行标记，将带有标记的上述事件存储在elasticsearch的事件索引中；

查询elasticsearch事件索引中的URL请求特征值没有被正确计算这一事件，当查询到URL请求特征值没有被正确计算这一事件时，则确定该web威胁识别防御系统误检测到所述指定web攻击的原因为指定日志数据的URL请求特征值没有被正确计算。

2.如权利要求1所述的自动检测web威胁识别防御系统的运行状态的方法，其特征在于，所述web威胁识别防御系统对所述原始web攻击和/或正常访问日志数据进行数据统计、数据分析、威胁识别的步骤包括：

所述web威胁识别防御系统使用kafka组件来获取所述原始web攻击和/或正常访问日志数据；和/或

所述web威胁识别防御系统使用storm组件来对所述原始web攻击和/或正常访问日志数据进行数据统计、数据分析、威胁识别；和/或

基于原始web攻击日志数据，判定是否存在某种web攻击的威胁。

3.如权利要求2所述的自动检测web威胁识别防御系统的运行状态的方法，其特征在于，还包括：

使用ElasticSearch组件来收集、存储所述原始web攻击和/或正常访问日志数据和/或所述处理结果，

其中，ElasticSearch组件通过建立专用处理结果索引的方式，存储和／或查询所述处理结果，所述专用处理结果索引包括下列中的至少一种：包含针对所述原始web攻击和/或正常访问日志数据的解析结果的原始web攻击日志解析索引、包含针对web威胁事件的解析结果的web威胁事件索引、包含针对域名的解析结果的域名索引、包含针对拦截流量的分析结果的拦截流量索引、包含关于所要监控的威胁事件的相关数据的测试索引。

4.如权利要求3所述的自动检测web威胁识别防御系统的运行状态的方法，其特征在于，还包括：

基于所述处理结果，确定各个组件的运行状态。