一种网络攻击识别方法、系统及终端[发明专利]

(12)发明专利申请

(10)申请公布号 CN 110839033 A(43)申请公布日 2020.02.25

(21)申请号 201911125823.6(22)申请日 2019.11.18

(71)申请人 广州安加互联科技有限公司

地址 510220 广东省广州市海珠区琶洲大

道东3号301房(72)发明人 孙奥　刘高　付立明　彭卓　(74)专利代理机构 成都智弘知识产权代理有限

公司 51275

代理人 丁亮　陈春(51)Int.Cl.

H04L 29/06(2006.01)

权利要求书2页 说明书6页 附图2页

(54)发明名称

一种网络攻击识别方法、系统及终端(57)摘要

本申请公开了一种网络攻击识别方法、系统及终端，获取网络攻击行为对应的网络攻击行为数据，将网络攻击行为数据与预设的规则库进行比对，规则库中包括网络攻击行为的大类数据库，每个大类数据库中包含多个小类子数据库，小类子数据库中包含至少一个细类数据，所述大类数据库、小类子数据库，和细类数据均携带有标识ID，标识ID的组合用于识别网络攻击行为类型；根据网络攻击行为数据中包含的大类标识、小类标识和细类标识从预设的规则库中确定出第一细类，确定所述网络攻击行为的类型。提高了工业网络中的攻击行为识别的效率以及准确率，从而提高了工业网络的安全性，使工业网络的攻击行为快速有效地被解决。

CN 110839033 ACN 110839033 A

权　利　要　求　书

1/2页

1.一种网络攻击识别方法，其特征在于，所述方法包括：获取网络攻击行为对应的网络攻击行为数据，所述网络攻击行为数据包括大类标识、小类标识和细类标识；

将所述网络攻击行为数据与预设的规则库进行比对，所述规则库中包括网络攻击行为的大类数据库，每个所述大类数据库中包含多个小类子数据库，所述小类子数据库中包含至少一个细类数据，所述大类数据库、小类子数据库和细类数据均携带有标识ID，所述大类数据库、小类子数据库和细类数据标识ID的组合用于识别所述网络攻击行为类型；

根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一细类，确定所述网络攻击行为的类型，所述第一细类为所述规则库中任意网络攻击行为类型。

2.根据权利要求1所述的网络攻击识别方法，其特征在于，所述获取网络攻击行为对应的网络攻击行为数据包括：

将所述网络攻击行为进行一次语析，确定所述网络攻击行为对应的大类标识；获取所述大类标识中的小类标识；确定所述小类标识中的细类标识；按照顺序依次将所述细类标识、所述小类标识和所述大类标识对所述网络攻击行为进行标识，以使得所述网络攻击行为携带上述三种标识。

3.根据权利要求2所述的网络攻击识别方法，其特征在于，所述将所述网络攻击行为数据与预设的规则库进行比对，包括：

获取所述网络攻击行为数据中的所述大类标识、小类标识和细类标识；根据所述大类标识、小类标识和细类标识与所述规则库中的数据库进行比对。4.根据权利要求3所述的网络攻击识别方法，其特征在于，所述根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一细类，包括：

根据所述网络攻击行为数据的大类标识与所述规则库中的大类进行匹配确定出第一大类数据库，所述第一大类数据库为所述规则库中的任一大类数据库；

根据所述网络攻击行为数据的小类标识在所述第一大类数据库中确定出第一小类数据库，所述第一小类数据库为所述第一大类数据库中的任一小类数据库；

根据所述网络攻击行为数据的细类标识确定第一细类，根据第一细类确定出网络攻击行为类型。

5.根据权利要求4所述的网络攻击识别方法，其特征在于，确定出所述网络攻击行为对应的细类后，生成一个ThreadID，所述ThreadID用于标识所述网络攻击行为的具体名称。

6.一种网络攻击识别系统，其特征在于，所述系统包括：获取模块，用于获取网络攻击行为对应的网络攻击行为数据，所述网络攻击行为数据包括大类标识、小类标识和细类标识；

比对模块，用于将所述网络攻击行为数据与预设的规则库进行比对，所述规则库中包括网络攻击行为的大类数据库，每个所述大类数据库中包含多个小类子数据库，所述小类子数据库中包含至少一个细类数据，所述大类数据库、小类子数据库和细类数据均携带有标识ID，所述大类数据库、小类子数据库和细类数据标识ID的组合用于识别所述网络攻击

2

CN 110839033 A

权　利　要　求　书

2/2页

行为类型；

识别模块，用于根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一细类，确定所述网络攻击行为的类型，所述第一细类为所述规则库中任意网络攻击行为类型。

