[发明专利]基于对象分析的攻击识别方法及装置

摘要

本发明公开了一种基于对象分析的攻击识别方法及装置。其中的方法包括：构建特征库，所述特征库包括多条特征表达式，每条特征表达式具有对象的属性；构建多模库，所述多模库包括多条关键字，每条关键字具有对象的属性；所述多模库中的关键字与所述特征库中的一条或多条特征表达式具有映射关系，具有映射关系的关键字与特征表达式具有相同的属性；基于所述特征库及所述多模库，对解析消息后获得的对象的数据进行匹配，确定是否存在攻击。本发明基于对象进行有针对性的过滤，且通过多模库与特征库结合的方式，可以将大部分安全数据进行过滤，而不需要对大部分数据进行繁琐的字符匹配，从而显著提高检测效率。

主权项

1.一种基于对象分析的攻击识别方法，其特征在于，包括：构建特征库，所述特征库包括多条特征表达式，每条特征表达式具有对象的属性；构建多模库，所述多模库包括多条关键字，每条关键字具有对象的属性；所述多模库中的关键字与所述特征库中的一条或多条特征表达式具有映射关系，具有映射关系的关键字与特征表达式具有相同的属性；基于所述特征库及所述多模库，对解析消息后获得的对象的数据进行匹配，确定是否存在攻击；所述基于所述特征库及所述多模库，对解析消息后获得的对象的数据进行匹配，确定是否存在攻击包括：对获取的消息进行协议分析，解析获得一个或多个对象的数据；针对所述对象的数据，利用多模库进行多模匹配，如果匹配到针对该对象的关键字，则进行后续步骤，否则确定不存在攻击；从特征库中匹配是否存在针对该对象的、与匹配的关键字具有映射关系的特征表达式，如果没有匹配到特征表达式，则确定不存在攻击，否则进行后续步骤；基于所述针对该对象的、与匹配的关键字对应的特征表达式，对该对象的数据进行规则匹配，如果匹配成功，则确定存在攻击，否则确定不存在攻击；其中：所述多模库根据所述特征库构建，每一条关键字代表一个模式。