一种访问请求越权检测方法、设备及存储介质与流程

本技术涉及网络安全，尤其涉及一种访问请求越权检测方法、设备及存储介质。

背景技术：

1、在计算机网络与业务系统安全场景中，越权访问检测是访问控制的重要组成部分。随着云计算、微服务以及开放接口技术的发展，业务系统中的用户、角色、组织、资源归属以及业务状态之间的关联关系不断增多，访问控制边界日益复杂。越权访问通常包括水平越权和垂直越权两类，其中水平越权是指同一权限级别主体访问其他主体资源，垂直越权是指低权限主体执行高权限操作。

2、目前，越权检测主要采用基于静态规则的检测方案。上述方案依赖人工配置的规则或简单脚本，将待检测请求与预设规则进行比对，根据匹配结果判断是否存在越权行为。然而，上述方案存在以下问题：第一，技术识别能力有限，误判率高，难以有效区分合法请求与异常行为，尤其是对公共接口的误判问题突出，导致高误报率和漏报率，检测系统过于依赖预定义规则和已知特征，容易被新型攻击手法绕过；第二，缺乏智能化分析能力，仅能处理预设场景，难以理解“返回的数据是否属于当前主体”与“操作在当前上下文下是否应被允许”等语义层面的权限关系，面对复杂多变的攻击手法时难以有效应对；第三，维护成本高昂，人工配置和调整规则耗时耗力，随着业务规模的扩大和攻击手段的多样化，规则库的维护成本持续增长，难以适应快速变化的业务需求。

3、另一方面，还存在采用单一智能分析引擎进行越权检测的方案，上述方案利用语义理解能力较强的分析模型对请求进行深度判别。然而，单一智能分析引擎的推理耗时较长，难以满足在线实时检测的响应速度需求，且推理结果的稳定性不足，难以直接作为安全裁决的依据。

4、因此，如何在保证检测实时性的前提下，提高越权检测对复杂语义场景的识别能力，是亟须解决的技术问题。

5、上述内容仅用于辅助理解本技术的技术方案，并不代表承认上述内容是现有技术。

技术实现思路

1、本技术的主要目的在于提供一种访问请求越权检测方法、设备及存储介质，旨在解决如何在保证检测实时性的前提下，提高越权检测对复杂语义场景的识别能力的技术问题。

2、为实现上述目的，本技术提出一种访问请求越权检测方法，所述方法包括：

3、获取与访问请求相关的待检测请求数据及对应的响应数据；

4、对所述待检测请求数据和所述响应数据进行特征提取，并基于特征提取的结果进行规则验证，以确定所述请求的规则置信度、规则风险值以及命中规则信息；

5、在所述请求的规则置信度小于预设置信度阈值或所述规则风险值小于预设风险值阈值的情况下，根据所述待检测请求数据、所述响应数据和所述命中规则信息进行语义推理分析，以确定所述请求的语义置信度和语义风险值；

6、基于所述请求的规则置信度、规则风险值、语义置信度以及语义风险值，确定所述请求的融合风险值；

7、在所述融合风险值大于预设融合阈值的情况下，确定所述请求为越权请求；

8、在所述请求的规则置信度大于等于预设置信度阈值且所述规则风险值大于等于预设风险值阈值的情况下，确定所述请求为越权请求。

9、在一实施例中，所述对所述待检测请求数据和所述响应数据进行特征提取的步骤包括：

10、从所述待检测请求数据和所述响应数据中提取主体特征、资源特征、动作特征、环境特征、行为序列特征、响应特征和关系特征；

11、将所述主体特征、所述行为序列特征和所述关系特征聚合为用户上下文，将所述资源特征、所述响应特征和所述关系特征聚合为资源上下文，将所述动作特征聚合为操作上下文，将所述环境特征聚合为环境上下文；

12、基于所述用户上下文、所述资源上下文、所述操作上下文和所述环境上下文构建所述请求的特征提取结果。

13、在一实施例中，所述基于特征提取的结果进行规则验证，确定所述请求的规则置信度、规则风险值以及命中规则信息的步骤包括：

14、基于所述特征提取结果进行静态规则匹配，确定所述请求的规则置信度、初始风险分值；

15、基于所述特征提取结果进行动态基线偏离检测，确定所述请求相对于正常行为基线的偏离程度；

16、对所述响应数据进行响应结构分析，确定响应越权指标，所述响应越权指标表征所述响应数据中存在越权数据返回的程度；

17、基于所述偏离程度和所述响应越权指标，对所述初始风险分值进行修正，得到所述请求的规则风险值；

18、基于所述规则置信度、所述偏离程度、所述响应越权指标和所述规则风险值，确定所述请求的命中规则信息。

19、在一实施例中，所述基于所述特征提取结果进行静态规则匹配，确定所述请求的规则置信度的步骤包括：

20、基于所述特征提取结果和静态规则匹配条件，确定所述特征提取结果触发的各静态规则；

21、根据所述触发的各静态规则的预设权重系数和匹配强度系数，计算所述各静态规则的规则贡献值；

22、根据所述各静态规则的规则贡献值，确定所述各静态规则的规则贡献值的标准差与均值的比值，得到证据一致性度量；

23、根据所述特征提取结果触发的各静态规则的数量与预设规则数量阈值的比值，得到证据充分性度量；

24、根据预设时间内静态规则匹配的结果经人工复核后的准确率，得到历史准确率反馈度量；

25、将所述证据一致性度量、所述证据充分性度量和所述历史准确率反馈度量进行加权融合，得到所述请求的规则置信度。

26、在一实施例中，所述根据所述待检测请求数据、所述响应数据和所述命中规则信息进行语义推理分析，确定所述请求的语义置信度和语义风险值的步骤包括：

27、将所述待检测请求数据、所述响应数据和所述命中规则信息转化为结构化分析对象，所述结构化分析对象包括主体身份信息、目标资源信息、请求动作信息、响应信息、历史请求序列和命中规则说明；