7.根据权利要求6所述的网络攻击识别系统，其特征在于，所述获取模块包括：第一确定单元，用于将所述网络攻击行为进行一次语析，确定所述网络攻击行为对应的大类标识；

第一获取单元，用于获取所述大类标识中的小类标识；第二确定单元，用于确定所述小类标识中的细类标识；标识单元，用于按照顺序依次将所述细类标识、所述小类标识和所述大类标识对所述网络攻击行为进行标识，以使得所述网络攻击行为携带上述三种标识。

8.根据权利要求7所述的网络攻击识别系统，其特征在于，所述比对模块包括：第二获取单元，用于获取所述网络攻击行为数据中的所述大类标识、小类标识和细类标识；

比对单元，用于根据所述大类标识、小类标识和细类标识与所述规则库中的数据库进行比对。

9.根据权利要求8所述的网络攻击识别系统，其特征在于，所述识别模块包括：第三确定单元，用于根据所述网络攻击行为数据的大类标识与所述规则库中的大类进行匹配确定出第一大类数据库，所述第一大类数据库为所述规则库中的任一大类数据库；

第四确定单元，用于根据所述网络攻击行为数据的小类标识在所述第一大类数据库中确定出第一小类数据库，所述第一小类数据库为所述第一大类数据库中的任一小类数据库；

第五确定单元，用于根据所述网络攻击行为数据的细类标识确定第一细类，根据第一细类确定出网络攻击行为类型。

10.一种终端，其特征在于，包括：处理器；存储器，用于存储计算机可执行指令；

当所述处理器执行所述计算机可执行指令时，所述处理器执行权利要求1-5任一项所述的网络攻击识别方法。

3

CN 110839033 A

说　明　书

一种网络攻击识别方法、系统及终端

1/6页

技术领域

[0001]本申请涉及数据安全技术领域，具体涉及一种网络攻击识别方法、系统及终端。背景技术

[0002]网络攻击是指针对计算机信息系统、基础设施、计算机网络或个人计算机设备的，任何类型的进攻动作。对于计算机和计算机网络来说，破坏、揭露、修改、使软件或服务失去功能、在没有得到授权的情况下偷取或访问任何一计算机的数据，都会被视为于计算机和计算机网络中的攻击。

[0003]随着工业信息化进程的快速推进，信息、网络以及物联网技术在智能电网、智能交通、工业生产系统等工业控制领域得到了广泛的应用，极大地提高了企业的综合效益。为实现系统间的协同和信息分享，工业控制系统也逐渐打破了以往的封闭性：采用标准、通用的通信协议及硬软件系统，甚至有些工业控制系统也能以某些方式连接到互联网等公共网络中。这使得工业控制网络面临病毒、木马、黑客入侵等传统的信息安全威胁。[0004]现有的技术可以在一定程度上解决识别工业网络中的攻击行为问题，但是在识别效率和准确率方面还存在着一定的不足。

发明内容

[0005]本申请为了解决上述技术问题，提出了如下技术方案：[0006]第一方面，本申请实施例提供了一种网络攻击识别方法，所述方法包括：获取网络攻击行为对应的网络攻击行为数据，所述网络攻击行为数据包括大类标识、小类标识和细类标识；将所述网络攻击行为数据与预设的规则库进行比对，所述规则库中包括网络攻击行为的大类数据库，每个所述大类数据库中包含多个小类子数据库，所述小类子数据库中包含至少一个细类数据，所述大类数据库、小类子数据库和细类数据均携带有标识ID，所述大类数据库、小类子数据库和细类数据标识ID的组合用于识别所述网络攻击行为类型；根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一细类，确定所述网络攻击行为的类型，所述第一细类为所述规则库中任意网络攻击行为类型。

[0007]采用上述实现方式，通过对网络攻击进行大类到细类的确定，然后通过与预先设定的规则库进行比对，进而快速识别出当前的网络攻击行为的具体名称。提高了工业网络中的攻击行为识别的效率以及准确率，从而提高了工业网络的安全性，使工业网络的攻击行为快速有效地被解决。[0008]结合第一方面，在第一方面第一种可能的实现方式中，所述获取网络攻击行为对应的网络攻击行为数据包括：将所述网络攻击行为进行一次语析，确定所述网络攻击行为对应的大类标识；获取所述大类标识中的小类标识；确定所述小类标识中的细类标识；按照顺序依次将所述细类标识、所述小类标识和所述大类标识对所述网络攻击行为进行标识，以使得所述网络攻击行为携带上述三种标识。

