CN103825888A - 网络威胁处理方法及设备 - Google Patents

网络威胁处理方法及设备 Download PDF

Info

Publication number
CN103825888A
CN103825888A CN201410053974.6A CN201410053974A CN103825888A CN 103825888 A CN103825888 A CN 103825888A CN 201410053974 A CN201410053974 A CN 201410053974A CN 103825888 A CN103825888 A CN 103825888A
Authority
CN
China
Prior art keywords
attack
network
data message
file
detect
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201410053974.6A
Other languages
English (en)
Inventor
张聪
张卓
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Qianxin Technology Co Ltd
Original Assignee
Beijing Qihoo Technology Co Ltd
Qizhi Software Beijing Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Qihoo Technology Co Ltd, Qizhi Software Beijing Co Ltd filed Critical Beijing Qihoo Technology Co Ltd
Priority to CN201410053974.6A priority Critical patent/CN103825888A/zh
Publication of CN103825888A publication Critical patent/CN103825888A/zh
Priority to PCT/CN2014/095678 priority patent/WO2015120752A1/zh
Priority to US15/119,598 priority patent/US20170054745A1/en
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种网络威胁处理方法及设备。其中，该方法包括：侦听网络设备的网络访问行为，并获取网络数据报文；对获取的网络数据报文进行分析，提取元数据；检测元数据并确定攻击行为，其中，攻击行为包括已知的攻击行为和/或未知的攻击行为。采用本发明实施例提供的网络威胁处理方法能够及时发现并处理新型网络威胁，包括已知攻击行为以及未知攻击行为，达到保证网络免受不安全的威胁的有益效果。

Description

网络威胁处理方法及设备
技术领域
本发明涉及互联网应用领域，特别是涉及一种网络威胁处理方法及设备。
背景技术
随着信息社会的发展，网络信息安全越来越深入人们的生活。信息泄露、数据丢失、用户隐私泄露等信息安全事故频繁发生造成了重大的经济损失，并对社会产生了重大不良影响。甚至，信息安全事故会危及国家安全。例如，2012年，我国涉密单位发现一个已经潜伏长达7年之久的恶意代码，2013年5月，韩国多家银行和电视台遭遇黑客攻击，网络大面积瘫痪。
随着科技的发展，网络威胁已经有了新的特点。新型网络威胁逐渐实现了从恶作剧向商业利益的属性转变、从个人向团伙组织的发起人转变，以及从普通病毒木马向高级持续性攻击（Advanced Persistent Threat，以下简称APT）的技术转变。这些转变均使得网络信息安全遭受更大的威胁。新型网络威胁不仅手段隐蔽，并且现有技术中的安全防御体系无法掌握其漏洞以及技术。因此，传统的安全防御体系无法采取相应技术手段解决新型网络威胁，导致人们生产生活的信息受到了更为严峻的安全威胁，而这些安全威胁一旦真实发生，对经济、社会甚至国家安全会造成难以估计的毁灭性影响。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的网络威胁处理方法和相应的设备。
