[发明专利]一种基于日志分析的网络攻击检测方法及装置

说明书

本发明提供了一种基于日志分析的网络攻击检测方法及装置，涉及网络信息安全技术领域。方法包括：读取待检测的服务器日志文件，获取待检测的服务器日志文件对应的主机的网络地址、服务器端口号、应用类型及故障类型，根据待检测的服务器日志文件的头部格式信息判断服务器日志采用的格式类型；根据服务器日志采用的格式类型、待检测主机的网络地址、服务器端口号、应用类型及故障类型，与预先设置的场景类型进行匹配，确定待检测的服务器日志文件对应的扫描场景；从预先设置的策略库中选取与扫描场景唯一对应的扫描策略；根据扫描策略对待检测的服务器日志文件进行扫描，生成日志安全扫描结果；根据预先设置的文件格式输出日志安全扫描结果、扫描场景及扫描策略。

技术领域

本发明涉及网络信息安全技术领域，尤其涉及一种基于日志分析的网络攻击检测方法及装置。

背景技术

当前，随着网络信息技术的不断发展，网络服务器等也同样面对各种类型的攻击。为了保证网络服务器等的安全，一般需要进行网络攻击检测。例如，针对网页服务器的网络攻击检测主要可以分为事前检测和事后检测，其中事前检测是通过预设的安全策略，对具有恶意行为特征的网络访问行为进行识别，以实现对网络入侵行为的预警和阻断。事前检测主要包括软件检测和硬件检测，其中软件检测主要包括各类终端安全防御软件、专用杀毒软件等；硬件检测主要通过专用的安全设备完成，安全设备除了包括传统的防火墙，还包括入侵检测系统、入侵防御系统、网络安全扫描设备等。另外，事后检测也可以通过软件或硬件完成，其主要原理是通过识别网络攻击者在完成攻击行为过程中留下的痕迹，实现识别网络攻击的目的，继而推断出网络攻击者的攻击路径，对特定的安全风险点进行封堵，避免同类入侵的再次发生。可能发现攻击者痕迹的位置主要包括服务器端口配置、网络设备路由配置、防火墙策略配置、网络设备日志、服务器日志、服务器软件配置、数据库数据、操作系统配置等。其中服务器端口配置、网络设备路由配置、防火墙策略配置、服务器软件配置的痕迹属于静态痕迹，可以体现入侵者攻击后的系统状态；服务器日志和网络设备日志则属于动态记录，可以体现出网络攻击进行过程中的一系列操作或访问行为，可以较为准确的对网络攻击者的行为进行识别，通过静态记录再现攻击过程。

当前电力信息网络同样面对网络攻击检测的问题，而网络安全检查的重要内容是对单台网页服务器进行安全入侵的事后扫描。由于电力信息网络安全设计的独特性，不允许在检测过程中对当前的网络结构进行改变，因此无法使用硬件接入型的网络安全设备进行扫描。另外由于网络结构和对外提供的服务类型相对固定，电力信息网络单台服务器安全检测的环境较为单一。可见，当前如何对电力信息网络进行网络攻击检测成为了一个亟待解决的问题。

发明内容

本发明的实施例提供一种基于日志分析的网络攻击检测方法及装置，以实现对电力信息网络进行网络攻击检测。

为达到上述目的，本发明采用如下技术方案：

一种基于日志分析的网络攻击检测方法，包括：

读取待检测的服务器日志文件，获取待检测的服务器日志文件对应的主机的网络地址、服务器端口号、应用类型及故障类型，根据待检测的服务器日志文件的头部格式信息判断服务器日志采用的格式类型；

根据所述服务器日志采用的格式类型、待检测主机的网络地址、服务器端口号、应用类型及故障类型，与预先设置的场景类型进行匹配，确定待检测的服务器日志文件对应的扫描场景；

从预先设置的策略库中选取与所述扫描场景唯一对应的扫描策略；所述扫描策略用于表示扫描过程中所应用的扫描逻辑；

根据所述扫描策略对所述待检测的服务器日志文件进行扫描，生成日志安全扫描结果；

根据预先设置的文件格式输出所述日志安全扫描结果、所述扫描场景及扫描策略。