4

CN 110839033 A[0009]

说　明　书

2/6页

结合第一方面第一种可能的实现方式，在第一方面第二种可能的实现方式中，所

述将所述网络攻击行为数据与预设的规则库进行比对，包括：获取所述网络攻击行为数据中的所述大类标识、小类标识和细类标识；根据所述大类标识、小类标识和细类标识与所述规则库中的数据库进行比对。

[0010]结合第一方面第二种可能的实现方式，在第一方面第三种可能的实现方式中，所述根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一小类，包括：根据所述网络攻击行为数据的大类标识与所述规则库中的大类进行匹配确定出第一大类数据库，所述第一大类数据库为所述规则库中的任一大类数据库；根据所述网络攻击行为数据的小类标识在所述第一大类数据库中确定出第一小类数据库，所述第一小类数据库为所述第一大类数据库中的任一小类数据库；根据所述网络攻击行为数据的细类标识确定第一细类，根据第一细类确定出网络攻击行为类型。[0011]结合第一方面第三种可能的实现方式，在第一方面第四种可能的实现方式中，确定出所述网络攻击行为对应的细类后，生成一个ThreadID，所述ThreadID用于标识所述网络攻击行为的具体名称。[0012]第二方面，本申请实施例提供了一种网络攻击识别系统，所述系统包括：获取模块，用于获取网络攻击行为对应的网络攻击行为数据，所述网络攻击行为数据包括大类标识、小类标识和细类标识；比对模块，用于将所述网络攻击行为数据与预设的规则库进行比对，所述规则库中包括网络攻击行为的大类数据库，每个所述大类数据库中包含多个小类子数据库，所述小类子数据库中包含至少一个细类数据，所述大类数据库、小类子数据库和细类数据均携带有标识ID，所述大类数据库、小类子数据库和细类数据标识ID的组合用于识别所述网络攻击行为类型；识别模块，用于根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一细类，确定所述网络攻击行为的类型，所述第一细类为所述规则库中任意网络攻击行为类型。[0013]结合第二方面，在第二方面第一种可能的实现方式中，所述获取模块包括：第一确定单元，用于将所述网络攻击行为进行一次语析，确定所述网络攻击行为对应的大类标识；第一获取单元，用于获取所述大类标识中的小类标识；第二确定单元，用于确定所述小类标识中的细类标识；标识单元，用于按照顺序依次将所述细类标识、所述小类标识和所述大类标识对所述网络攻击行为进行标识，以使得所述网络攻击行为携带上述三种标识。[0014]结合第二方面第一种可能的实现方式，在第二方面第二种可能的实现方式中，所述比对模块包括：第二获取单元，用于获取所述网络攻击行为数据中的所述大类标识、小类标识和细类标识；比对单元，用于根据所述大类标识、小类标识和细类标识与所述规则库中的数据库进行比对。

[0015]结合第二方面第二种可能的实现方式，在第二方面第三种可能的实现方式中，所述识别模块包括：第三确定单元，用于根据所述网络攻击行为数据的大类标识与所述规则库中的大类进行匹配确定出第一大类数据库，所述第一大类数据库为所述规则库中的任一大类数据库；第四确定单元，用于根据所述网络攻击行为数据的小类标识在所述第一大类数据库中确定出第一小类数据库，所述第一小类数据库为所述第一大类数据库中的任一小类数据库；第五确定单元，用于根据所述网络攻击行为数据的细类标识确定第一细类，根据第一细类确定出网络攻击行为类型。

5

CN 110839033 A[0016]

说　明　书

3/6页

第三方面，本申请实施例提供了一种终端，包括：处理器；存储器，用于存储计算机

可执行指令；当所述处理器执行所述计算机可执行指令时，所述处理器执行第一方面或第一方面任一可能实现方式所述的网络攻击识别方法。

附图说明

[0017]图1为本申请实施例提供的一种网络攻击识别方法的流程示意图；[0018]图2为本申请实施例提供的一种规则库的示意图；

[0019]图3为本申请实施例提供的一种网络攻击识别系统的示意图；[0020]图4为本申请实施例提供的一种终端的示意图。

具体实施方式

[0021]下面结合附图与具体实施方式对本方案进行阐述。

[0022]图1为本申请实施例提供的一种网络攻击识别方法的流程示意图，参见图1，所述网络攻击识别方法包括：[0023]S101，获取网络攻击行为对应的网络攻击行为数据。