依据本发明的一个方面，提供了一种网络威胁处理方法，包括：侦听网络设备的网络访问行为，并获取网络数据报文；对获取的网络数据报文进行分析，提取元数据；检测所述元数据并确定攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
可选地，所述对获取的网络数据报文进行分析，包括：对获取的网络数据报文进行分类；针对每一类别，选择相应的策略检测攻击行为。
可选地，所述对获取的网络数据报文进行分类，包括：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
可选地，所述针对每一类别，选择相应的策略检测攻击行为，包括：对于所述文件类数据报文，将其还原为文件；对还原的文件进行检测，检测所述文件是否具有恶意行为。
可选地，所述对还原的文件进行检测，包括：利用沙箱检测方式对还原的文件进行检测。
可选地，检测所述文件是否具有恶意行为，包括：基于网络异常行为检测原理，检测所述文件是否具有恶意行为。
可选地，所述针对每一类别，选择相应的策略检测攻击行为，包括：对于所述非文件类数据报文，基于网络异常行为检测原理，检测出攻击行为。
可选地，所述基于网络异常行为检测原理，检测出攻击行为，包括：提取所述元数据的网络行为信息；对所述网络行为信息进行多维度网络行为统计；依据统计结果，利用决策树分类规则建立网络异常行为模型；使用所述网络异常行为模型确定出攻击行为。
可选地，所述网络威胁处理方法还包括：对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
可选地，所述网络威胁处理方法还包括：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
可选地，基于大数据分析对攻击行为进行回溯的操作，包括下列至少之一：定位攻击行为的攻击源；还原攻击行为相对应的访问行为；还原攻击行为相对应在的访问内容。
可选地，检测所述元数据并确定出攻击行为之后，还包括：根据未知的攻击行为，对所述网络设备上使用的安全装置进行升级，使其能够防御所述未知的攻击行为。
可选地，所述检测所述元数据并确定攻击行为包括：通过本地检测引擎和/或云检测引擎检测所述元数据并确定攻击行为。
依据本发明的另一个方面，还提供了一种网络威胁处理设备，包括：侦听模块，配置为侦听网络设备的网络访问行为，并获取网络数据报文；数据提取模块，配置为对获取的网络数据报文进行分析，提取元数据；确定模块，配置为检测所述元数据并确定出攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
可选地，所述数据提取模块还配置为：对获取的网络数据报文进行分类；针对每一类别，选择相应的策略检测出攻击行为。
可选地，所述数据提取模块还配置为：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
可选地，所述数据提取模块还配置为：对于所述文件类数据报文，将其还原为文件；对还原的文件进行检测，检测所述文件是否具有恶意行为。
可选地，所述数据提取模块还配置为：利用沙箱检测方式对还原的文件进行检测。
可选地，所述数据提取模块还配置为：基于网络异常行为检测原理，检测所述文件是否具有恶意行为。
可选地，所述数据提取模块还配置为：对于所述非文件类数据报文，基于网络异常行为检测原理，检测出攻击行为。
可选地，所述数据提取模块还配置为：提取所述元数据的网络行为信息；对所述网络行为信息进行多维度网络行为统计；依据统计结果，利用决策树分类规则建立网络异常行为模型；使用所述网络异常行为模型确定出攻击行为。
可选地，所述网络威胁处理设备还包括：备份模块，配置为对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
可选地，所述备份模块还配置为：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
可选地，基于大数据分析对攻击行为进行回溯的操作，包括下列至少之一：定位攻击行为的攻击源；还原攻击行为相对应的访问行为；还原攻击行为相对应在的访问内容。
可选地，所述网络威胁处理设备还包括：升级模块，配置为检测所述元数据并确定出攻击行为之后，根据未知的攻击行为，对所述网络设备上使用的安全装置进行升级，使其能够防御所述未知的攻击行为。
