魏志强,张 浩,陈 龙

(福州大学 数学与计算机科学学院,福州 350116)

(福建省网络计算与智能信息处理重点实验室,福州 350116)

E-mail:zhanghao@fzu.edu.cn

1 引 言

随着网络技术的迅速发展,根据中国互联网络信息中心最新统计报告显示,截至2018年12月,我国网民规模达8.29亿,普及率达59.6%,人们的生活越来越离不开互联网.近十年来,Web广泛应用于社交、网购、银行和Email等重要线上业务,在人们享受这网络带来便利的同时也面临着很多安全威胁.根据国家应急响应中心(CNCERT/CC)《网络安全信息与动态周报——2019 年第4期》统计,每周 CNCERT 监测发现境内被篡改网站数量为701个;境内被植入后门的网站数量为600个.在现有的Web应用攻击检测中,无论是WAF(Web应用防火墙)或IDS(入侵检测系统)亦或IPS(入侵防御系统)等,这类基于误用检测的技术主要是依赖黑白名单或已知攻击规则,对每条报文进行正则匹配以达到检测防御的目的.这种基于规则的方法通常情况下能够抵御绝大部分的攻击,但是在实际应用过程中存在以下问题:仅能检测已知攻击;规则库维护困难,安全管理员需要丰富的安全知识,以制定匹配规则;出现误报不易及时修改.异常检测可以通过建立正常行为模型检测未知攻击,其中包括基于日志信息挖掘和流量行为建模等方法.日志信息保留着攻击者的攻击痕迹,一般发现比较迟,攻击者可能已经成功入侵,所以采用挖掘日志信息来检测攻击行为的方法存在一定的滞后性.由于所有攻击指令都需要在网……