Details

Целью работы является разработка метода обнаружения многоступенчатых SQL-инъекций посредством анализа последовательностей запросов в рамках сессии. Объект исследования — методы обнаружения SQL-инъекций в веб-приложениях. Проанализированы шесть техник SQL-инъекций и восемь методов защиты. Установлено, что сигнатурный WAF и однозапросный классификатор не обеспечивают приемлемого баланса обнаружения и ложных тревог. Разработан двухуровневый гибридный детектор: первый уровень — TF-IDF и логистическая регрессия на уровне запроса, второй — Random Forest на скользящем окне сессии. На 72 реальных атакующих сессиях достигнут Detection Rate 83,3% при FPR = 0,117, что на 13,9 п.п. выше однозапросного классификатора и в 4,3 раза лучше по ложным тревогам, чем OWASP CRS. Результаты применимы при проектировании систем обнаружения вторжений для веб-приложений с аналитической SQL-нагрузкой. В ходе работы использованы следующие программные средства: язык программирования Python, библиотека машинного обучения scikit-learn (TF-IDF, логистическая регрессия, случайный лес), набор правил OWASP ModSecurity Core Rule Set, инструменты тестирования sqlmap и ghauri, открытый датасет Superviz25-SQL объёмом 3,35 млн SQL-запросов.

The subject of the graduate qualification work is «Detection of Multi-Step SQL Injections Based on SQL Query Sequence Analysis». The purpose of the study is to develop a method for detecting multi-step SQL injections by analyzing SQL query sequences within a user session. The object of the work is SQL injection detection methods for web applications. Six SQL injection techniques and eight protection methods were analyzed. It was established that neither signature-based WAF nor single-query classifiers provide an acceptable balance between detection rate and false positive rate. The work resulted in development of a two-level hybrid detector: the first level applies TF-IDF vectorization and logistic regression per query; the second applies Random Forest over a sliding session window. Evaluated on 72 real attack sessions, the detector achieved Detection Rate 83.3% with FPR = 0.117 — 13.9 p.p. above the single-query baseline and 4.3 times fewer false positives than OWASP CRS. The results can be used as a basis for designing session-aware intrusion detection systems for web applications with analytical SQL workloads. The following tools were used: Python, scikit-learn (TF-IDF, logistic regression, Random Forest), OWASP ModSecurity Core Rule Set, sqlmap, ghauri, and the Superviz25-SQL dataset (3.35 million SQL queries).