可选地，所述检测所述元数据并确定攻击行为包括：通过本地检测引擎和/或云检测引擎检测所述元数据并确定攻击行为。
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁（包括已知攻击以及未知攻击）的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，并获取网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的隐秘信道等信息，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现并处理新型网络威胁，包括已知攻击行为以及未知攻击行为，达到保证人们生产生活甚至国家安全不受网络信息不安全的威胁的有益效果。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
根据下文结合附图对本发明具体实施例的详细描述，本领域技术人员将会更加明了本发明的上述以及其他目的、优点和特征。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了根据本发明一个实施例的网络威胁处理方法的处理流程图；
图2示出了根据本发明一个实施例的本地检测引擎与云检测引擎组成“天眼系统”的结构图；
图3示出了根据本发明一个优选实施例的网络威胁处理方法的处理流程图；
图4示出了根据本发明一个实施例的实时分析模块的处理流程图；
图5示出了根据本发明一个优选实施例的实时分析模块的处理流程图；
图6示出了根据本发明一个实施例的利用沙箱检测方式对文件进行检测的流程图；
图7示出了根据本发明一个优选实施例的利用沙箱检测方式对文件进行检测的流程图；
图8示出了根据本发明一个实施例的将实时分析模块以及沙箱检测模块组合之后的结构流程图；
图9示出了根据本发明一个实施例的已知/未知攻击检测模块的处理流程图；
图10示出了根据本发明一个实施例的基于大数据分析的攻击检测与回溯模块的处理流程图；
图11示出了根据本发明一个优选实施例的建立网络异常行为模型并据此确定攻击行为的流程图；
图12示出了根据本发明一个优选实施例的威胁感知的结构图；
图13示出了根据本发明一个实施例的全面检测时文件告警、行为告警以及邮件告警的界面示意图；
图14示出了根据本发明一个实施例的文件告警的详细告警信息界面图；
图15示出了根据本发明一个实施例的对告警信息进行告警分析的界面图；
图16示出了根据本发明一个实施例的对告警信息进行分析的日志报表；
图17示出了根据本发明一个实施例的用户管理的界面图；
图18示出了根据本发明一个实施例的配置管理的界面图；以及
图19示出了根据本发明一个实施例的网络威胁处理设备的结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
相关技术中提及，新型网络威胁不仅手段隐蔽，并且现有技术中的安全防御体系无法掌握其漏洞以及技术。因此，传统的安全防御体系无法采取相应技术手段解决新型网络威胁，导致人们生产生活的信息受到了更为严峻的安全威胁，而这些安全威胁一旦真实发生，对经济、社会甚至国家安全会造成难以估计的毁灭性影响。
为解决上述技术问题，本发明实施例提出了一种网络威胁处理方法。图1示出了根据本发明一个实施例的网络威胁处理方法的处理流程图。参见图1，该流程至少包括步骤S102至步骤S106。
步骤S102、侦听网络设备的网络访问行为，并获取网络数据报文。
步骤S104、对获取的网络数据报文进行分析，提取元数据。
步骤S106、检测元数据并确定攻击行为，其中，攻击行为包括已知的攻击行为和/或未知的攻击行为。
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁（包括已知攻击以及未知攻击）的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，并获取网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的隐秘信道等信息，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现并处理新型网络威胁，包括已知攻击行为以及未知攻击行为，达到保证人们生产生活甚至国家安全不受网络信息不安全的威胁的有益效果。