[0024]本申请实施例中所述网络攻击行为数据包括大类标识、小类标识和细类标识。本实施例中，当获取网络攻击行为之后，将所述网络攻击行为进行一次语析，确定所述网络攻击行为对应的大类标识。获取所述大类标识中的小类标识，确定所述小类标识中的细类标识，按照顺序依次将所述细类标识、所述小类标识和所述大类标识对所述网络攻击行为进行标识，以使得所述网络攻击行为携带上述三种标识。[0025]S102，将所述网络攻击行为数据与预设的规则库进行比对。[0026]所述规则库是预先设置的，所述规则库中包括网络攻击行为的大类数据库，每个所述大类数据库中包含多个小类子数据库，所述小类子数据库中包含至少一个细类数据，所述大类数据库、小类子数据库和细类数据均携带有标识ID，所述大类数据库、小类子数据库和细类数据标识ID的组合用于识别所述网络攻击行为类型。[0027]具体地，获取所述网络攻击行为数据中的所述大类标识、小类标识和细类标识，根据所述大类标识、小类标识和细类标识与所述规则库中的数据库进行比对。[0028]如图2所示，为本申请实施例提供的一种规则库的示意图，图2中大类标示有10(木马病毒)、11(蠕虫攻击)、12(Web攻击)、13(网路攻击)、14(数据库攻击)、15(网络探测)、16(移动网络恶意程序)、17(平台攻击)和18(工业设备攻击)等，其中示意的在大类标示12下的小类01(SQL注入)、02(XSS攻击)、03(文件上传漏洞)、04(暴力破解)、05(CSRF攻击)和06(拒绝服务器攻击)，在小类02(XSS攻击)下包含细类01(反射型XSS攻击)、02(存储型XSS攻击)和03(DOM-based型XSS攻击)。[0029]S103，根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一细类，确定所述网络攻击行为的类型。

[0030]本申请实施例中的所述第一细类为所述规则库中任意网络攻击行为类型。具体地，本申请实施例根据所述网络攻击行为数据的大类标识与所述规则库中的大类进行匹配确定出第一大类数据库，所述第一大类数据库为所述规则库中的任一大类数据库。根据所述网络攻击行为数据的小类标识在所述第一大类数据库中确定出第一小类数据库，所述第

6

CN 110839033 A

说　明　书

4/6页

一小类数据库为所述第一大类数据库中的任一小类数据库。根据所述网络攻击行为数据的细类标识确定第一细类，根据第一细类确定出网络攻击行为类型。[0031]以S102中的规则库为例，如果根据比对确定出网络攻击书库中包含的大类标识-小类标识-细类标识为12-02-02，则可以确定网络攻击行为为存储型XSS攻击。进而可以迅速精确的获得网络攻击的名称，则无需对其进行复杂的解析。[0032]确定出所述网络攻击行为对应的细类后，生成一个ThreadID，所述ThreadID用于标识所述网络攻击行为的具体名称。例如上述确定出网络攻击的具体名称后，生成ThreadID 12-02-02，通过ThreadID则可以迅速获得网络攻击行为的具体名称。[0033]由上述实施例可知，本申请实施例提供了一种网络攻击识别方法，通过对网络攻击进行大类到细类的确定，然后通过与预先设定的规则库进行比对，进而快速识别出当前的网络攻击行为的具体名称。提高了工业网络中的攻击行为识别的效率以及准确率，从而提高了工业网络的安全性，使工业网络的攻击行为快速有效地被解决。[0034]与上述实施例提供的一种网络攻击识别方法相对应，本申请还提供了一种网络攻击识别系统的实施例。[0035]参见图3，所述网络攻击识别系统20包括：获取模块201、比对模块202和识别模块203。

[0036]所述获取模块201，用于获取网络攻击行为对应的网络攻击行为数据，所述网络攻击行为数据包括大类标识、小类标识和细类标识。[0037]具体地，所述获取模块201包括：第一确定单元、第一获取单元、第二确定单元和标识单元。

[0038]所述第一确定单元，用于将所述网络攻击行为进行一次语析，确定所述网络攻击行为对应的大类标识。所述第一获取单元，用于获取所述大类标识中的小类标识。所述第二确定单元，用于确定所述小类标识中的细类标识。所述标识单元，用于按照顺序依次将所述细类标识、所述小类标识和所述大类标识对所述网络攻击行为进行标识，以使得所述网络攻击行为携带上述三种标识。[0039]所述比对模块202，用于将所述网络攻击行为数据与预设的规则库进行比对，所述规则库中包括网络攻击行为的大类数据库，每个所述大类数据库中包含多个小类子数据库，所述小类子数据库中包含至少一个细类数据，所述大类数据库、小类子数据库和细类数据均携带有标识ID，所述大类数据库、小类子数据库和细类数据标识ID的组合用于识别所述网络攻击行为类型。[0040]进一步地，所述比对模块包括：第二获取单元和比对单元。[0041]所述第二获取单元，用于获取所述网络攻击行为数据中的所述大类标识、小类标识和细类标识。所述比对单元，用于根据所述大类标识、小类标识和细类标识与所述规则库中的数据库进行比对。

