WO2017084529A1 - 识别网络攻击的方法和装置 - Google Patents

识别网络攻击的方法和装置 Download PDF

Info

Publication number
WO2017084529A1
WO2017084529A1 PCT/CN2016/105286 CN2016105286W WO2017084529A1 WO 2017084529 A1 WO2017084529 A1 WO 2017084529A1 CN 2016105286 W CN2016105286 W CN 2016105286W WO 2017084529 A1 WO2017084529 A1 WO 2017084529A1
Authority
WO
WIPO (PCT)
Prior art keywords
access data
time periods
access
preset field
preset
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2016/105286
Other languages
English (en)
French (fr)
Inventor
郑学剑
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alibaba Group Holding Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Priority to JP2018523793A priority Critical patent/JP6921069B2/ja
Priority to EP16865706.2A priority patent/EP3379788B1/en
Publication of WO2017084529A1 publication Critical patent/WO2017084529A1/zh
Priority to US15/984,287 priority patent/US11240258B2/en
Anticipated expiration legal-status Critical
Priority to US17/645,382 priority patent/US20220116412A1/en
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/308—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information retaining data, e.g. retaining successful, unsuccessful communication attempts, internet access, or e-mail, internet telephony, intercept related information or call content
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H04L43/062—Generation of reports related to network traffic

