在网络客户端上进行的异常检测的制作方法
【技术领域】
[0001] 本文中所描述的实施例总体上设及计算机监视，并且特别地设及在网络客户端上 进行的异常检测。
【背景技术】
[0002] 当用户浏览网站时，少量的信息存储在用户的机器上。信息可W被存储在文件中， 该文件在浏览器重启之间留存(persist)。当用户将来浏览相同的网站时，该信息可W从文 件中恢复并被使用。一种常见的机制是跟踪器bookie)的使用。跟踪器(也被称为HTTP跟踪 器、网页跟踪器、或者浏览器跟踪器)是存储了有限的量的数据的文件，用于在用户的浏览 会话(例如，会话跟踪器)期间使用，或用于多个会话(例如，持久跟踪器）。跟踪器对于维持 状态、维护用户验证信息、或保存用户对于网站的偏好来说是有用的。然而，跟踪器由于其 最大可允许大小而在一定程度上在功能方面受到限制。
[0003] 在更现代的浏览器中，被称为"网络存储"的标准支持更大的存储分配。网络存储 提供两种不同的存储类型:本地存储和会话存储，其分别起类似于持久跟踪器和会话跟踪 器的作用。存储在本地存储中的数据是每域(per domain)的，并且在浏览器被关闭后留存。 会话存储是每页每窗口（per-page-per-window)的，并且受限于窗口的寿命。会话存储旨在 允许相同的网络应用的单独的实例在不同的窗口中运行而不相互干扰，运是跟踪器不能很 好地支持的用例。
[0004] 然而，随着存储对象(本地类型和会话类型两者）的可允许大小的增加，存在使得 待要写入或存储在用户的机器上的大量数据引起不稳定、不可访问、或其它拒绝服务类型 的攻击的恶意活动的威胁。
【附图说明】
[0005] 在非必须按照比例绘制的附图中，相同的数字可W描述不同视图中的相同的组 件。具有不同字母下标的相同数字可W表示相同组件的不同实例。一些实施例通过示例而 非限制的方式在附图中示出，其中：
[0006] 图1是根据实施例的示出了系统的示意图；
[0007] 图2是根据实施例的示出了用于在网络客户端上进行异常检测的计算设备的示意 图；
[000引图3是根据实施例的示出了用于监视和评估事件并且施行(enforce)策略的过程 的控制流程图；
[0009] 图4是根据实施例的示出了用于在网络客户端上进行异常检测的方法的流程图；
[0010] 图5是根据示例实施例的示出了示例机器的方框图，其中根据该机器，可W执行在 本文中所讨论的技术(例如，方法论)中的一个或多个。
【具体实施方式】
[0011]超文本标记语言第5版化TML5)是用于构建和表示万维网（WWW)的内容的标记语 言。网络存储是由HTML5支持的标准并且提供用于保存会话信息的客户端方法。利用客户端 脚本语言（例如，JavaScript?)，网页能够存储并且取回（retrieve)来自网络存储容器的 数据。因此，利用网络存储，网络应用能够存储信息，用于在会话内或从会话到会话重新使 用。
[001^ 网络存储容器通常刻良于最大大小，例如，2兆字节(MB)、5MB、或10MB。有两种类型 的网络存储容器:会话存储(sessionStorage)和本地存储（local Storage)。两者表现相似， 但会话存储对象仅仅可用于即时会话，而本地存储对象在多个浏览会话间留存。网络存储 容器链接至来源(origin)。来源是由域名、应用层协议、W及运行脚本的HTML5文档的端口 数组成的元组。通过运种方式，可W将网络存储容器可W被限制于每来源最大大小 (maximum size per origin)。例女曰，网站('http://www.example.00111/]1〇1116.]1付11''可从与本 地存储容器相关联。因为协议不同（http对https )，所W另一个网站"https :// WWW. example. com/home .html''不會b访问 ''http: //www. example. com/home .html'' 白勺本地存 储容器。
[0013] 在许多现代网络应用中，将来自多个来源的内容呈现在相同的演示区域内。运可 W-般地被称为"混搭(mashup)"。混搭通常使用并组合来自两个或多个源的数据、演示、或 功能W创建新的演示或服务。混搭可W W聚集显示的方式提供相关的信息，为了使终端用 户更容易消费数据。
