[发明专利]Web攻击检测方法和装置

权利要求书

1.一种Web攻击检测方法，其特征在于，该方法包括：

威胁感知平台接收来自终端设备的消息，并获取前端代码采集的用户在输入所述消息内容时的行为数据；其中，所述消息包括作为消息载荷的所述消息内容；

对所述行为数据进行分析以确定检测等级；其中，对所述行为数据进行分析以确定检测等级包括：判断所述行为数据是否包括异常输入行为，如果判断出所述行为数据包括异常输入行为，则依据异常输入行为的类型确定对应的检测等级；所述异常输入行为的类型包括：所述异常输入行为包括复制黏贴并修改，所述异常输入行为仅包括复制黏贴，所述异常输入行为包括输入字符长度与输入行为事件数不匹配，所述异常输入行为包括同一用户对不同字符的输入间隔呈规律分布或者同一用户输入相同字符串的时间间隔呈随机分布；

采用确定出的检测等级对所述消息进行攻击载荷的检测。

2.根据权利要求1所述的方法，其特征在于，对所述行为数据进行分析以确定检测等级还包括：

如果判断所述行为数据不包括异常输入行为，则采用第一检测等级对所述消息进行攻击载荷的检测或者不对所述消息进行攻击载荷的检测。

3.根据权利要求2所述的方法，其特征在于，所述采用第一检测等级对所述消息进行攻击载荷的检测或者不对所述消息进行攻击载荷的检测包括：

判断所述行为数据是否满足进行攻击载荷检测的预设要求，如果是，则采用第一检测等级对所述消息进行攻击载荷的检测；否则，不对所述消息进行攻击载荷的检测。

4.根据权利要求1所述的方法，其特征在于，所述依据异常输入行为的类型确定对应的检测等级包括：

若所述异常输入行为包括复制黏贴并修改，则采用第二检测等级；

若所述异常输入行为仅包括复制黏贴，则采用第三检测等级；

若所述异常输入行为包括输入字符长度与输入行为事件数不匹配，则采用第四检测等级；

若所述异常输入行为包括同一用户对不同字符的输入间隔呈规律分布或者同一用户输入相同字符串的时间间隔呈随机分布，则采用第五检测等级；

其中所述第二检测等级高于所述第三检测等级，所述第三检测等级高于第一检测等级；所述第四检测等级高于所述第五检测等级，所述第五检测等级高于第一检测等级。

5.根据权利要求1至4中任一项所述的方法，其特征在于，该方法还包括：

若对所述消息进行攻击载荷的检测结果为检测通过，则将所述消息转发给对应的服务器端。

6.一种Web攻击检测装置，设置于威胁感知平台，其特征在于，该装置包括：

接收单元，用于接收来自终端设备的消息，并获取前端代码采集的用户在输入所述消息内容时的行为数据；其中，所述消息包括作为消息载荷的所述消息内容；

分析单元，用于对所述行为数据进行分析以确定检测等级；其中，所述分析单元包括：判断子单元，用于判断所述行为数据是否包括异常输入行为；确定子单元，用于若所述判断子单元判断出所述行为数据包括异常输入行为，则依据异常输入行为的类型确定对应的检测等级；所述异常输入行为的类型包括：所述异常输入行为包括复制黏贴并修改，所述异常输入行为仅包括复制黏贴，所述异常输入行为包括输入字符长度与输入行为事件数不匹配，所述异常输入行为包括同一用户对不同字符的输入间隔呈规律分布或者同一用户输入相同字符串的时间间隔呈随机分布；

检测单元，用于采用所述分析单元确定出的检测等级对所述消息进行攻击载荷的检测。

7.根据权利要求6所述的装置，其特征在于，所述确定子单元，还用于若所述判断子单元判断出所述行为数据不包括异常输入行为，则确定采用第一检测等级或者确定不对所述消息进行攻击载荷的检测。

8.根据权利要求7所述的装置，其特征在于，所述确定子单元，具体用于若所述判断子单元判断出所述行为数据不包括异常输入行为，则判断所述行为数据是否满足进行攻击载荷检测的预设要求，如果是，则确定采用第一检测等级；否则，确定不对所述消息进行攻击载荷的检测。