Definitions

  • the present application relates to the field of network security technologies, and in particular, to a method and apparatus for identifying a network attack.
  • the attack mode has the characteristics of short attack time but large traffic (for example, 10,000 attacks per second).
  • DOS Delivery Of Service
  • DDOS Distributed Denial of Service
  • a large-volume network attack sends a large number of access requests to the target website server in a short time, so as to consume the target website server.
  • the resources cause the target server to be overloaded and the network is not smooth, thereby affecting the normal access of the website.
  • the second type is a small-flow network attack, which has the characteristics of long attack duration but small traffic (for example, continuous attack for 1 day, but 10 attacks for 1 second).
  • a small-flow cyber attack scans the resources of the target website server by sending a small number of access requests to the target website server for a long time. Although only a small part of the resources are scanned in a short time, it is likely to be scanned after a long period of time. All the resources in the target website server will undoubtedly pose a security problem to the target website server, for example, the attacker finds a server vulnerability from the resource.
  • S100 Obtain a network access data packet of the target website server, and parse the IP from the network access data packet, where the IP is a source IP address of the network access data packet;
  • IP by parsing a network access packet in the above method, and collecting a first number of the same IP access target website server in a predetermined time period, and if the first quantity reaches a predetermined threshold, determining that the IP is included Network access is a cyber attack.
  • the first number of the small-flow network attacks obtained by the above method is Both are smaller than the predetermined threshold, so the above method cannot determine that it is a network attack; and if the predetermined threshold is set too small in the above method, it is easy to determine the normal access request as a network attack.
  • the purpose of the embodiments of the present application is to provide a method and a device for identifying a network attack, which are used to solve the problem of network attacks that cannot identify small traffic in the prior art.
  • a method for identifying a network attack includes:
  • a method of identifying a network attack including:
  • a method of identifying a network attack including:
  • a device for identifying a network attack comprising:
  • An obtaining unit configured to obtain, according to a preset field, access data of the target website server for at least two time periods
  • a statistical unit configured to count the number of access data with the same content of each preset field in each of the time periods
  • a determining unit configured to determine whether the number of access data with the same preset field in each of the time periods is the same
  • a determining unit configured to determine, when the number of the same access data is the same in each of the time segments, to determine that the access request corresponding to the same number of access data is a small-traffic network attack.
  • a device for identifying a network attack comprising:
  • An obtaining unit configured to obtain, according to a preset field, access data of the target website server for at least two time periods
  • a statistical unit configured to count the number of access data with the same content of each preset field in each of the time periods
  • a second acquiring unit configured to acquire a maximum value and a minimum value of the quantity
  • a calculating unit configured to calculate a difference between the maximum value and the minimum value
  • a determining unit configured to determine whether the difference is less than a preset difference
  • a determining unit configured to determine, when the difference is less than the preset difference, the network request that the access request corresponding to the access data that is less than the preset difference is a small traffic.
  • a device for identifying a network attack comprising:
  • An obtaining unit configured to obtain, according to a preset field, access data of the target website server for at least two time periods
  • a statistical unit configured to count the number of access data with the same content of each preset field in each of the time periods
  • a second calculating unit configured to calculate an average value of the quantity
  • a third calculating unit configured to calculate a difference between each of the quantity and the average value
  • a third determining unit configured to determine whether each difference is less than a preset difference
  • a determining unit configured to: when each difference is less than the preset difference, determine that the access request corresponding to the access data in which each difference is less than the preset difference is a small-flow network attack.
  • the technical solutions provided by the foregoing embodiments of the present application can determine whether the number of access data with the same preset field in at least two time periods is the same; if yes, the characteristics of the small traffic network attack are met, and the The access request corresponding to the same number of access data is a small-traffic network attack.
  • FIG. 1 is a flow chart of a method for identifying a network attack in the prior art
  • FIG. 2 is a flowchart of a method for identifying a network attack according to an embodiment of the present application
  • FIG. 3 is a flowchart of a method for identifying a network attack according to an embodiment of the present application
  • FIG. 4 is a flowchart of a method for identifying a network attack according to an embodiment of the present application
  • FIG. 5 is a flowchart of a method for identifying a network attack according to an embodiment of the present application
  • FIG. 6 is a schematic diagram of a module for identifying a network attack device according to an embodiment of the present application.
  • FIG. 2 is a flowchart of a method for identifying a network attack according to an embodiment of the present application.
  • the method includes the following steps:
  • S200 Obtain access data of the target website server for at least two time periods according to the preset field.
  • the preset field may include at least one of ip, host, useragent, and url.
  • the ip Internet Protocol
  • the host indicates the domain name of the target website
  • the useragent indicates the browser that accesses the target website, such as Google.
  • the browser, the QQ browser, the IE browser, etc., the useragent may also represent a search engine that accesses the target website, such as a web crawler, etc.
  • the url Uniform Resoure Locator
  • the duration of the time period may be preset, for example, the duration of the time period is 1 minute. That is, the access data of the target website server for at least two minutes is obtained according to the preset field.
  • the time period may include adjacent time periods.
  • the system can intercept the access request of the target website server, and parse the access request through the Java class library, and obtain the content of the field in the network layer as ip.
  • the field in the application layer is the content of the host, and the field is The content and field of the useragent is the content of the url.
  • the following example 1 is to obtain the access data of the target website server within 3 time periods (1 minute) according to the preset fields (host, ip, useragent):
  • the first period (2013-09-18 17:20:00 to 2013-09-18 17:21:00):
  • the second period (2013-09-18 17:21:00 to 2013-09-18 17:22:00):
  • the following example 3 is to obtain the access data of the target website server within 3 time periods (1 minute) according to the preset field (ip):
  • the first period (2013-09-18 17:20:00 to 2013-09-18 17:21:00):
  • the second period (2013-09-18 17:21:00 to 2013-09-18 17:22:00):
  • the number of ip "1.1.1.1” is the same within the first time period to the third time period, and the system performs step S230.
  • the system performs step S230.
  • S230 Determine a network attack that includes the access request corresponding to the same number of access data as a small traffic.
  • the characteristics of the small traffic network attack it is determined whether the number of access data with the same preset field in at least two time periods is the same; if yes, the characteristics of the small traffic network attack are met, and the inclusion is determined.
  • the access request corresponding to the same number of access data is a small-flow network attack.
  • the step S200 may specifically include:
  • S201 Collect an access log of the target website server.
  • websites on the Internet are multi-layered, such as the website architecture of ngnix and tomact. Since both nanox and tomcat have their own access logs, both nanox and tomcat are recorded in their own access logs for the same access request. To avoid collecting access logs repeatedly, only the access logs of the front-end applications are collected when collecting the access logs of the destination URL server.
  • the nanoix here is a more front-end application than tomcat, so just collect the access log from nanix.
  • S202 Obtain access data in the access log for at least two time periods according to a preset field.
  • the preset field may include at least one of ip, host, useragent, and url.
  • the ip Internet Protocol
  • the host indicates the domain name of the target website
  • the useragent indicates the browser that accesses the target website, such as Google.
  • the browser, the QQ browser, the IE browser, etc., the useragent may also represent a search engine that accesses the target website, such as a web crawler, etc.
  • the url Uniform Resoure Locator
  • the system may obtain the recording time in the access log by using preset instructions, for example, $time_local, $host can obtain the recorded host, and $remote_addr can obtain ip, $. Http_user_agent can get the useragent, and $request_uri is used to get the url.
  • preset instructions for example, $time_local
  • $host can obtain the recorded host
  • $remote_addr can obtain ip, $.
  • Http_user_agent can get the useragent
  • $request_uri is used to get the url.
  • the access data obtained according to the preset fields shown below (recorded the access data from 2013-09-18 17:58:00):
  • the time period includes an adjacent time period.
  • the duration of the time period may be preset. For example, if the duration of the time period is 1 minute, the access data in the following three time periods may be obtained:
  • the first period (2013-09-18 17:20:00 to 2013-09-18 17:21:00):
  • the second period (2013-09-18 17:21:00 to 2013-09-18 17:22:00):
  • the collected access log more accurate and more data access data can be obtained.
  • the access data thus obtained is easy for the system to determine whether the number of accesses of the same access data in the predetermined number of time periods is the same according to the characteristics of the small traffic network attack; if yes, the characteristics of the small traffic network attack are met, and the inclusion can be determined to be included.
  • the access request of the same access data belongs to a small-flow network attack.
  • the method may further include:
  • the counting the number of access data with the same content of each preset field in each of the time periods includes:
  • the database may be a database inside the system, or may be an external database associated with the system, and the database may also be associated with other databases to increase the storage space of the database.
  • the querying the access data in the database for at least two time periods may be that the system queries the access data in the at least two time periods by using a query instruction (such as an sql statement).
  • a query instruction such as an sql statement
  • step S230 In practical applications, in addition to identifying small-traffic network attacks, the system also needs to deal with large-traffic network attacks. In order to identify a large-traffic network attack, the following steps may be included after the step S230:
  • the access request corresponding to the access data that reaches the preset threshold is a network attack with a large traffic.
  • the preset threshold may be an empirical value set by an artificial one.
  • the preset threshold can be set to be specific to the number of times of access to a large-scale network attack. For example, the preset threshold is set to 10,000 times. As shown in the example 4, it is assumed that the preset threshold is 10000, and the number of accesses with the ip "1.1.1.4" in the third time period is 12000. Then, it is determined whether the number of accesses reaches a preset threshold of 10000. Since the number of accesses of the ip is "1.1.1.4" in the third time period reaches a preset threshold, the step S250 is performed, and the ip is "1.1.1.4". The access request is determined to be a large traffic cyber attack.
  • the number of accesses with ip "1.1.1.1” is 8;
  • the number of accesses with ip "1.1.1.1” is 7;
  • the number of accesses with ip "1.1.1.1” is 8;
  • the number of accesses with ip "1.1.1.1” is 8;
  • the number of accesses with ip "1.1.1.1” is 9;
  • the number of accesses with ip "1.1.1.1” is 8.
  • FIG. 4 is a flowchart of a method for identifying a network attack provided in an embodiment of the present application. In this embodiment, the method includes the following steps:
  • S300 Obtain access data of the target website server for at least two time periods according to the preset field.
  • This step is the same as the above step S200, and details are not described herein again.
  • This step is the same as the above step S210, and details are not described herein again.
  • the maximum value of the access data "1.1.1.1” having the same preset field (ip) content in the six time periods is 9 and the minimum value is 7.
  • the difference between the maximum value 9 and the minimum value 7 is calculated to be 2.
  • the preset difference value may be an empirical value set in advance.
  • the preset difference is less than or equal to 2
  • the difference is not less than a preset difference, so that it can be determined that the access request including the ip is "1.1.1.1" is not a small traffic. attack. If the preset difference is greater than 2, the difference is less than the preset difference, and step S330 is performed.
  • S330 Determine that the access request corresponding to the access data with the difference smaller than the preset difference is a small-traffic network attack.
  • the step S300 may specifically include:
  • This step is the same as the above step S201, and details are not described herein again.
  • the access data in at least two time periods is obtained from the access log according to a preset field.
  • This step is the same as the above step S302, and details are not described herein again.
  • the collected access log more accurate and more data access data can be obtained.
