[发明专利]一种攻击检测方法及装置

说明书

本发明提供一种攻击检测方法及装置，该方法包括：对于WAF过滤后的HTTP请求数据，依据预先构建的词汇表，对所述HTTP请求数据进行序列化，以得到对应的目标标记序列；将所述目标标记序列输入预先训练的编解码网络模型，以得到所述HTTP请求数据的损失值；比较所述HTTP请求数据的损失值与阈值；其中，所述阈值依据验证数据集，利用所述预先训练的编解码网络模型得到，所述验证数据集依据经过WAF过滤的历史HTTP请求数据得到；当所述HTTP请求数据的损失值大于所述阈值时，确定所述HTTP请求数据为攻击数据。应用本发明实施例可以提高攻击检出率。

技术领域

本发明涉及网络安全领域，尤其涉及一种攻击检测方法及装置。

背景技术

基于超文本传输协议(HyperText Transfer Protocol，简称HTTP)请求的万维网(World wide Web，简称Web)攻击是Web安全面临的最严重威胁之一。常见的基于HTTP请求/响应的Web攻击有结构化查询语言(Structured Query Language，简称SQL)注入、垃圾邮件、零日攻击等，尤其是零日攻击，检测起来非常具有挑战性。

目前广泛部署的基于签名的Web应用程序防火墙(Web Application Firewall，简称WAFs)无法实时更新规则动态检测到攻击，尤其是针对零日攻击，检出率比较低。

发明内容

本发明提供一种攻击检测方法及装置，以解决现有WAF攻击检出率较低的问题。

根据本发明实施例的第一方面，提供一种攻击检测方法，包括：

对于万维网应用防火墙WAF过滤后的超文本传输协议HTTP请求数据，依据预先构建的词汇表，对所述HTTP请求数据进行序列化，以得到对应的目标标记序列；

将所述目标标记序列输入预先训练的编解码网络模型，以得到所述HTTP请求数据的损失值；

比较所述HTTP请求数据的损失值与阈值；其中，所述阈值依据验证数据集，利用所述预先训练的编解码网络模型得到，所述验证数据集依据经过WAF过滤的历史HTTP请求数据得到；

当所述HTTP请求数据的损失值大于所述阈值时，确定所述HTTP请求数据为攻击数据。

根据本发明实施例的第二方面，提供一种攻击检测装置，包括：

预处理单元，用于对于万维网应用防火墙WAF过滤后的超文本传输协议HTTP请求数据，依据预先构建的词汇表，对所述HTTP请求数据进行序列化，以得到对应的目标标记序列；

第一确定单元，用于将所述目标标记序列输入预先训练的编解码网络模型，以得到所述HTTP请求数据的损失值；

比较单元，用于比较所述HTTP请求数据的损失值与阈值；其中，所述阈值依据验证数据集，利用所述预先训练的编解码网络模型得到，所述验证数据集依据经过WAF过滤的历史HTTP请求数据得到；

第二确定单元，用于当所述HTTP请求数据的损失值大于所述阈值时，确定所述HTTP请求数据为攻击数据。

应用本发明公开的技术方案，对于WAF过滤后的HTTP请求数据，依据预先构建的词汇表，对该HTTP请求数据进行序列化，以得到对应的目标标记序列，并将目标标记序列输入预先训练的编解码网络模型，以得到HTTP请求数据的损失值，进而，比较该HTTP请求数据的损失值与阈值，当该HTTP请求数据的损失值大于阈值时，确定该HTTP请求数据为攻击数据，提高了攻击检出率，进而，提高系统了安全性。

附图说明

图1是本发明实施例提供的一种攻击检测方法的流程示意；

图2是本发明实施例提供的一种编解码网络模型训练的流程示意图；