[0014] -些混搭是来自几个相关的源的相关数据的组合。例如，针对虚构的公司 Example, Inc.的混搭可W使用"example. com"作为其域，并且可W在组合界面(例如，混搭） 中提供来自子域（例如"news.example.com"、"sports.example.com"和 "weather. example . com")的信息。或者，当用户导航通过"example. com"网站时，用户可W 导航到来自子域(例如，weather. examp 1 e . com)的内容。在运两种情况中的任一中，产生了 关于如下的问题:截然不同的子域是否应该被授予网络存储分配的=个配额(例如，=倍的 5MB，总共15MB)，或者整个网络应用（例如，混搭)是否应该被约束于所述网络存储配额(例 如，对于example. comW及子域是5MB)。如果遵循第一模型，则其可W开放平台W便滥用。例 如，具有恶意目的的某人可W创建人工子域(或下属域(affiliate domain))，并且使得用 户的计算机存储许多（可能数千个或数百万个)5MB的网络存储容器。运样的活动将很可能 产生错误，使机器变得无响应，或W其它方式造成严重破坏。如果遵循第二模型，则合法的 网络应用可能被无必要地限制使用为合适的操作所需的磁盘空间。相似的问题可能与下属 域（W混搭方式或利用交叉链接(cross-linking),彼此相关或隶属、并且一起呈现的网络 应用)共存。需要的是用于监视和管理网络存储分配请求的机制。
[0015] 本公开描述了用于评估网络浏览器活动并且确保运样的活动与存储策略一致的 机制。运样的机制对于检测在网络浏览器行为中的异常来说是有用的。所描述的一些实施 例对多个浏览器有效。运样的实施例与如何通过任何一个浏览器传递内容无关、降低在特 定浏览器中由网络存储机制的执行不力引起的易损性、并且也降低或消除终端用户为了最 安全的体验而选择正确的网络浏览器的需求。
[0016] 用于监视和管理网络存储分配请求的机制可W W各种形式被实现，包括但不限于 浏览器插件、客户端软件、或固件。机制可W从网络应用中检测可疑的行为、关于运样的行 为向用户发出警报、或者施行合适的策略W降低风险。所述机制可W使用基于入侵检测或 基于机器学习的各种检测算法。
[0017] 图1是根据实施例的示出了系统100的示意图。系统100包括通过网络106连接的网 络服务器102、服务提供商系统104、W及计算设备108。尽管网络服务器102和服务提供商系 统104在图1中被示出为单个机器，但在各种实施例中，网络服务器102或服务提供商系统 104可W包括一起工作的多个服务器(例如，并置、分布、或作为基于云端的系统）。计算设备 108可W是包括台式计算机、智能手机、蜂窝手机、移动手机、膝上型计算机、平板计算机、超 极本（Ultrabook忠）、车载计算机、自助服务终端、或其它网络化的设备等任何类型的设 备。针对该公开的目的的网络客户端包括能够将网站呈现给用户的任何设备，例如，计算设 备 108。
[0018] 用户可W操作计算设备108W访问由网络服务器102提供的网络应用。当网络应用 尝试在计算设备108上经由HTML5将数据存储在本地存储对象或会话存储对象中时，计算设 备108上的监视模块截取(intercept)该尝试，并且确定存储指令是否应该继续。在实施例 中，监视模块访问本地数据库，本地数据库具有可W被监视模块用来确定对网络应用的存 储请求是允许还是拒绝的数据、规则或者其它信息。在另一个实施例中，监视模块使用远程 服务，例如，在服务提供商系统104上托管化OSt) W评估网络应用的存储请求的服务。如果 存储请求被授权，则监视模块可W与计算设备108上的浏览器或计算设备108的其它部分 (例如，存储器管理器、文件系统、资源调度器、或操作系统或固件的其它方面)相连接，W处 理存储请求。
[0019] 图2是根据实施例的示出了用于在网络客户端上进行异常检测的计算设备108的 示意图。计算设备1〇8(例如，网络客户端)包括网络浏览器200和客户端插件监视器202。网 络浏览器200包括浏览器用户界面化I)组件204。浏览器UI组件204被用于向网络浏览器200 的用户显示网页、警报、用户界面元素、W及其它对象。
[0020] 客户端插件监视器202包括浏览器接口 206、监视模块208、监视数据库化B)210、W 及硬件（HW)接口 212。当针对网络存储写入请求进行监视时，监视模块208可W与监视DB 210、企业监视服务220、或云监视服务222相连接。监视DB 210包括关于网站、域、和网络应 用存储用途策略的信息。网络应用存储用途策略可W是用户定义的或(例如，由企业管理员 或商业服务)集中定义的。企业范围或其它广域服务的使用可W提供对业务量或数据行为 的更深的分析，得出更为智能的算法W将合法的请求与可能的恶意活动相区分。
[0021] 在操作中，浏览器接口206截取由网页发起的存储请求，所述网页是由网站服务并 且由网络浏览器200处理的。监视模块208从浏览器接口 206接收关于该请求的通知，并且可 W对照监视DB 210、企业监视服务220、或云监视服务222来检查请求W验证请求的合法性。 监视模块208相