  • the access data thus obtained is easy for the system to determine whether the number of accesses of the same access data in the predetermined number of time periods is the same according to the characteristics of the small traffic network attack; if yes, the characteristics of the small traffic network attack are met, and the inclusion can be determined to be included.
  • the access request of the same access data belongs to a small-flow network attack.
  • the method may further include:
  • the counting the number of access data with the same content of each preset field in each of the time periods includes:
  • step S330 In practical applications, in addition to identifying small-traffic network attacks, the system also needs to deal with large-traffic network attacks. In order to identify a large-traffic network attack, the following steps may be included after the step S330:
  • the access request corresponding to the access data that reaches the preset threshold is a network attack with a large traffic.
  • the preset threshold may be an empirical value set by an artificial one.
  • the preset threshold can be set to be specific to the number of times of access to a large-scale network attack. For example, the preset threshold is set to 10,000 times. As shown in the example 4, it is assumed that the preset threshold is 10000, and the number of accesses with the ip "1.1.1.4" in the third time period is 12000. If the number of accesses of the ip is "1.1.1.4" reaches the preset threshold in the third time period, the access request including the ip "1.1.1.4" is determined as Large traffic cyber attacks.
  • FIG. 5 is a flowchart of a method for identifying a network attack provided in an embodiment of the present application.
  • the method includes the following steps:
  • S400 Obtain access data of the target website server for at least two time periods according to the preset field.
  • This step is the same as the above step S200, and details are not described herein again.
  • This step is the same as the above step S210, and details are not described herein again.
  • the average value of the number (8, 7, 8, 8, 9, 8) was calculated to be 8.
  • the difference in the first time period is 0;
  • the difference in the first time period is 1;
  • the difference in the first time period is 0;
  • the difference in the first time period is 0;
  • the difference in the first time period is 1;
  • the difference in the first time period is 0.
  • step S430 is performed.
  • the step S400 may specifically include:
  • This step is the same as the above step S201, and details are not described herein again.
  • the access data in at least two time periods is obtained from the access log according to a preset field.
  • This step is the same as the above step S202, and details are not described herein again.
  • the access data thus obtained is easy for the system to determine the preset number of time segments according to the characteristics of the small traffic network attack. Whether the number of accesses of the same access data is the same; if yes, the characteristics of the small-traffic network attack are met, and it can be determined that the access request including the same access data belongs to a small-flow network attack.
  • the method may further include:
  • the counting the number of access data with the same content of each preset field in each of the time periods includes:
  • step S430 In practical applications, in addition to identifying small-traffic network attacks, the system also needs to deal with large-traffic network attacks. In order to identify a large-traffic network attack, the following steps may be included after the step S430:
  • the access request corresponding to the access data that reaches the preset threshold is a network attack with a large traffic.
  • the preset threshold may be an empirical value set by an artificial one.
  • the preset threshold can be set to be specific to the number of times of access to a large-scale network attack. For example, the preset threshold is set to 10,000 times. As shown in the example 4, it is assumed that the preset threshold is 10000, and the number of accesses with the ip "1.1.1.4" in the third time period is 12000. If the number of accesses of the ip is "1.1.1.4" reaches the preset threshold in the third time period, the access request including the ip "1.1.1.4" is determined as Large traffic cyber attacks.
  • the embodiment of the present application further provides an apparatus, which may implement the foregoing method steps, and the apparatus may be implemented by software, or may be implemented by hardware or a combination of hardware and software.
  • the apparatus may be implemented by software, or may be implemented by hardware or a combination of hardware and software.
  • the CPU Central Process Unit
  • the server reads the corresponding computer program instructions into the memory.
  • FIG. 6 is a schematic block diagram of a website anti-attack device according to an embodiment of the present application.
  • the The device includes:
  • the obtaining module 500 is configured to obtain, according to a preset field, access data of the target website server for at least two time periods;
  • the statistics unit 510 is configured to count the number of access data with the same content of each preset field in each of the time segments;
  • the determining unit 520 is configured to determine whether the number of access data with the same preset field in each of the time segments is the same;
  • the determining unit 530 is configured to determine, when the number of access data with the same preset field in each time period is the same, to determine that the access request corresponding to the same number of access data is a small-flow network attack.
  • the obtaining unit 500 may further include:
  • a first obtaining subunit configured to collect an access log of the target website server
  • a second obtaining subunit configured to acquire, according to the preset field, the access data in the at least two time periods from the access log.
  • the first obtaining subunit is further configured to collect an access log of a front end application of the target website server.
  • the method further includes:
  • a storage unit configured to store the access data in the at least two time periods into a database
  • the statistics unit 510 is further configured to query access data in at least two time periods in the database, and count the number of access data with the same content of each preset field in each of the time segments.
  • the period of time comprises an adjacent period of time.
  • the preset field includes at least one of ip, host, useragent, and url.
  • the website anti-attack device provided in an embodiment of the present application, the device includes:
  • An obtaining unit configured to obtain, according to a preset field, access data of the target website server for at least two time periods
  • a statistical unit configured to count the number of access data with the same content of each preset field in each of the time periods
  • a second acquiring unit configured to acquire a maximum value and a minimum value of the quantity
  • a calculating unit configured to calculate a difference between the maximum value and the minimum value
  • a determining unit configured to determine whether the difference is less than a preset difference
  • a determining unit configured to determine, when the difference is less than the preset difference, the network request that the access request corresponding to the access data that is less than the preset difference is a small traffic.
  • the acquiring unit specifically includes:
  • a first obtaining subunit configured to collect an access log of the target website server
  • a second obtaining subunit configured to acquire, according to the preset field, the access data in the at least two time periods from the access log.
  • the first obtaining subunit is further configured to collect an access log of a front end application of the target website server.
  • the method further includes:
  • a storage unit configured to store the access data in the at least two time periods into a database
  • the statistics unit is further configured to query access data in at least two time periods in the database, and count the number of access data with the same content of each preset field in each of the time segments.
  • the period of time comprises an adjacent period of time.
  • the preset field includes at least one of ip, host, useragent, and url.
  • the website anti-attack device provided in an embodiment of the present application, the device includes:
  • An obtaining unit configured to obtain, according to a preset field, access data of the target website server for at least two time periods
  • a statistical unit configured to count the number of access data with the same content of each preset field in each of the time periods
  • a second calculating unit configured to calculate an average value of the quantity
  • a third calculating unit configured to calculate a difference between each of the quantity and the average value
  • a third determining unit configured to determine whether each difference is less than a preset difference
  • a determining unit configured to: when each difference is less than the preset difference, determine that the access request corresponding to the access data in which each difference is less than the preset difference is a small-flow network attack.
  • the acquiring unit specifically includes:
  • a first obtaining subunit configured to collect an access log of the target website server
  • a second obtaining subunit configured to acquire, according to the preset field, the access data in the at least two time periods from the access log.
  • the first obtaining subunit is further configured to collect an access log of a front end application of the target website server.
  • the method further includes:
  • a storage unit configured to store the access data in the at least two time periods into a database
  • the statistics unit is further configured to query access data in at least two time periods in the database, and count the number of access data with the same content of each preset field in each of the time segments.
  • the period of time comprises an adjacent period of time.
  • the preset field includes at least one of ip, host, useragent, and url.
  • PLD Programmable Logic Device
  • FPGA Field Programmable Gate Array
  • HDL Hardware Description Language
  • the controller can be implemented in any suitable manner, for example, the controller can take the form of, for example, a microprocessor or processor and a computer readable medium storing computer readable program code (eg, software or firmware) executable by the (micro)processor.
  • computer readable program code eg, software or firmware
  • examples of controllers include, but are not limited to, the following microcontrollers: ARC 625D, Atmel AT91SAM, The Microchip PIC18F26K20 and the Silicone Labs C8051F320, the memory controller can also be implemented as part of the memory's control logic.
  • the controller can be logically programmed by means of logic gates, switches, ASICs, programmable logic controllers, and embedding.
  • Such a controller can therefore be considered a hardware component, and the means for implementing various functions included therein can also be considered as a structure within the hardware component.
  • a device for implementing various functions can be considered as a software module that can be both a method of implementation and a structure within a hardware component.
  • the system, device, module or unit illustrated in the above embodiments may be implemented by a computer chip or an entity, or by a product having a certain function.
  • embodiments of the present invention can be provided as a method, system, or computer program product. Accordingly, the present invention may take the form of an entirely hardware embodiment, an entirely software embodiment, or a combination of software and hardware. Moreover, the invention can take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage, CD-ROM, optical storage, etc.) including computer usable program code.
  • computer-usable storage media including but not limited to disk storage, CD-ROM, optical storage, etc.
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.
  • a computing device includes one or more processors (CPUs), input/output interfaces, network interfaces, and memory.
  • processors CPUs
  • input/output interfaces network interfaces
  • memory volatile and non-volatile memory
  • the memory may include non-persistent memory, random access memory (RAM), and/or non-volatile memory in a computer readable medium, such as read only memory (ROM) or flash memory.
  • RAM random access memory
  • ROM read only memory
  • Memory is an example of a computer readable medium.
  • Computer readable media including both permanent and non-permanent, removable and non-removable media can be by any method or Technology to achieve information storage.
  • the information can be computer readable instructions, data structures, modules of programs, or other data.
  • Examples of computer storage media include, but are not limited to, phase change memory (PRAM), static random access memory (SRAM), dynamic random access memory (DRAM), other types of random access memory (RAM), read only memory. (ROM), electrically erasable programmable read only memory (EEPROM), flash memory or other memory technology, compact disk read only memory (CD-ROM), digital versatile disk (DVD) or other optical storage, Magnetic tape cartridges, magnetic tape storage or other magnetic storage devices or any other non-transportable media can be used to store information that can be accessed by a computing device.
  • computer readable media does not include temporary storage of computer readable media, such as modulated data signals and carrier waves.
  • embodiments of the present application can be provided as a method, system, or computer program product.
  • the present application can take the form of an entirely hardware embodiment, an entirely software embodiment or an embodiment in combination of software and hardware.
  • the application can take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage, CD-ROM, optical storage, etc.) including computer usable program code.
  • the application can be described in the general context of computer-executable instructions executed by a computer, such as a program module.
  • program modules include routines, programs, objects, components, data structures, and the like that perform particular tasks or implement particular abstract data types.
  • the present application can also be practiced in distributed computing environments where tasks are performed by remote processing devices that are connected through a communication network.
  • program modules can be located in both local and remote computer storage media including storage devices.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Technology Law (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请实施例公开了一种识别网络攻击的方法，包括：按照预设字段获取目标网站服务器至少两个时间段内的访问数据；统计每个所述时间段内各个预设字段内容相同的访问数据的数量；判断每个所述时间段内预设字段相同的访问数据的数量是否相同；若是，则确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。本申请还公开了一种识别网络攻击的装置实施例。利用本申请实施例可以识别小流量的网络攻击。

