[发明专利]一种网络攻击检测的方法和装置

权利要求书

1.一种网络攻击检测的方法，其特征在于，所述方法包括：

在终端和服务器连接建立后，获取所述终端向所述服务器发送的报文，作为待检测报文；

基于所述待检测报文的载荷中各数据的出现情况，确定所述待检测报文的信息特征值；

基于所述待检测报文的信息特征值和存储的参考信息特征值，确定所述待检测报文是否为攻击报文。

2.根据权利要求1所述的方法，其特征在于，所述获取终端向服务器发送的报文，作为待检测报文，包括：

每当达到检测周期，获取当前检测周期内所述终端向所述服务器发送的报文，作为待检测报文。

3.根据权利要求1或2所述的方法，其特征在于，所述基于确定出的信息特征值和存储的参考信息特征值，确定所述待检测报文是否为攻击报文，包括：

确定所述待检测报文对应的目标业务标识信息；

在存储的业务标识信息和正常报文参考信息特征值范围的对应关系中，确定所述目标业务标识信息对应的正常报文参考信息特征值范围；

如果所述待检测报文的载荷的信息特征值在所述目标业务标识信息对应的正常报文信息特征值范围内，则将所述待检测报文确定为正常报文；

如果所述待检测报文的载荷的信息特征值不在所述目标业务标识信息对应的正常报文参考信息特征值范围内，则将所述待检测报文确定为攻击报文。

4.根据权利要求1或2所述的方法，其特征在于，所述基于确定出的信息特征值和存储的参考信息特征值，确定所述待检测报文是否为攻击报文，包括：

如果所述待检测报文的载荷的信息特征值在存储的攻击报文参考信息特征值范围内，则将所述待检测报文确定为攻击报文；

如果所述待检测报文的载荷的信息特征值不在存储的攻击报文参考信息特征值范围内，则将所述待检测报文确定为正常报文。

5.根据权利要求3或4所述的方法，其特征在于，所述将所述待检测报文确定为正常报文，之后，所述方法还包括：

如果预设数目个检测周期获取的待检测报文均被确定为正常报文，则将所述待检测报文中携带的源地址加入白名单；

所述确定所述待检测报文的载荷的信息特征值，包括：

如果所述待检测报文中携带的源地址不在所述白名单中，则确定所述待检测报文的载荷的信息特征值。

6.根据权利要求3-5中任一项所述的方法，其特征在于，所述将所述待检测报文确定为攻击报文之后，所述方法还包括：

停止获取待检测报文，确定所述终端与所述服务器之间的连接为异常连接，分别向所述终端与所述服务器发送复位RST报文；

如果所述待检测报文中携带的源地址对应的异常连接次数达到预设次数，则将所述待检测报文中携带的源地址加入黑名单。

7.根据权利要求1-6中任一项所述的方法，其特征在于，所述出现情况为出现概率，所述信息特征值为信息熵。

8.一种网络攻击检测的装置，其特征在于，所述装置包括：

获取模块，用于在终端和服务器连接建立后，获取所述终端向所述服务器发送的报文，作为待检测报文；

确定模块，用于基于所述待检测报文的载荷中各数据的出现情况，确定所述待检测报文的信息特征值；

检测模块，用于基于所述待检测报文的信息特征值和存储的参考信息特征值，确定所述待检测报文是否为攻击报文。

9.根据权利要求8所述的装置，其特征在于，所述获取模块，用于：

每当达到检测周期，获取当前检测周期内所述终端向所述服务器发送的报文，作为待检测报文。