刘畅

1  引言

众所周知，信息社会早已进入Web2.0时代，Web应用的安全至关重要，部署Web应用防火墙（WAF）已经成为对Web应用进行安全防护的重要方法。传统的WAF，依赖规则和黑白名单的方式对Web攻击进行检测，该方式过分依赖安全人员的知识广度，针对未知攻击类型无可奈何。另一方面，即使是已知的攻击类型，由于正则表达式天生的局限性，以及shell、php等语言极其灵活的语法，理论上存在规则被绕过的可能。因此，误拦和漏拦是传统WAF与生俱来的缺陷，而提高检测准确性的代价就是添加更多精细化的规则，由此导致传统WAF陷入一个永无止境打补丁的漩涡，拖累了整体性能。

针对上述问题，目前工业界和学术界主要从机器学习方向着手展开研究。在本文中，我们首先介绍了Web攻击特征提取的三种常用方法以及各自的优缺点，然后选择其中效果最佳的分词方式，并基于该方式训练MLP模型，利用该模型对Web攻击进行检测，根据实验结果表明，使用该模型可以显著增强开源防火墙ModSecurity的检测精确性，最后总结了机器学习应用于Web攻击检测中还亟待解决的问题。

2  Web攻击特征提取

Web攻击检测问题中样本数据通常都是半结构化的基于文本的HTTP请求消息，这些消息用于从客户端向服务器传递信息。通过对常见的Web攻击类型进行分析，包括注入攻击、XXS攻击和命令执行等，可以发现Web攻击请求的特征大体上分为两类：威胁关键词特征和不规范结构特征。针对这两种类型，常用的特征提取方式包括：基于分词的代码片段特征提取、基于状态转换的结构特征提取和基于统计量的结构特征提取。……