TECHNIQUES FOR GENERATING APPLICATION-LAYER SIGNATURES CHARACTERIZING ADVANCED APPLICATION-LAYER FLOOD ATTACK TOOLS

The various disclosed embodiments include a method and system for generating application-layer signatures characterizing advanced application-layer attacks are provided. The method includes determining applicative baseline distributions of attributes included in transactions directed to a protected entity during peacetime; determining attack distributions of applicative attributes included in transactions directed to a protected entity during an on-going application-layer attack; determining, based on the applicative baseline distributions and the attack distributions of applicative attributes, a probability of an attacker executing the on-going application-layer attack to generate an attack using at least one attribute; and generating an application-layer signature designating applicative attributes determined to be eligible based on their respective probabilities, wherein the application-layer signature characterizes behavior of the attacker executing the on-going application-layer attack. Les divers modes de réalisation divulgués comprennent un procédé et un système de génération de signatures de couche d'application caractérisant des attaques de couche d'application avancée. Le procédé consiste à : déterminer des distributions de référence applicatives d'attributs inclus dans des transactions dirigées vers une entité protégée pendant une durée de fonctionnement normale; déterminer des distributions d'attaque d'attributs applicatifs inclus dans des transactions dirigées vers une entité protégée pendant une attaque de couche d'application en cours; déterminer, sur la base des distributions de référence applicatives et des distributions d'attaque d'attributs applicatifs, une probabilité qu'un attaquant exécute l'attaque de couche d'application en cours pour générer une attaque à l'aide d'au moins un attribut; et générer une signature de couche d'application désignant des attributs applicatifs déterminés comme étant éligibles sur la base de leurs probabilités respectives, la signature de couche d'application caractérisant le comportement de l'attaquant exécutant l'attaque de couche d'application en cours.