Description

识别网络攻击的方法和装置
本申请要求2015年11月19日递交的申请号为201510802440.3、发明名称为“识别网络攻击的方法和装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及网络安全技术领域，特别涉及一种识别网络攻击的方法及装置。
背景技术
随着互联网技术的不断发展，针对网站服务器的攻击行为越来越多，从而给网站服务器带来很多的不利影响。
目前针对网站服务器的攻击方式呈现为两种类型，第一类为大流量的网络攻击，其攻击方式具有攻击时间短但流量大的特点(例如1秒钟攻击1万次)。如DOS(Denial Of Service，拒绝服务)，DDOS(Distributed Denial of Service，分布式拒绝服务)，大流量的网络攻击通过短时间内向目标网站服务器发送大量的访问请求，以达到消耗所述目标网站服务器的资源，导致所述目标服务器超负荷运行、网络不畅，从而影响网站的正常访问。第二类为小流量的网络攻击，其攻击方式具有攻击持续时间长但流量小的特点(例如持续攻击1天，但是1秒钟攻击10次)。小流量的网络攻击通过长时间向目标网站服务器发送少量的访问请求，从而扫描所述目标网站服务器的资源，虽然短时间内只扫描了很小一部分的资源，但日积月累后很可能会扫描得到所述目标网站服务器中所有资源，这样无疑会对所述目标网站服务器构成安全问题，例如攻击方从所述资源中找到服务器的漏洞。
现有技术中，对于大流量攻击，可以采用如图1所示的方法：
S100：获取目标网站服务器的网络访问数据包，从所述网络访问数据包中解析出IP；其中，所述IP为所述网络访问数据包的来源IP地址；
S110：在预定时间段内统计相同IP的第一数量；
S120：若所述第一数量达到预定阈值，则将包含该IP的网络访问确定为网络攻击。
通过上述方法中解析网络访问数据包得到IP，在预定时间段内统计得到的相同IP访问目标网站服务器的第一数量，并且如果所述第一数量达到预定阈值，则认为包含该IP 的网络访问是网络攻击。
然而，对于小流量的网络攻击，由于其在预设时间段内访问请求的数量并不大，与许多正常访问请求的数量类似，通过上述方法得到的所述小流量的网络攻击的第一数量都小于预定阈值，所以上述方法不能确定其为网络攻击；而如果上述方法中预定阈值设置的过小，则容易将正常访问请求也确定为网络攻击。
综上所述，现有技术中存在无法识别小流量的网络攻击的问题。
发明内容
本申请实施例的目的是提供一种识别网络攻击的方法及装置，用以解决现有技术中无法识别小流量的网络攻击的问题。
为解决上述技术问题，本申请一实施例提供的一种识别网络攻击的方法，包括：
按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
判断每个所述时间段内预设字段相同的访问数据的数量是否相同；
若是，则确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
一种识别网络攻击的方法，包括：
按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
获取所述数量中的最大值和最小值；
计算所述最大值和最小值的差值；
判断所述差值是否小于预设差值；
若是，则确定包含所述差值小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
一种识别网络攻击的方法，包括：
按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
计算各个预设字段内容相同的访问数据的平均值；
计算每个所述时间段内各个预设字段内容相同的访问数据的数量与所述平均值的差值；
判断每一差值是否都小于预设差值；
若是，则确定包含所述每一差值都小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
一种识别网络攻击的装置，包括：
获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
判断单元，用于判断每个所述时间段内预设字段相同的访问数据的数量是否相同；
确定单元，用于在每个所述时间段内预设字段相同的访问数据的数量相同时，则确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
一种识别网络攻击的装置，包括：
获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
第二获取单元，用于获取所述数量中的最大值和最小值；
计算单元，用于计算所述最大值和最小值的差值；
判断单元，用于判断所述差值是否小于预设差值；
确定单元，用于在所述差值小于预设差值时，则确定包含所述差值小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
一种识别网络攻击的装置，包括：
获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
第二计算单元，用于计算所述数量的平均值；
第三计算单元，用于计算每个所述数量与所述平均值的差值；
第三判断单元，用于判断每一差值是否都小于预设差值；
确定单元，用于在每一差值都小于预设差值时，则确定包含所述每一差值都小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
由以上本申请实施例提供的技术方案可见，通过判断至少两个时间段内预设字段相同的访问数据的数量是否相同；如果是，则符合小流量网络攻击的特点，就可以确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有 技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为现有技术中识别网络攻击方法的流程图；
图2为本申请一实施例中提供的识别网络攻击方法的流程图；
图3为本申请一实施例中提供的识别网络攻击方法的流程图；
图4为本申请一实施例中提供的识别网络攻击方法的流程图；
图5为本申请一实施例中提供的识别网络攻击方法的流程图；
图6为本申请一实施例中提供的识别网络攻击装置的模块示意图。
具体实施方式
为了使本技术领域的人员更好地理解本申请中的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有付出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。
图2为本申请一实施例中提供的识别网络攻击方法的流程图。本实施例中，所述方法包括如下步骤：
S200：按照预设字段获取目标网站服务器至少两个时间段内的访问数据。
本实施例中，所述预设字段可以包括ip、host、useragent和url中的至少一种。其中，所述ip(Internet Protocol，网络互连协议)表示访问目标网站的来源ip地址；所述host表示访问目标网站的域名；所述useragent(用户代理)表示访问目标网站的浏览器，例如谷歌浏览器、QQ浏览器、IE浏览器等，useragent还可以表示访问目标网站的搜索引擎，例如网络爬虫等；所述url(Uniform Resoure Locator，统一资源定位符)表示访问目标网站的地址。
所述时间段的时长可以是预先设置的，例如时间段的时长为1分钟。即按照预设字段获取目标网站服务器至少两个1分钟内的访问数据。
本实施例中，所述时间段可以包括相邻的时间段。
系统可以对访问所述目标网站服务器的访问请求进行拦截，并通过Java类库解析该访问请求，获取网络层中的字段为ip的内容，应用层中的字段为host的内容、字段为 useragent的内容和字段为url的内容。
S210：统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
以下的例子1为按照预设字段(host、ip、useragent)获取目标网站服务器3个时间段内(1分钟)的访问数据：
第一时间段(2013-09-18 17:20:00至2013-09-18 17:21:00)：
Figure PCTCN2016105286-appb-000001
第二时间段(2013-09-18 17:21:00至2013-09-18 17:22:00)：
Figure PCTCN2016105286-appb-000002
第三时间段(2013-09-18 17:22:00至2013-09-18 17:23:00)：
Figure PCTCN2016105286-appb-000003
如上述例子1所示的内容，通过S210后，统计每个所述时间段内host、ip、useragent内容相同的访问数据的数量，如下例子2所示：
第一时间段内：
Figure PCTCN2016105286-appb-000004
Figure PCTCN2016105286-appb-000005
第二时间段内：
Figure PCTCN2016105286-appb-000006
第三时间段内：
Figure PCTCN2016105286-appb-000007
再例如，以下的例子3为按照预设字段(ip)获取目标网站服务器3个时间段内(1分钟)的访问数据：
第一时间段(2013-09-18 17:20:00至2013-09-18 17:21:00)：
ip
1.1.1.1
1.1.1.2
1.1.1.3
1.1.1.1
1.1.1.1
1.1.1.2
1.1.1.1
第二时间段(2013-09-18 17:21:00至2013-09-18 17:22:00)：
ip
1.1.1.1
1.1.1.1
1.1.1.1
1.1.1.1
第三时间段(2013-09-18 17:22:00至2013-09-18 17:23:00)：
ip
1.1.1.4
1.1.1.1
1.1.1.1
1.1.1.1
1.1.1.1
如上述例子3所述的内容，通过S210后，统计每个时间段内ip内容相同的访问数据的数量，如下例子4所示：
第一时间段内：
Figure PCTCN2016105286-appb-000008
第二时间段内：
ip                     访问次数
1.1.1.1                     4
第三时间段内：
ip                     访问次数
1.1.1.1                     4
1.1.1.4                     1
S220：判断每个所述时间段内预设字段相同的访问数据的数量是否相同；若是，则执行S230步骤。
如上述例子4所示，ip为“1.1.1.1”的数量在第一时间段内至第三时间段内相同，则系统执行S230步骤。
如上述例子2所示，第一：host为“www.aaa.com”、ip为“1.1.1.1”、useragent为“Mozilla/5.0”的数量在第一时间段内至第三时间段内相同。第二：host为“www.aaa.com”、ip为“1.1.1.1”、useragent为“Mozilla/4.0”的数量在第一时间段内至第三时间段内相同，则系统执行S230步骤。
S230：确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
通过本实施例，根据小流量网络攻击的特点，通过判断至少两个时间段内预设字段相同的访问数据的数量是否相同；如果是，则符合小流量网络攻击的特点，就可以确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
在本申请的一个实施例中，所述S200步骤，如图3所示具体可以包括：
S201：采集目标网站服务器的访问日志。
一般互联网中网站都是多层架构的，例如ngnix和tomact的网站架构。由于nanix和tomcat都拥有自己的访问日志，对于同一个访问请求，nanix和tomcat都会记录在自己的访问日志中。为了避免重复采集访问日志，所以采集目标网址服务器的访问日志时只采集最前端应用的访问日志。这里的nanix是比tomcat更前端的应用，所以只需采集nanix的访问日志即可。
S202：按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
所述预设字段可以包括ip、host、useragent和url中的至少一种。其中，所述ip(Internet Protocol，网络互连协议)表示访问目标网站的来源ip地址；所述host表示访问目标网站的域名；所述useragent(用户代理)表示访问目标网站的浏览器，例如谷歌浏览器、QQ浏览器、IE浏览器等，useragent还可以表示访问目标网站的搜索引擎，例如网络爬虫等；所述url(Uniform Resoure Locator，统一资源定位符)表示访问目标网站的地址。
本实施例中，系统在采集目标网站服务器的访问日志后，可以通过预设指令，例如通过$time_local可以获取访问日志中的记录时间，$host可以获取记录的host，$remote_addr可以获取ip，$http_user_agent可以获取useragent，$request_uri用于获取url。
例如下面所示的按照预设字段(host、ip、useragent)获取的访问数据(记录了时间从2013-09-18 17:58:00之后的访问数据)：
Figure PCTCN2016105286-appb-000009
Figure PCTCN2016105286-appb-000010
本实施例中，所述时间段包括相邻的时间段。所述时间段的时长可以是预先设置的，例如时间段的时长为1分钟，则可以获取如下所示的3个时间段内的访问数据：
第一时间段(2013-09-18 17:20:00至2013-09-18 17:21:00)：
Figure PCTCN2016105286-appb-000011
第二时间段(2013-09-18 17:21:00至2013-09-18 17:22:00)：
Figure PCTCN2016105286-appb-000012
第三时间段(2013-09-18 17:22:00至2013-09-18 17:23:00)：
Figure PCTCN2016105286-appb-000013
通过本实施例，依据采集的访问日志，可以获取更为精准且数据量更多的访问数据。如此得到的访问数据易于系统根据小流量网络攻击的特点，判断所述预设数量个时间段内同一访问数据的访问次数是否相同；如果是，则符合小流量网络攻击的特点，就可以确定包含所述同一访问数据的访问请求属于小流量的网络攻击。
一般的，网站服务器的访问日志中记录了大量的访问数据，系统在采集到所述访问日志后如果不将这些访问数据储存入数据库中，会占用大量的系统内存，导致系统运行效率降低。为了解决上述问题，在本实施例的一个实施例中，在S202步骤之后，还可以包括：
将所述至少两个时间段内的访问数据存储入数据库中；
相应地，所述统计每个所述时间段内各个预设字段内容相同的访问数据的数量，包括：