上文提及，本发明实施例能够检测并处理网络的攻击行为。另外，如图2所示，本发明实施例能够运用于本地检测引擎220，并结合现有技术中的云检测引擎230组成一个“天眼系统”（其中，“天眼”仅为系统名称，对本地检测引擎以及云检测引擎组成的系统的功能、属性以及作用等方面均不构成任何影响），对网络设备210中的网络威胁（包括网络攻击行为等）进行检测处理，做到对网络威胁“天网恢恢疏而不漏”，更加全面、广泛以及具体的处理网络威胁。
现以运用于本地检测引擎220的网络威胁处理方法为例，对本发明实施例提供的网络威胁处理方法进行介绍。如图3所示的根据本发明一个优选实施例的网络威胁处理方法的处理流程图，首先执行步骤S302，侦听网络设备的网络访问行为。在侦听的过程中，实时执行步骤S304，获取网络数据报文。本发明实施例中，侦听网络设备的网络访问行为能够对网络设备的网络访问行为进行实时监测，保证及时获取网络设备的网络访问行为。进一步，能够保证任何攻击行为发生之前，本发明实施例能够及时检测到攻击行为并进行合理有效处理，保证网络安全。因此，本发明实施例在整个网络威胁处理流程中对网络设备的网络访问行为进行侦听，并实时执行步骤S304，获取网络数据报文。
获取到网络数据报文之后，执行步骤S306，对网络数据报文进行分析。本发明实施例中，对获取到的网络数据报文进行分析可以是分析网络数据报文的源网络地址，还可以是分析网络数据报文的目的地址等。优选地，本发明实施例中，为在后续操作中能够准确对网络数据报文中的攻击行为进行检测和处理，在对获取到的网络数据报文进行分析时，对获取的网络数据报文进行分类。并且，针对每一类别，本发明实施例选择相应的策略检测攻击行为。在对获取的网络数据报文进行分类时，本发明实施例可以根据源地址或者目的地址或者其他任意信息将网络数据报文进行分类，并根据分类结果选择相应的策略检测攻击行为。由于根据网络数据报文的数据能够更加全面以及准确地对网络数据报文进行分类，因此，优选地，本发明实施例中根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。即，根据对获取到的网络数据报文的分析，网络数据报文可以是文件类数据报文，可以是非文件类数据报文，还可以是文件类数据报文以及非文件类数据报文的组合。
对网络数据报文进行分类之后，执行如图3所示的步骤S308，确定网络数据报文是否为文件类数据报文。若是，执行步骤S310，将确定的文件类数据报文还原为文件。之后，对还原的文件进行检测，检测文件是否具有恶意行为。在对文件进行检测的过程中，为保证将被检测的文件完全与正在运行的程序隔离，进而保证检测过程中被检测文件不会出现攻击行为，本发明实施例利用沙箱检测方式对还原的文件进行检测，如图3中的步骤S312所示。其中，对文件的检测为基于网络异常行为检测原理，检测文件是否具有恶意行为。若根据步骤S308的判断，网络数据报文为非文件类数据报文，则直接执行步骤S314，基于网络异常行为检测原理，检测网络数据报文的已知攻击行为和/或未知攻击行为。当网络数据报文为文件类数据报文以及非文件类数据报文的组合时，将网络数据报文分为文件类数据报文部分以及非文件类数据报文部分，并分别按照上文提及的步骤进行操作，在此不作赘述。
另外，如图3中的步骤S316所示，本发明实施例中，获取到网络数据报文之后，除了对获取到的网络数据报文进行分析之外，为保证在后续分析中能够及时获取历史网络数据报文进行对比，以便更深层次分析网络数据报文达到更加高效地网络威胁处理性能，本发明实施例还可以对捕捉到的网络数据报文进行全流量存储（即步骤S316）。并且，当存储的网络数据报文的数量级到达大数据级别时，本发明实施例对存储的网络数据报文进行大数据分析的攻击检测，确定攻击行为，和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。优选地，本发明实施例中，基于大数据分析对攻击行为进行回溯的操作可以是定位攻击行为的攻击源、还原攻击行为相对应的方位行为以及还原攻击行为相对应在的访问内容等能够对攻击行为进行分析的其中一项或者几项任意操作，本发明实施例对此并不加以限定。
