[发明专利]Web攻击检测方法和装置

说明书

本申请公开了一种Web攻击检测方法和装置，其中方法包括：威胁感知平台接收来自终端设备的消息，并获取前端代码采集的用户在输入所述消息内容时的行为数据；对所述行为数据进行分析以确定检测等级；采用确定出的检测等级对所述消息进行攻击载荷的检测。本申请能够优化Web攻击检测的效果。

【技术领域】

本申请涉及计算机应用技术领域，特别涉及Web攻击检测方法和装置。

【背景技术】

本部分旨在为权利要求书中陈述的本申请的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就被认为是现有技术。

Web攻击中，攻击者常常在发送的消息中携带攻击载荷以实现对服务器的攻击。传统的Web攻击检测方法通常设置好检测等级，固定采用该检测等级进行检测。这种检测方式非常死板，检测等级设置得过严容易产生误报，设置得过松容易产生漏报，因此检测效果尚待提高。

【发明内容】

有鉴于此，本申请提供了一种Web攻击检测的方法和装置，以便于优化Web攻击检测的效果。

具体技术方案如下：

第一方面，本申请提供了一种Web攻击检测方法，该方法包括：

威胁感知平台接收来自终端设备的消息，并获取前端代码采集的用户在输入所述消息内容时的行为数据；

对所述行为数据进行分析以确定检测等级；

采用确定出的检测等级对所述消息进行攻击载荷的检测。

根据本发明一实施例，对所述行为数据进行分析以确定检测等级包括：

判断所述行为数据是否包括异常输入行为，如果否，则采用第一检测等级对所述消息进行攻击载荷的检测或者不对所述消息进行攻击载荷的检测。

根据本发明一实施例，所述采用第一检测等级对所述消息进行攻击载荷的检测或者不对所述消息进行攻击载荷的检测包括：

判断所述行为数据是否满足进行攻击载荷检测的预设要求，如果是，则采用第一检测等级对所述消息进行攻击载荷的检测；否则，不对所述消息进行攻击载荷的检测。

根据本发明一实施例，对所述行为数据进行分析以确定检测等级还包括：

如果判断出所述行为数据包括异常输入行为，则依据异常输入行为的类型确定对应的检测等级。

根据本发明一实施例，所述依据异常输入行为的类型确定对应的检测等级包括：

若所述异常输入行为包括复制黏贴并修改，则采用第二检测等级；

若所述异常输入行为仅包括复制黏贴，则采用第三检测等级；

若所述异常输入行为包括输入字符长度与输入行为事件数不匹配，则采用第四检测等级；

若所述异常输入行为包括同一用户对不同字符的输入间隔呈规律分布或者同一用户输入相同字符串的时间间隔呈随机分布，则采用第五检测等级；

其中所述第二检测等级高于所述第三检测等级，所述第三检测等级高于所述第一检测等级；所述第四检测等级高于所述第五检测等级，所述第五检测等级高于所述第一检测等级。

根据本发明一实施例，该方法还包括：

若对所述消息进行攻击载荷的检测结果为检测通过，则将所述消息转发给对应的服务器端。

第二方面，本申请提供了一种Web攻击检测装置，设置于威胁感知平台，该装置包括：

接收单元，用于接收来自终端设备的消息，并获取前端代码采集的用户在输入所述消息内容时的行为数据；