查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
本实施例中，所述数据库可以是系统内部的数据库，当然也可以是与所述系统关联的外部数据库，该数据库还可以关联其它数据库，以增加数据库的存储空间。
所述查询数据库中至少两个时间段内的访问数据，具体可以是系统通过查询指令(如sql语句)来查询所述至少两个时间段内的访问数据。
在实际应用中，系统除了要识别小流量的网络攻击外，还需要应对大流量的网络攻击。为了识别大流量的网络攻击，在S230步骤之后还可以包括如下步骤：
若否，则判断每个所述时间段内预设字段相同的访问数据的数量是否相同是否达到预设阈值。
若是，则确定包含所述数量达到预设阈值的访问数据对应的访问请求为大流量的网络攻击。
本实施例中，所述预设阈值可以是人为设置的一个经验值。该预设阈值可以设置为符合大流量的网络攻击时访问次数大的特定。例如所述预设阈值设置为10000次。如例子4所示的内容，假设预设阈值为10000，第三时间段内ip为“1.1.1.4”的访问次数为12000次。则判断所述访问次数是否达到预设阈值10000，由于只有第三时间段内ip为“1.1.1.4”的访问次数达到预设阈值，所以执行S250步骤，即将包含ip为“1.1.1.4”的访问请求确定为大流量的网络攻击。
在实际应用中，小流量的网络攻击虽然呈现攻击频率固定的特定，但是某些小流量的网络攻击在不同的时间段内访问次数可能会存在少许偏差，如以下例子5所示：
第一时间段内：ip为“1.1.1.1”的访问次数为8；
第二时间段内：ip为“1.1.1.1”的访问次数为7；
第三时间段内：ip为“1.1.1.1”的访问次数为8；
第四时间段内：ip为“1.1.1.1”的访问次数为8；
第五时间段内：ip为“1.1.1.1”的访问次数为9；
第六时间段内：ip为“1.1.1.1”的访问次数为8。
在以上内容中，ip为“1.1.1.1”的访问次数在第一时间段内到第六时间段内不完全相同。然而，这样访问次数会存在少许偏差的情况也属于小流量的网络攻击，如果只是判断每个所述时间段内预设字段相同的访问数据的数量是否相同，则不能识别出这种情况，达不到识别小流量的网络攻击的目的。为解决以上问题，如图4所示为本申请一实施例中提供的识别网络攻击方法的流程图。本实施例中，所述方法包括如下步骤：
S300：按照预设字段获取目标网站服务器至少两个时间段内的访问数据。
本步骤与上述S200步骤相同，此处不再赘述。
S310：统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
本步骤与上述S210步骤相同，此处不再赘述。
S320：获取所述数量中的最大值和最小值。
如例子5所示的内容，获取该六个时间段内预设字段(ip)内容相同的访问数据“1.1.1.1”的数量中最大值为9，最小值为7。
S321：计算所述最大值和最小值的差值。
沿用S320中所述的例子，计算所述最大值9与最小值7的差值为2。
S322：判断所述差值是否小于预设差值；若是，则执行S330步骤。
本实施例中，所述预设差值可以是预先设置的一个经验值。
沿用S321中所述的例子，如果所述预设差值小于等于2，则所述差值不小于预设差值，从而可以确定包含ip为“1.1.1.1”的访问请求不是小流量的网络攻击。如果所述预设差值大于2，则所述差值小于预设差值，执行S330步骤。
S330：确定包含所述差值小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
在本申请的一个实施例中，所述S300步骤，具体可以包括：
采集目标网站服务器的访问日志。
本步骤与上述S201步骤相同，此处不再赘述。
按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
本步骤与上述S302步骤相同，此处不再赘述。
通过本实施例，依据采集的访问日志，可以获取更为精准且数据量更多的访问数据。如此得到的访问数据易于系统根据小流量网络攻击的特点，判断所述预设数量个时间段内同一访问数据的访问次数是否相同；如果是，则符合小流量网络攻击的特点，就可以确定包含所述同一访问数据的访问请求属于小流量的网络攻击。
一般的，网站服务器的访问日志中记录了大量的访问数据，系统在采集到所述访问日志后如果不将这些访问数据储存入数据库中，会占用大量的系统内存，导致系统运行效率降低。为了解决上述问题，在本实施例的一个实施例中，在按照预设字段从所述访问日志中获取至少两个时间段内的访问数据之后，还可以包括：
将所述至少两个时间段内的访问数据存储入数据库中；
相应地，所述统计每个所述时间段内各个预设字段内容相同的访问数据的数量，包括：
查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
在实际应用中，系统除了要识别小流量的网络攻击外，还需要应对大流量的网络攻击。为了识别大流量的网络攻击，在S330步骤之后还可以包括如下步骤：
若否，则判断每个所述时间段内预设字段相同的访问数据的数量是否相同是否达到预设阈值。
若是，则确定包含所述数量达到预设阈值的访问数据对应的访问请求为大流量的网络攻击。
本实施例中，所述预设阈值可以是人为设置的一个经验值。该预设阈值可以设置为符合大流量的网络攻击时访问次数大的特定。例如所述预设阈值设置为10000次。如例子4所示的内容，假设预设阈值为10000，第三时间段内ip为“1.1.1.4”的访问次数为12000次。则判断所述访问次数是否达到预设阈值10000，由于只有第三时间段内ip为“1.1.1.4”的访问次数达到预设阈值，则将包含ip为“1.1.1.4”的访问请求确定为大流量的网络攻击。
为解决例子5所示的问题，如图5所示为本申请一实施例中提供的识别网络攻击方法的流程图。本实施例中，所述方法包括如下步骤：
S400：按照预设字段获取目标网站服务器至少两个时间段内的访问数据。
本步骤与上述S200步骤相同，此处不再赘述。
S410：统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
本步骤与上述S210步骤相同，此处不再赘述。
S420：计算所述数量的平均值。
如例子5所示的内容，计算所述数量(8、7、8、8、9、8)的平均值为8。
S421：计算每个数量与所述平均值的差值。
沿用S420中所述的例子，计算每个数量与所述平均值的差值：
第一时间段内的差值为0；
第一时间段内的差值为1；
第一时间段内的差值为0；
第一时间段内的差值为0；
第一时间段内的差值为1；
第一时间段内的差值为0。
S422：判断每一差值是否都小于预设差值；若是，则执行S430步骤。
沿用S421中所述的例子，如果所述预设差值小于等于1，则每一差值不都小于预设差值，从而可以确定包含ip为“1.1.1.1”的访问请求不是小流量的网络攻击。如果所述预设差值大于1，则每一差值都小于预设差值，执行S430步骤。
S430：若是，则确定包含所述每一差值都小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
在本申请的一个实施例中，所述S400步骤，具体可以包括：
采集目标网站服务器的访问日志。
本步骤与上述S201步骤相同，此处不再赘述。
按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
本步骤与上述S202步骤相同，此处不再赘述。
通过本实施例，依据采集的访问日志，可以获取更为精准且数据量更多的访问数据。如此得到的访问数据易于系统根据小流量网络攻击的特点，判断所述预设数量个时间段 内同一访问数据的访问次数是否相同；如果是，则符合小流量网络攻击的特点，就可以确定包含所述同一访问数据的访问请求属于小流量的网络攻击。
一般的，网站服务器的访问日志中记录了大量的访问数据，系统在采集到所述访问日志后如果不将这些访问数据储存入数据库中，会占用大量的系统内存，导致系统运行效率降低。为了解决上述问题，在本实施例的一个实施例中，在按照预设字段从所述访问日志中获取至少两个时间段内的访问数据之后，还可以包括：
将所述至少两个时间段内的访问数据存储入数据库中；
相应地，所述统计每个所述时间段内各个预设字段内容相同的访问数据的数量，包括：
查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
在实际应用中，系统除了要识别小流量的网络攻击外，还需要应对大流量的网络攻击。为了识别大流量的网络攻击，在S430步骤之后还可以包括如下步骤：
若否，则判断每个所述时间段内预设字段相同的访问数据的数量是否相同是否达到预设阈值。
若是，则确定包含所述数量达到预设阈值的访问数据对应的访问请求为大流量的网络攻击。
本实施例中，所述预设阈值可以是人为设置的一个经验值。该预设阈值可以设置为符合大流量的网络攻击时访问次数大的特定。例如所述预设阈值设置为10000次。如例子4所示的内容，假设预设阈值为10000，第三时间段内ip为“1.1.1.4”的访问次数为12000次。则判断所述访问次数是否达到预设阈值10000，由于只有第三时间段内ip为“1.1.1.4”的访问次数达到预设阈值，则将包含ip为“1.1.1.4”的访问请求确定为大流量的网络攻击。
本申请实施例提供还提供一种装置，可以实现上述的方法步骤，且该装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为逻辑意义上的装置，是通过服务器的CPU(Central Process Unit，中央处理器)将对应的计算机程序指令读取到内存中运行形成的。
图6为本申请一实施例中提供的网址防攻击装置的模块示意图。本实施例中，所述 装置包括：
获取模块500，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计单元510，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
判断单元520，用于判断每个所述时间段内预设字段相同的访问数据的数量是否相同；
确定单元530，用于在每个所述时间段内预设字段相同的访问数据的数量相同时，则确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
优选地，所述获取单元500，具体还可以包括：
第一获取子单元，用于采集目标网站服务器的访问日志；
第二获取子单元，用于按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
优选地，所述第一获取子单元，还用于采集目标网站服务器最前端应用的访问日志。
优选地，在所述第二获取子单元之后，还包括：
存储单元，用于将所述至少两个时间段内的访问数据存储入数据库中；
相应地，所述统计单元510，还用于查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
优选地，所述时间段包括相邻的时间段。
优选地，所述预设字段包括ip、host、useragent、url中的至少一种。
本申请一实施例中提供的网址防攻击装置，所述装置包括：
获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
第二获取单元，用于获取所述数量中的最大值和最小值；
计算单元，用于计算所述最大值和最小值的差值；
判断单元，用于判断所述差值是否小于预设差值；
确定单元，用于在所述差值小于预设差值时，则确定包含所述差值小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
优选地，所述获取单元，具体包括：
第一获取子单元，用于采集目标网站服务器的访问日志；
第二获取子单元，用于按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
优选地，所述第一获取子单元，还用于采集目标网站服务器最前端应用的访问日志。
优选地，在所述第二获取子单元之后，还包括：
存储单元，用于将所述至少两个时间段内的访问数据存储入数据库中；
相应地，所述统计单元，还用于查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
优选地，所述时间段包括相邻的时间段。
优选地，所述预设字段包括ip、host、useragent、url中的至少一种。
本申请一实施例中提供的网址防攻击装置，所述装置包括：
获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
第二计算单元，用于计算所述数量的平均值；
第三计算单元，用于计算每个所述数量与所述平均值的差值；
第三判断单元，用于判断每一差值是否都小于预设差值；
确定单元，用于在每一差值都小于预设差值时，则确定包含所述每一差值都小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
优选地，所述获取单元，具体包括：
第一获取子单元，用于采集目标网站服务器的访问日志；
第二获取子单元，用于按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
优选地，所述第一获取子单元，还用于采集目标网站服务器最前端应用的访问日志。
优选地，在所述第二获取子单元之后，还包括：
存储单元，用于将所述至少两个时间段内的访问数据存储入数据库中；
相应地，所述统计单元，还用于查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
优选地，所述时间段包括相邻的时间段。
优选地，所述预设字段包括ip、host、useragent、url中的至少一种。
在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable Gate Array，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware Description Language)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(Ruby Hardware Description Language)等，目前最普遍使用的是VHDL(Very-High-Speed Integrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。
控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。
上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。
为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或 技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之。