[0042]所述识别模块203，用于根据所述网络攻击行为数据中包含的大类标识、小类标识和细类标识从所述预设的规则库中确定出第一细类，确定所述网络攻击行为的类型，所述第一细类为所述规则库中任意网络攻击行为类型。[0043]本申请实施例中，所述识别模块包括：第三确定单元、第四确定单元和第五确定单元。

7

CN 110839033 A[0044]

说　明　书

5/6页

所述第三确定单元，用于根据所述网络攻击行为数据的大类标识与所述规则库中

的大类进行匹配确定出第一大类数据库，所述第一大类数据库为所述规则库中的任一大类数据库。所述第四确定单元，用于根据所述网络攻击行为数据的小类标识在所述第一大类数据库中确定出第一小类数据库，所述第一小类数据库为所述第一大类数据库中的任一小类数据库。所述第五确定单元，用于根据所述网络攻击行为数据的细类标识确定第一小类，根据第一小类确定出网络攻击行为类型。[0045]本申请实施例还提供可一种终端，参见图4，所述终端30包括：处理器301、存储器302和通信接口303。[0046]在图4中，处理器301、存储器302和通信接口303可以通过总线相互连接；总线可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

[0047]处理器301通常是控制终端30的整体功能，例如终端的启动、以及终端启动后对网络攻击行为对应的网络攻击行为数据的获取、将所述网络攻击行为数据与预设的规则库进行比对和对网络攻击行为的准确识别。此外，处理器301可以是通用处理器，例如，处理器(英文：central processing unit，缩写：CPU)，网络处理器(英文：network processor，缩写：NP)或者CPU和NP的组合。处理器也可以是微处理器(MCU)。处理器还可以包括硬件芯片。上述硬件芯片可以是专用集成电路(ASIC)，可编程逻辑器件(PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(CPLD)，现场可编程逻辑门阵列(FPGA)等。

[0048]存储器302被配置为存储计算机可执行指令以支持终端30数据的操作。存储器301可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。[0049]启动终端30后，处理器301和存储器302上电，处理器301读取并执行存储在存储器302内的计算机可执行指令，以完成上述的网络攻击识别方法实施例中的全部或部分步骤。[0050]通信接口303用于终端30传输数据，例如实现与规则库的数据通信和数据访问。通信接口303包括有线通信接口，还可以包括无线通信接口。其中，有线通信接口包括USB接口、Micro USB接口，还可以包括以太网接口。无线通信接口可以为WLAN接口，蜂窝网络通信接口或其组合等。

[0051]在一个示意性实施例中，本申请实施例提供的终端30还包括电源组件，电源组件为终端30的各种组件提供电力。电源组件可以包括电源管理系统，一个或多个电源，及其他与为终端30生成、管理和分配电力相关联的组件。[0052]通信组件，通信组件被配置为便于终端30和其他设备之间有线或无线方式的通信。终端30可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。通信组件经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。通信组件还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。[0053]在一个示意性实施例中，终端30可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、终端、微终端、处理器或其他电子元件实现。

8

CN 110839033 A[0054]

说　明　书

6/6页

本申请说明书中各个实施例之间相同相似的部分互相参见即可。尤其，对于系统

及终端实施例而言，由于其中的方法基本相似于方法的实施例，所以描述的比较简单，相关之处参见方法实施例中的说明即可。[0055]需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。[0056]当然，上述说明也并不仅限于上述举例，本申请未经描述的技术特征可以通过或采用现有技术实现，在此不再赘述；以上实施例及附图仅用于说明本申请的技术方案并非是对本申请的，如来替代，本申请仅结合并参照优选的实施方式进行了详细说明，本领域的普通技术人员应当理解，本技术领域的普通技术人员在本申请的实质范围内所做出的变化、改型、添加或替换都不脱离本申请的宗旨，也应属于本申请的权利要求保护范围。

9

CN 110839033 A

说　明　书　附　图

1/2页

图1

图2

10

CN 110839033 A

说　明　书　附　图

2/2页

图3

图4

11