[发明专利]一种基于语境分析的Web攻击检测方法

说明书

本发明涉及一种基于语境分析的Web攻击检测方法，所述Web攻击检测方法包括：数据预处理步骤：根据Esprima对JavaScript代码的词法进行解析和语法分析，得到抽象语法树，并将每一行作为一个语法单元，进而将一个JavaScript代码文件解析成语法单元序列；特征提取步骤：使用动态词嵌入模型得到语法单元序列的语境表征，转换为具有真实上下文信息的动态词向量；对象分类步骤：根据TextCNN模型进行对语法单元进行分类。本发明的优点在于：充分利用代码信息，获取源代码解析成语法单元序列的详细信息。现有的技术只是提取代码的节点信息，但本发明充分利用了代码信息，可以获得较好的检测效果。

技术领域

本发明涉及网络监测技术领域，尤其涉及一种基于语境分析的Web攻击检测方法。

背景技术

随着互联网对我们生活的不断渗透，人们已经越来越习惯于使用Web网站与Web应用，通过Web浏览新闻、消费购物、传递信息等等。这样的变化在是我们的生活更加方便的同时也带来了信息安全的隐患：某些攻击者在不法利益的驱使下，将攻击目标转向了Web网站。据Symantec信息安全公司发布的《2019年网络安全报告》显示，全球每天有数万网站受到黑客攻击，而JavaScript(JS)作为web开发中占据统治地位的编程语言，绝大多数的web攻击都是利用JS发起的。此外，越来越多的恶意JS代码使用了混淆技术以逃避检测。因此，如何高效检测出恶意JavaScript代码是预防web攻击的必要途径。

目前已有大量相关研究工作对JS代码进行检测分析来解决web安全中的恶意代码问题。现有的检测方法可以分为两类：基于代码内容和结构的静态分析；基于执行结果的动态分析。与静态分析相比，动态分析方法往往需要更多的资源和执行时间。然而现有的静态分析方法都是基于静态词嵌入的语义分析，代码的二义性得不到解决，进而不能有效监测混淆代码。如基于语义分析的恶意JS代码检测方法(DOI：10.1016/J.COSE.2020.101764)和基于段落向量的恶意JS代码检测方法(DOI：10.1016/j.asoc.2019.105721)等。但是无论是基于语义分析还是段落向量的检测方法，都只利用代码的语义信息并使用静态词嵌入技术，不能从根本上解决静态分析时代码的二义性问题，这导致混淆的恶意代码难以检测，且现有的静态检测方法还存在由于对代码信息利用不足导致检测精确度过低的问题。因此，web攻击检测领域依旧需要一种能够准确高效检测混淆恶意代码的方法。

发明内容

本发明的目的在于克服现有技术的缺点，提供了一种基于语境分析的Web攻击检测方法，解决了现有静态检测方法存在的问题。

本发明的目的通过以下技术方案来实现：一种基于语境分析的Web攻击检测方法，所述Web攻击检测方法包括：

数据预处理步骤：根据Esprima对JavaScript代码的词法进行解析和语法分析，得到抽象语法树，并将每一行作为一个语法单元，进而将一个JavaScript代码文件解析成语法单元序列；

特征提取步骤：使用动态词嵌入模型得到语法单元序列的语境表征，转换为具有真实上下文信息的动态词向量；

对象分类步骤：根据TextCNN模型对语法单元进行分类。

所述动态词嵌入模型由Word2Vec和两个双向长短期记忆循环神经网络组成，语法单元序列通过Word2Vec转换为静态词向量并将其输入到长短期记忆循环神经网络中，转换为具有真实上下文信息的动态词向量。

所述特征提取步骤具体包括：

将语法单元序列(u₁,u₂,…,u_N)中每一个语法单元u_s输入到静态词嵌入模型Word2vec中，生成与之相对应的静态词向量x_s，并将其作为动态词嵌入模型的输入；