Claims (28)

  1. 一种识别网络攻击的方法，其特征在于，包括：
    按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
    统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
    判断每个所述时间段内预设字段相同的访问数据的数量是否相同；
    若是，则确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
  2. 如权利要求1所述的方法，其特征在于，按照预设字段获取目标网站服务器至少两个时间段内的访问数据，具体包括：
    采集目标网站服务器的访问日志；
    按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
  3. 如权利要求2所述的方法，其特征在于，所述采集目标网站服务器的访问日志，具体包括：
    采集目标网站服务器最前端应用的访问日志。
  4. 如权利要求2所述的方法，其特征在于，在按照预设字段从所述访问日志中获取至少两个时间段内的访问数据之后，还包括：
    将所述至少两个时间段内的访问数据存储入数据库中；
    相应地，所述统计每个所述时间段内各个预设字段内容相同的访问数据的数量，包括：
    查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
  5. 一种识别网络攻击的方法，其特征在于，包括：
    按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
    统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
    获取所述数量中的最大值和最小值；
    计算所述最大值和最小值的差值；
    判断所述差值是否小于预设差值；
    若是，则确定包含所述差值小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
  6. 如权利要求5所述的方法，其特征在于，按照预设字段获取目标网站服务器至 少两个时间段内的访问数据，具体包括：
    采集目标网站服务器的访问日志；
    按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
  7. 如权利要求6所述的方法，其特征在于，所述采集目标网站服务器的访问日志，具体包括：
    采集目标网站服务器最前端应用的访问日志。
  8. 如权利要求6所述的方法，其特征在于，在按照预设字段从所述访问日志中获取至少两个时间段内的访问数据之后，还包括：
    将所述至少两个时间段内的访问数据存储入数据库中；
    相应地，所述统计每个所述时间段内各个预设字段内容相同的访问数据的数量，包括：
    查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
  9. 一种识别网络攻击的方法，其特征在于，包括：
    按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
    统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
    计算各个预设字段内容相同的访问数据的平均值；
    计算每个所述时间段内各个预设字段内容相同的访问数据的数量与所述平均值的差值；
    判断每一差值是否都小于预设差值；
    若是，则确定包含所述每一差值都小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
  10. 如权利要求9所述的方法，其特征在于，按照预设字段获取目标网站服务器至少两个时间段内的访问数据，具体包括：
    采集目标网站服务器的访问日志；
    按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
  11. 如权利要求10所述的方法，其特征在于，所述采集目标网站服务器的访问日志，具体包括：
    采集目标网站服务器最前端应用的访问日志。
  12. 如权利要求10所述的方法，其特征在于，在按照预设字段从所述访问日志中获取至少两个时间段内的访问数据之后，还包括：
    将所述至少两个时间段内的访问数据存储入数据库中；
    相应地，所述统计每个所述时间段内各个预设字段内容相同的访问数据的数量，包括：
    查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
  13. 如权利要求1-12中任一项所述的方法，其特征在于，所述时间段包括相邻的时间段。
  14. 如权利要求1-12中任一项所述的方法，其特征在于，所述预设字段包括ip、host、useragent、url中的至少一种。
  15. 一种识别网络攻击的装置，其特征在于，包括：
    获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
    统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
    判断单元，用于判断每个所述时间段内预设字段相同的访问数据的数量是否相同；
    确定单元，用于在每个所述时间段内预设字段相同的访问数据的数量相同时，则确定包含所述数量相同的访问数据对应的访问请求为小流量的网络攻击。
  16. 如权利要求15所述的装置，其特征在于，所述获取单元，具体包括：
    第一获取子单元，用于采集目标网站服务器的访问日志；
    第二获取子单元，用于按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
  17. 如权利要求15所述的装置，其特征在于，所述第一获取子单元，还用于采集目标网站服务器最前端应用的访问日志。
  18. 如权利要求15所述的装置，其特征在于，在所述第二获取子单元之后，还包括：
    存储单元，用于将所述至少两个时间段内的访问数据存储入数据库中；
    相应地，所述统计单元，还用于查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
  19. 一种识别网络攻击的装置，其特征在于，包括：
    获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
    统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
    第二获取单元，用于获取所述数量中的最大值和最小值；
    计算单元，用于计算所述最大值和最小值的差值；
    判断单元，用于判断所述差值是否小于预设差值；
    确定单元，用于在所述差值小于预设差值时，则确定包含所述差值小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
  20. 如权利要求19所述的装置，其特征在于，所述获取单元，具体包括：
    第一获取子单元，用于采集目标网站服务器的访问日志；
    第二获取子单元，用于按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
  21. 如权利要求20所述的装置，其特征在于，所述第一获取子单元，还用于采集目标网站服务器最前端应用的访问日志。
  22. 如权利要求20所述的装置，其特征在于，在所述第二获取子单元之后，还包括：
    存储单元，用于将所述至少两个时间段内的访问数据存储入数据库中；
    相应地，所述统计单元，还用于查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
  23. 一种识别网络攻击的装置，其特征在于，包括：
    获取单元，用于按照预设字段获取目标网站服务器至少两个时间段内的访问数据；
    统计单元，用于统计每个所述时间段内各个预设字段内容相同的访问数据的数量；
    第二计算单元，用于计算所述数量的平均值；
    第三计算单元，用于计算每个所述数量与所述平均值的差值；
    第三判断单元，用于判断每一差值是否都小于预设差值；
    确定单元，用于在每一差值都小于预设差值时，则确定包含所述每一差值都小于预设差值的访问数据对应的访问请求为小流量的网络攻击。
  24. 如权利要求23所述的装置，其特征在于，所述获取单元，具体包括：
    第一获取子单元，用于采集目标网站服务器的访问日志；
    第二获取子单元，用于按照预设字段从所述访问日志中获取至少两个时间段内的访问数据。
  25. 如权利要求24所述的装置，其特征在于，所述第一获取子单元，还用于采集目标网站服务器最前端应用的访问日志。
  26. 如权利要求24所述的装置，其特征在于，在所述第二获取子单元之后，还包括：
    存储单元，用于将所述至少两个时间段内的访问数据存储入数据库中；
    相应地，所述统计单元，还用于查询数据库中至少两个时间段内的访问数据，统计每个所述时间段内各个预设字段内容相同的访问数据的数量。
  27. 如权利要求15-26中任一项所述的装置，其特征在于，所述时间段包括相邻的时间段。
  28. 如权利要求15-26中任一项所述的装置，其特征在于，所述预设字段包括ip、host、useragent、url中的至少一种。
PCT/CN2016/105286 2015-11-19 2016-11-10 识别网络攻击的方法和装置 Ceased WO2017084529A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2018523793A JP6921069B2 (ja) 2015-11-19 2016-11-10 ネットワーク攻撃を識別するための方法及び装置
EP16865706.2A EP3379788B1 (en) 2015-11-19 2016-11-10 Network attacks identifying method and device
US15/984,287 US11240258B2 (en) 2015-11-19 2018-05-18 Method and apparatus for identifying network attacks
US17/645,382 US20220116412A1 (en) 2015-11-19 2021-12-21 Method and apparatus for identifying network attacks

