根据攻击日志调整命中特征的方法和装置

摘要

本发明涉及一种根据攻击日志调整命中特征的方法和装置，终端攻击被保护的web服务器时，终端的IP地址会在一定时间范围内命中多条命中特征，且每条命中特征所对应的日志数量较少；故在第一时间间隔内同一IP地址的各个攻击日志中的命中特征相同以及目标网址相同，且在第一时间间隔内攻击日志数量大于或等于第一预设阀值时，认为该IP地址在浏览该目标网址时被误报，则在命中特征中同时避免该IP地址和目标网址，以使该IP地址的终端在浏览该目标网址且与该命中特征匹配时，不进行拦截，但其他IP地址的终端在浏览该目标网址时，若与该命中特征匹配，则会被拦截且生成攻击日志，不用直接关闭某条规则，在不降低防御效果的前提下减少误报。

主权项

一种根据攻击日志调整命中特征的方法，其特征在于，包括：获取预设的第一时间间隔内同一IP地址的攻击日志，并提取获取到的攻击日志中的命中特征和目标网址；若提取到的攻击日志中的目标网址相同且命中特征相同，确定获取到的攻击日志的数量；若确定的攻击日志的数量大于或等于第一预设阈值，则在所述命中特征中同时排除所述IP地址以及对应的目标网址，其中，在接收到的报文与命中特征匹配，且接收到的报文的IP地址以及对应的目标网址与匹配的命中特征中的排除IP地址以及目标网址不同时，生成攻击日志。