[发明专利]拟态WAF中执行体的裁决方法

权利要求书

1.一种拟态WAF中执行体的裁决方法，其特征在于，该方法包括以下步骤：

(1)流量同步模块对k个执行体发送的流量进行同步，具体为：

(1.1)拟态WAF中当前有n个上线执行体E＝{e_i|i＝1，2，...，n}，这n个执行体在操作系统、WAF平台、规则库等方面进行了异构化处理；

(1.2)设拟态WAF中的入口节点R接收到的访问流量为F，在F请求头上添加标记值tag，将流量复制分发到k个异构体；

(1.3)在n个异构WAF执行体中，只有k个异构执行体处理了流量，k个异构执行体将处理结果放到请求头，然后将流量发送至拟态WAF裁决模块，裁决模块利用流量的标志值tag对k个WAF执行体流量进行同步；

(1.4)设每个WAF异构体被选中的次数为A_i(1≤i≤n)，A_i的初始值为0，当接收到流量时，更新k个异构体对应的A_i值，执行A_i+1操作；

(2)多模裁决模块对k个处理结果进行裁决判断；

(3)从流量的请求头中获取WAF异构体的处理结果，当某个WAF异构体的处理结果与裁决结果不一致时，这时认为异构体发生了异常，设每个WAF异构体异常的次数为B_i(1≤i≤n)，B_i的初始值为0，根据裁决结果与每个WAF异构体结果比较，存在差异的异构体对应的B_i+1；

(4)设每个异构体的异常率为D_i(1≤i≤n)，其计算公式为D_i＝B_i/A_i，当拟态裁决结果产生后，更新每个异构体的异常率，当某个异构体异常率高于某个阈值时，对该异构体进行下线自清洗操作；

(5)当拟态裁决的结果为通过时，将流量转发到后端服务器；若结果为不通过则转发到沙箱或蜜罐进行处理；

(6)将裁决数据通过日志记录模块写入到日志中，其中裁决数据包括异构体编号、异构体处理结果、裁决结果和请求体部分重要数据等。

2.如权利要求1所述拟态WAF中执行体的裁决方法，其特征在于，所述步骤(2)中，裁决采用择多原则来实现。

3.如权利要求1所述拟态WAF中执行体的裁决方法，其特征在于，所述步骤(1.3)中，流量同步采用循环等待的方法。