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201510802440.3 2015-11-19
CN201510802440.3A CN106789831B (zh) 2015-11-19 2015-11-19 识别网络攻击的方法和装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/984,287 Continuation US11240258B2 (en) 2015-11-19 2018-05-18 Method and apparatus for identifying network attacks

Publications (1)

Publication Number Publication Date
WO2017084529A1 true WO2017084529A1 (zh) 2017-05-26

Family

ID=58717362

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2016/105286 Ceased WO2017084529A1 (zh) 2015-11-19 2016-11-10 识别网络攻击的方法和装置

Country Status (5)

Country Link
US (2) US11240258B2 (zh)
EP (1) EP3379788B1 (zh)
JP (1) JP6921069B2 (zh)
CN (1) CN106789831B (zh)
WO (1) WO2017084529A1 (zh)

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110674169A (zh) * 2019-08-30 2020-01-10 北京浪潮数据技术有限公司 一种网站数据库的保护方法及相关装置
CN111262719A (zh) * 2018-12-03 2020-06-09 阿里巴巴集团控股有限公司 信息显示方法、设备及存储介质
CN111818050A (zh) * 2020-07-08 2020-10-23 腾讯科技（深圳）有限公司 目标访问行为检测方法、系统、装置、设备及存储介质
CN112753023A (zh) * 2018-10-26 2021-05-04 深圳市欢太科技有限公司 数据处理方法、装置、电子设备及计算机可读取存储介质
CN112839014A (zh) * 2019-11-22 2021-05-25 北京数安鑫云信息技术有限公司 建立识别异常访问者模型的方法、系统、设备及介质
CN113660257A (zh) * 2021-08-13 2021-11-16 北京知道创宇信息技术股份有限公司 请求拦截方法、装置、电子设备和计算机可读存储介质
CN113904839A (zh) * 2021-09-30 2022-01-07 杭州数梦工场科技有限公司 访问请求管理方法及装置
US11240258B2 (en) 2015-11-19 2022-02-01 Alibaba Group Holding Limited Method and apparatus for identifying network attacks
CN114189383A (zh) * 2021-12-10 2022-03-15 中国建设银行股份有限公司 封禁方法、装置、电子设备、介质和计算机程序产品
CN115296941A (zh) * 2022-10-10 2022-11-04 北京知其安科技有限公司 检测流量安全监测设备的方法、攻击请求生成方法及设备
CN116467505A (zh) * 2022-12-23 2023-07-21 深信服科技股份有限公司 一种数据采集方法、装置、设备及计算机可读存储介质

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107241352B (zh) * 2017-07-17 2020-01-21 浙江鹏信信息科技股份有限公司 一种网络安全事件分类与预测方法及系统
CN108234342B (zh) * 2018-01-25 2021-08-13 北京搜狐新媒体信息技术有限公司 基于设备指纹的Nginx动态主动限流方法及系统
CN108234341B (zh) * 2018-01-25 2021-06-11 北京搜狐新媒体信息技术有限公司 基于设备指纹的Nginx动态被动限流方法及系统
CN109446398A (zh) * 2018-11-06 2019-03-08 杭州安恒信息技术股份有限公司 智能检测网络爬虫行为的方法、装置以及电子设备
CN110109812A (zh) * 2019-05-10 2019-08-09 广州英睿科技有限公司 访问日志数据的统计方法、装置、计算机设备和存储介质
CN110958261A (zh) * 2019-12-13 2020-04-03 微创(上海)网络技术股份有限公司 一种网络攻击全面检测及应对方法
CN111782917B (zh) * 2020-08-20 2024-10-18 支付宝(杭州)信息技术有限公司 用于对金融处罚数据进行可视化分析的方法及装置
CN112583819B (zh) * 2020-12-08 2023-03-24 支付宝(杭州)信息技术有限公司 一种网络接口状态检测方法、装置及设备
CN112953938B (zh) * 2021-02-20 2023-04-28 百度在线网络技术（北京）有限公司 网络攻击防御方法、装置、电子设备及可读存储介质
CN113612727B (zh) * 2021-06-24 2023-04-18 北京华云安信息技术有限公司 攻击ip识别方法、装置、设备和计算机可读存储介质
CN113783892B (zh) * 2021-09-28 2023-04-07 北京天融信网络安全技术有限公司 反射攻击检测方法、系统、设备及计算机可读存储介质
US11425099B1 (en) * 2022-03-08 2022-08-23 Uab 360 It Managing data communication in a virtual private network
CN114884671B (zh) * 2022-04-21 2024-04-26 微位（深圳）网络科技有限公司 服务器的入侵防御方法、装置、设备及介质
CN115913784B (zh) * 2023-01-05 2023-08-08 阿里巴巴（中国）有限公司 一种网络攻击防御系统、方法、装置及电子设备
CN115883254B (zh) * 2023-01-28 2023-05-23 北京亿赛通科技发展有限责任公司 一种DoS攻击防御方法、装置、电子设备及存储介质
CN119135439B (zh) * 2024-11-08 2025-02-07 深圳市常行科技有限公司 一种网络安全攻击溯源方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101267313A (zh) * 2008-04-23 2008-09-17 华为技术有限公司 泛洪攻击检测方法及检测装置
CN102821081A (zh) * 2011-06-10 2012-12-12 中国电信股份有限公司 监测小流量ddos攻击的方法和系统
KR20140051550A (ko) * 2012-10-23 2014-05-02 주식회사 프라이머리넷 네트워크 트래픽 제어 시스템
CN104125193A (zh) * 2013-04-24 2014-10-29 中国民航大学 基于混沌Dufing振子的LDDoS攻击检测方法
CN104378358A (zh) * 2014-10-23 2015-02-25 河北省电力建设调整试验所 一种基于服务器日志的HTTP Get Flood攻击防护方法

