[发明专利]一种基于行为识别的扫描类攻击处置方法

摘要

本发明涉及一种基于行为识别的扫描类攻击处置方法，统计t时间内所有IP针对任一网页的异常访问频次a、错误状态码触发频次b和攻击行为频次c，若满足告警规则且存在任一IP触发拦截机制，则对此IP进行扫描IP威胁情报库匹配，无匹配项时对当前IP直接拦截时间T并将当前IP及关联信息更新至扫描IP威胁情报库，当有匹配项时，查询扫描IP威胁情报库中当前IP上一次被拦截的时间Tn，以其平方值对当前IP进行拦截，更新数据。本发明采用行为识别的算法匹配扫描行为，准确率高，参考异常访问频次a、错误状态码触发频次b和攻击行为频次c的数据，出现误报的概率低，在可控时间内完成扫描行为的识别和拦截，识别速度快。

主权项

1.一种基于行为识别的扫描类攻击处置方法，其特征在于：所述方法包括以下步骤：步骤1：统计t时间内，所有IP针对任一网页的异常访问频次a、错误状态码触发频次b和攻击行为频次c；0＜t≤2min；步骤2：若连续t时间内异常访问频次a、错误状态码触发频次b或攻击行为频次c满足告警规则，告警；步骤3：当存在任一IP触发拦截机制，进行下一步，否则，返回步骤1；步骤4：对步骤3的IP进行扫描IP威胁情报库匹配，如无匹配项，则对当前IP直接拦截时间T，将当前IP及关联信息更新至扫描IP威胁情报库，返回步骤1，如有匹配项，进行下一步；T＞0；步骤5：查询扫描IP威胁情报库中当前IP上一次被拦截的时间Tn，对当前IP拦截时间T’，T’=Tn²；步骤6：将T’更新至扫描IP威胁情报库并与当前IP对应，返回步骤1。