28、根据所述结构化分析对象所属的业务域和风险类型，从预设的领域推理模板库中选择对应的目标推理模板；

29、基于所述目标推理模板，输出所述结构化分析对象的推理结果，所述推理结果包括最终判断结论、风险类型、置信度、证据项列表和推理步骤；

30、基于所述推理结果确定所述请求的语义置信度和语义风险值。

31、在一实施例中，所述领域推理模板库关联有案例样本库，所述案例样本库包括正常访问样本、确认越权样本、误报修正样本和漏报补强样本，所述基于所述目标推理模板，输出所述结构化分析对象的推理结果的步骤包括：

32、从所述案例样本库中检索与所述结构化分析对象相似的案例样本；

33、基于检索到的案例样本的判别结果和所述目标推理模板，输出所述推理结果。

34、在一实施例中，所述基于所述请求的规则置信度、规则风险值、语义置信度以及语义风险值，确定所述请求的融合风险值的步骤包括：

35、以所述规则置信度作为所述规则风险值的可靠度权重，对所述规则风险值进行加权，得到规则加权风险值；

36、以所述语义置信度作为所述语义风险值的可靠度权重，对所述语义风险值进行加权，得到语义加权风险值；

37、基于所述规则加权风险值、所述语义加权风险值、预设规则权重系数和预设语义权重系数，确定所述请求的融合风险值。

38、在一实施例中，所述方法还包括：

39、将所述方法执行过程中产生的判决结果存入反馈知识库，所述判决结果至少包括所述规则置信度、所述规则风险值、所述命中规则信息以及对应的越权判断结论；

40、响应于人工复核指令，基于所述反馈知识库执行以下至少一项操作：

41、从所述反馈知识库中挖掘高频的特征组合，生成静态规则；

42、将误报案例和漏报案例转化为案例样本和/或推理模板的补充条件；

43、根据规则验证和语义推理分析在不同业务域中的准确率和召回率，调整所述预设置信度阈值、所述预设风险值阈值和所述预设融合阈值中的至少一项。

44、此外，为实现上述目的，本技术还提出一种访问请求越权检测装置，所述访问请求越权检测装置包括：

45、数据获取模块，用于获取与访问请求相关的待检测请求数据及对应的响应数据；

46、规则验证模块，用于对所述待检测请求数据和所述响应数据进行特征提取，并基于特征提取的结果进行规则验证，以确定所述请求的规则置信度、规则风险值以及命中规则信息；

47、语义推理模块，用于在所述请求的规则置信度小于预设置信度阈值或所述规则风险值小于预设风险值阈值的情况下，根据所述待检测请求数据、所述响应数据和所述命中规则信息进行语义推理分析，以确定所述请求的语义置信度和语义风险值；

48、融合风险确定模块，用于基于所述请求的规则置信度、规则风险值、语义置信度以及语义风险值，确定所述请求的融合风险值；

49、第一判断模块，用于在所述融合风险值大于预设融合阈值的情况下，确定所述请求为越权请求；

50、第二判断模块，用于在所述请求的规则置信度大于等于预设置信度阈值且所述规则风险值大于等于预设风险值阈值的情况下，确定所述请求为越权请求。

51、此外，为实现上述目的，本技术还提出一种访问请求越权检测设备，所述设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序配置为实现如上文所述的访问请求越权检测方法。

52、此外，为实现上述目的，本技术还提出一种存储介质，所述存储介质为计算机可读存储介质，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上文所述的访问请求越权检测方法。

53、此外，为实现上述目的，本技术还提供一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序被处理器执行时实现如上文所述的访问请求越权检测方法。

54、本技术提供了一种访问请求越权检测方法，本技术首先对待检测请求数据和对应的响应数据进行特征提取，并基于特征提取的结果进行规则验证，确定请求的规则置信度、规则风险值以及命中规则信息；然后在规则置信度小于预设置信度阈值或规则风险值小于预设风险值阈值的情况下，根据待检测请求数据、响应数据和命中规则信息进行语义推理分析，确定请求的语义置信度和语义风险值，并基于规则置信度、规则风险值、语义置信度以及语义风险值确定请求的融合风险值，在融合风险值大于预设融合阈值的情况下，确定请求为越权请求；在规则置信度大于等于预设置信度阈值且规则风险值大于等于预设风险值阈值的情况下，确定请求为越权请求。

55、因此，本技术通过规则验证输出规则置信度和规则风险值作为分层分流依据，对于规则验证能够以高置信度确定的越权请求，在规则验证环节即直接判定为越权请求，无需经过后续深度分析，保证了检测的实时性；对于规则验证无法以高置信度确定的请求，语义推理分析利用待检测请求数据、响应数据以及规则验证产出的命中规则信息进行深度判别，补足规则验证对复杂语义场景的识别盲区；规则验证与语义推理分析的输出通过置信度加权融合为统一的融合风险值，避免了单一引擎结论偏差对最终裁决的影响。通过规则验证的快速判定与语义推理分析的深度判别之间的分层协同，以及基于置信度加权的融合裁决机制，本技术在保证检测实时性的前提下，提高了越权检测对复杂语义场景的识别能力。