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002071227A1 (en) * 2001-03-01 2002-09-12 Cyber Operations, Llc System and method for anti-network terrorism
WO2003019404A1 (en) * 2001-08-30 2003-03-06 Riverhead Networks Inc. Protecting against distributed denial of service attacks
DE10259915A1 (de) 2002-12-20 2004-07-15 Ballies, Uwe, Dr.med. Filterelement für eine Klärvorrichtung zur biologischen Reinigung von Wasser
KR100656340B1 (ko) 2004-11-20 2006-12-11 한국전자통신연구원 비정상 트래픽 정보 분석 장치 및 그 방법
US20060294588A1 (en) * 2005-06-24 2006-12-28 International Business Machines Corporation System, method and program for identifying and preventing malicious intrusions
US9055093B2 (en) 2005-10-21 2015-06-09 Kevin R. Borders Method, system and computer program product for detecting at least one of security threats and undesirable computer files
US8079080B2 (en) * 2005-10-21 2011-12-13 Mathew R. Syrowik Method, system and computer program product for detecting security threats in a computer network
US20080083029A1 (en) * 2006-09-29 2008-04-03 Alcatel Intelligence Network Anomaly Detection Using A Type II Fuzzy Neural Network
US8056115B2 (en) * 2006-12-11 2011-11-08 International Business Machines Corporation System, method and program product for identifying network-attack profiles and blocking network intrusions
US8281405B1 (en) * 2007-06-13 2012-10-02 Mcafee, Inc. System, method, and computer program product for securing data on a server based on a heuristic analysis
US8356001B2 (en) 2009-05-19 2013-01-15 Xybersecure, Inc. Systems and methods for application-level security
CN102457489B (zh) * 2010-10-26 2015-11-25 中国民航大学 Low-rate DoS(LDoS)攻击、检测和防御模块
JP5674414B2 (ja) * 2010-10-27 2015-02-25 株式会社ビデオリサーチ アクセスログマッチングシステム及びアクセスログマッチング方法
US9038178B1 (en) * 2012-06-25 2015-05-19 Emc Corporation Detection of malware beaconing activities
CN104113519B (zh) * 2013-04-16 2017-07-14 阿里巴巴集团控股有限公司 网络攻击检测方法及其装置
US9577898B1 (en) * 2013-12-31 2017-02-21 Narus, Inc. Identifying IP traffic from multiple hosts behind a network address translation device
US20160036837A1 (en) * 2014-08-04 2016-02-04 Microsoft Corporation Detecting attacks on data centers
CN104486298B (zh) 2014-11-27 2018-03-09 小米科技有限责任公司 识别用户行为的方法及装置
CN104468554A (zh) * 2014-11-28 2015-03-25 北京奇虎科技有限公司 基于ip和host的攻击检测方法和装置
US10057283B2 (en) * 2015-02-17 2018-08-21 Accenture Global Solutions Limited Volumetric event forecasting tool
JP6693505B2 (ja) * 2015-03-03 2020-05-13 日本電気株式会社 ログ解析システム、解析装置、解析方法、および解析用プログラム
CN104935609A (zh) * 2015-07-17 2015-09-23 北京京东尚科信息技术有限公司 网络攻击检测方法及检测设备
CN105187396A (zh) * 2015-08-11 2015-12-23 小米科技有限责任公司 识别网络爬虫的方法及装置
US9774619B1 (en) * 2015-09-24 2017-09-26 Amazon Technologies, Inc. Mitigating network attacks
CN106649370B (zh) * 2015-10-30 2019-12-03 北京国双科技有限公司 网站访问信息的获取方法及装置
CN106789831B (zh) 2015-11-19 2020-10-23 阿里巴巴集团控股有限公司 识别网络攻击的方法和装置
US10887341B2 (en) * 2017-03-06 2021-01-05 Radware, Ltd. Detection and mitigation of slow application layer DDoS attacks

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101267313A (zh) * 2008-04-23 2008-09-17 华为技术有限公司 泛洪攻击检测方法及检测装置
CN102821081A (zh) * 2011-06-10 2012-12-12 中国电信股份有限公司 监测小流量ddos攻击的方法和系统
KR20140051550A (ko) * 2012-10-23 2014-05-02 주식회사 프라이머리넷 네트워크 트래픽 제어 시스템
CN104125193A (zh) * 2013-04-24 2014-10-29 中国民航大学 基于混沌Dufing振子的LDDoS攻击检测方法
CN104378358A (zh) * 2014-10-23 2015-02-25 河北省电力建设调整试验所 一种基于服务器日志的HTTP Get Flood攻击防护方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3379788A4 *

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11240258B2 (en) 2015-11-19 2022-02-01 Alibaba Group Holding Limited Method and apparatus for identifying network attacks
CN112753023A (zh) * 2018-10-26 2021-05-04 深圳市欢太科技有限公司 数据处理方法、装置、电子设备及计算机可读取存储介质
CN111262719A (zh) * 2018-12-03 2020-06-09 阿里巴巴集团控股有限公司 信息显示方法、设备及存储介质
CN110674169B (zh) * 2019-08-30 2022-06-10 北京浪潮数据技术有限公司 一种网站数据库的保护方法及相关装置
CN110674169A (zh) * 2019-08-30 2020-01-10 北京浪潮数据技术有限公司 一种网站数据库的保护方法及相关装置
CN112839014A (zh) * 2019-11-22 2021-05-25 北京数安鑫云信息技术有限公司 建立识别异常访问者模型的方法、系统、设备及介质
CN112839014B (zh) * 2019-11-22 2023-09-22 北京数安鑫云信息技术有限公司 建立识别异常访问者模型的方法、系统、设备及介质
CN111818050A (zh) * 2020-07-08 2020-10-23 腾讯科技（深圳）有限公司 目标访问行为检测方法、系统、装置、设备及存储介质
CN111818050B (zh) * 2020-07-08 2024-01-19 腾讯科技（深圳）有限公司 目标访问行为检测方法、系统、装置、设备及存储介质
CN113660257A (zh) * 2021-08-13 2021-11-16 北京知道创宇信息技术股份有限公司 请求拦截方法、装置、电子设备和计算机可读存储介质
CN113904839A (zh) * 2021-09-30 2022-01-07 杭州数梦工场科技有限公司 访问请求管理方法及装置
CN114189383A (zh) * 2021-12-10 2022-03-15 中国建设银行股份有限公司 封禁方法、装置、电子设备、介质和计算机程序产品
CN114189383B (zh) * 2021-12-10 2024-04-30 中国建设银行股份有限公司 封禁方法、装置、电子设备、介质和计算机程序产品
CN115296941A (zh) * 2022-10-10 2022-11-04 北京知其安科技有限公司 检测流量安全监测设备的方法、攻击请求生成方法及设备
CN116467505A (zh) * 2022-12-23 2023-07-21 深信服科技股份有限公司 一种数据采集方法、装置、设备及计算机可读存储介质

Also Published As

Publication number Publication date
CN106789831B (zh) 2020-10-23
US11240258B2 (en) 2022-02-01
EP3379788A4 (en) 2018-12-19
EP3379788A1 (en) 2018-09-26
CN106789831A (zh) 2017-05-31
US20180278638A1 (en) 2018-09-27
US20220116412A1 (en) 2022-04-14
EP3379788B1 (en) 2022-06-22
JP2018536351A (ja) 2018-12-06
JP6921069B2 (ja) 2021-08-18

Similar Documents

Publication Publication Date Title
CN106789831B (zh) 识别网络攻击的方法和装置
CN108345642B (zh) 采用代理ip爬取网站数据的方法、存储介质和服务器
US12158889B2 (en) Query engine for remote endpoint information retrieval
CN108881120B (zh) 一种基于区块链的数据处理方法及设备
US11716337B2 (en) Systems and methods of malware detection
CN109150930B (zh) 配置信息加载方法及装置、业务处理方法及装置
CN110489315B (zh) 一种操作请求的跟踪方法、跟踪装置及服务器
CN105095423B (zh) 计数数据写入方法和装置
WO2017028696A1 (zh) 分布式存储系统的负载监控方法及设备
CN114710318B (zh) 一种限制爬虫高频访问的方法、装置、设备及介质
CN105991511A (zh) 一种检测cc攻击的方法及设备
CN106911636B (zh) 一种检测网站是否存在后门程序的方法及装置
CN109743309B (zh) 一种非法请求识别方法、装置及电子设备
CN106911635B (zh) 一种检测网站是否存在后门程序的方法及装置
EP3924851B1 (en) Detecting second-order security vulnerabilities via modelling information flow through persistent storage
WO2025236641A1 (zh) 安全检测
WO2020019514A1 (zh) 一种注入漏洞检测方法及装置
CN108073607B (zh) Url处理方法及装置
CN110647568A (zh) 一种图数据库数据转化为编程语言数据方法及装置
CN107330327A (zh) 感染文件检测方法、服务器、处理方法、装置和检测系统
CN107360199B (zh) 僵尸网络识别方法及装置
CN118018220A (zh) 基于威胁情报的虚拟币恶意挖矿的实时检测方法以及装置
CN106776652A (zh) 数据处理方法及装置
CN115017193A (zh) 数据读取方法及装置、电子设备和存储介质
HK40057938B (zh) 自适应事件聚合

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16865706

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2018523793

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2016865706

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2016865706

Country of ref document: EP

Effective date: 20180619