[发明专利]一种WEB后门攻击事件的确认方法

摘要

本发明涉及网络安全防护技术，旨在提供一种WEB后门攻击事件的确认方法。本发明通过对防火墙、IDS、IPS及相关的WEB服务器日志进行解析，提取WEB后门攻击类型的日志记录，根据各告警日志中记载的攻击时间、攻击者IP、攻击者端口号、被攻击IP、被攻击域名、攻击请求头和攻击响应头，进一步判断WEB后门的攻击是否成功；将确认结果返回到相应的网络防护设备中，并将确认后的WEB后门攻击事件标记为成功的攻击事件展示给用户。本发明能够对WEB后门攻击事件提供更加科学的确认手段，提高网络安全防护设备对WEB后门攻击的识别率和准确率，降低了确认攻击成功的告警误报率。

主权项

1.一种WEB后门攻击事件的确认方法，其特征在于，包括以下步骤：(1)从网络安全防护设备获取告警日志，判断是否为WEB后门攻击事件告警，不是则丢弃；(2)从WEB后门攻击的告警日志中，逐条取出各告警日志中记载的攻击时间、攻击者IP、攻击者端口号、被攻击IP、被攻击域名、攻击请求头和攻击响应头；(3)根据攻击响应头提取攻击的目标域名或IP，对比预配置的服务器资产库获得被攻击目标的服务支持语言类型；(4)根据攻击请求头提取攻击者试图请求的URI，判断攻击者在攻击活动中使用的编程语言类型，如果攻击者所使用的后门语言与被攻击目标的服务端的编程语言不一致，则丢弃该条告警日志；(5)根据攻击响应头提取服务器返回的状态码，判断响应状态是否为200，不是则丢弃；(6)构造随机不存在文件名，就这个随机文件向被攻击的服务器发送请求，获取响应码；判断该响应码是否为200，是则丢弃；(7)从攻击告警的请求中获取请求参数或POST参数，解析请求，判断是否尝试在执行WEB语言命令，不是则丢弃；(8)确认WEB后门攻击事件成功，提取攻击事件的维度数据并写入mysql数据库，标记为成功的攻击事件返回给相应的网络安全防护设备。