CN116192527B 攻击流量检测规则生成方法、装置、设备及存储介质 （鹏城实验室）

本申请公开了一种攻击流量检测规则生成2获取异常流量所携带的数据包，基于预设分类模型，从所述将所述恶意特征和所述相关恶意特征组成的集合映射至相应的规则规则。基于所述中间标注字节在所述标注字节序列中所处的位置，确定恶意字节的位置信根据所述恶意特征和预设攻击模板，确定所述恶意特征的位根据所述流数据处理后得到的应用层数据，将所述应用层数据所述基于预设分类模型，所述数据包中确定3将所述恶意特征和所述相关恶意特征作为单个或多个攻击流量的恶8.一种攻击流量检测规则生成装置，其特征在确定模块，用于根据所述恶意特征和预设攻击模板，确定与所生成模块，用于将所述恶意特征和所述相关恶意特征组成的集检测规则生成程序配置为实现如权利要求1至7中任一项所述的攻击流量检测规则生成方量检测规则生成程序，所述攻击流量检测规则生成程序被处理器执行时实现如权利要求14确地识别攻击流量并为其生成检测规则。[0008]根据所述恶意特征和预设攻击模板，确定与所述恶意特[0009]将所述恶意特征和所述相关恶意特征组成的集合映射至入侵检测系统中的规则[0014]在本申请的一种可能的实施方式中，所述根据所述标注字节序列的多个标注类5[0023]所述基于预设分类模型，所述数据包中确定属于攻击流将所述第一字节序列转化为属于攻击流量的字符串序列。[0030]将所述恶意特征和所述相关恶意特征作为单个或多个攻6检测规则生成方法的程序被处理器执行时可实现如上述所述攻击流量检测规则生成方法则。[0043]图4为本申请攻击流量检测规则生成方法中的预设分类模型和预设标注模型的工[0050]步骤S40，将所述恶意特征和所述相关恶意特征组成的集合映射至相应的规则关7[0058]作为一种示例，预设分类模型具体为字节流分类模型，字节流分类模型采用token_free的方法进行对输入的字节进行为判定为攻击流量的字节序列，在预设分类模型判定攻击流量得到第一字节序列的过程8[0070]作为一种示例，客户端发出的消息数据叫HTTP请求消息/HTTP请求报文，由请求设攻击模板将数据包处理为应用层数据，通过对应用层数据的HTTP请求和响应进行分析，并将应用层数据构建为树结构，按照HTTP协议格式将应用层数据拆分为请求/响应行、请提取与恶意特征所属根节点相邻的兄弟节点和点对应的树结构中的http_uri和http_m[0084]步骤S40，将所述恶意特征和所述相关恶意特征组成的集合映射至相应的规则关9[0086]作为一种示例，通过将恶意特征与相关恶意特征的集合从而生成检测规则。[0088]步骤S41，将所述恶意特征和所述相关恶意特征作为单个或多个攻击流量的恶意数据的HTTP请求或者响应数据划分为多个字符串列表项，判断遍历列表的过程是否结束，[0110]作为一种示例，由于4种标注类型在字节中的位置，可以确定中间标注字节的位[0115]作为一种示例，为应对IP分片和TCP分段以逃避攻击检测情况，实现对IP分片和TCP分段情况的流重组(五元组、双向流)，[0121]所述基于预设分类模型，所述数据包中确定属于攻击流量的第一字节序列的步RF（RadioFrequency，射频）电路，传感器、WiFi模块等等。用户接口可以包括显示屏[0137]本领域技术人员可以理解，图3中示出的攻击流量检测规则生成设备结构并不构[0139]在图3所示的攻击流量检测规则生成设备中，处理器1001用于执行存储器1005中[0140]本申请攻击流量检测规则生成设备具体实施方式与上述攻击流量检测规则生成[0152]第二确定子单元，用于基于所述中间标注字节在所述标注字节序列中所处的位