当根据如图3所示的网络威胁处理方法的处理流程检测元数据并确定出攻击行为之后，本发明实施例还可以根据未知的攻击行为，对网络设备上使用的安全装置进行升级，使网络设备上使用的安全装置能够防御未知的攻击行为。并且，本文中曾提及能够将本地检测引擎以及云检测引擎组成“天眼系统”对网络设备中的网络威胁进行检测处理（具体请见附图2及其对应说明）。因此，需要说明的是，本发明实施例能够通过本地检测引擎和/或云检测引擎检测元数据并确定攻击行为。
上文根据图3所示的流程图对本发明实施例提供的网络威胁处理方法进行了介绍，为更加深入清晰地阐述本发明实施例提供的网络威胁处理方法，现使用优选实施例对本发明实施例提供的网络威胁处理方法中的几个模块进行进一步介绍。具体地，现对本发明实施例提供的网络威胁处理方法中的实时分析模块（即图3所示的步骤S306中提及的对网络数据报文进行分析的部分，现简称为实时分析模块）、沙箱检测模块（即图3所示的步骤S312中提及的沙箱检测部分，现简称沙箱模块）、已知/未知攻击检测模块（即图3所示的步骤S314中提及的检测已知/未知攻击行为部分，现简称已知/未知攻击检测模块）以及基于大数据分析的攻击检测与回溯模块（即图3所示的步骤318中提及的攻击检测和回溯部分，现简称基于大数据分析的攻击检测与回溯模块）。
首先介绍实时分析模块。如图4所示的实时分析模块的处理流程图。首先，对Ethernet（以太网）/VLAN（虚拟局域网）/MPLS（多协议标签交换）等任意二层协议进行解析。其次，进一步对TCP/IP协议进行解析。最后，对应用层协议进行识别。图5示出了根据本发明一个优选实施例的实时分析模块的处理流程图。本优选实施例为一个webmail（即网络邮件）内容解析的实施例。如图5所示，首先对超文本传送协议进行解析。其次，进入对应用层协议的识别，识别到该应用为网络邮件。进而对网络邮件进行解析得到文本以及用以支持邮件中附加数据（如声音文件、视频文件等）的MIME（即多用途互联网邮件扩展）。其中，文本文件为能够直接检测的元数据。而对于MIME则需要进行进一步解析。
对需要继续解析的文件进行解压缩得到不同格式的文件，如图5所示的便携文档（Portable Document Format，以下简称PDF）格式的文件以及PPT（微软公司设计的一种演示文稿软件）格式的文件。其中，对PPT格式的文件进一步解析能够得到可检测的元数据，如图5所示的文本文件以及Excel（一种试算表软件）格式的文件。而对PDF格式的文件进行解析时，得到可直接检测的文本文件以及不可直接检测的Deflate（一种无损数据压缩算法）格式的文件。对于Deflate格式的文件则需要进一步解析，直至得到全部可检测的元数据，则实时解析结束。需要说明的是，在图5中，较粗的箭头指向为一条延伸的实时解析路径，按照该实时解析路径能够最终提取网络数据报文的元数据。
其次介绍沙箱检测模块。如图6示出了根据本发明一个实施例的利用沙箱检测方式对文件进行检测的流程图。获取到网络数据报文（即图6中的样本）之后，首先对网络数据报文的文件类型进行分析，并得到可移植执行体文件（Portable Execute，以下简称PE文件）和/或非可移植执行体文件（以下简称非PE文件）。对于PE文件以及非PE文件分别进行静态检测、半动态检测以及动态检测过程，并根据检测结果进行恶意行为分析。图7示出了根据本发明一个优选实施例的利用沙箱检测方式对文件进行检测的流程图。如图7所示，当获取到网络数据报文之后，若判断获取到的网络数据报文为文件类数据报文，则将文件类数据报文还原为文件。例如，图7中示出的邮件附件还原、web（网络）文件还原以及FTP（文件传输协议）文件还原等等。还原之后，对文件进行静态攻击代码初筛，即图6中对文件进行静态检测的过程。
当静态检测完毕之后，若检测出攻击代码，则确定文件具有恶意行为，继而进行相应处理。若没有检测出静态攻击代码，则利用沙箱对文件进行半动态以及动态检测。如图7所示，将应用程序的还原文件，如Office（微软公司的一款办公软件）、PDF、Flash（一种集动画创作与应用程序开发于一身的创作软件）以及其他任意应用的还原文件放入沙箱进行检测。根据沙箱检测，能够动态获取各个应用的还原文件是否具有恶意行为的信息，还可以动态获取各个应用的还原文件的可疑程度。例如，在2013年10月18日22时27分10秒时，在文件名称为“啦啦生活网”的压缩文件中，其启动宿主进程，注入代码的操作行为可疑程度为4个星，其设置远程线程上下文的操作行为可疑程度为3个星，其在其他进程中申请内存的操作行为可疑程度为一个星。其中，星的个数越多代表可疑程度越高，则其操作行为是恶意行为的可能性越高。需要说明的是，本优选实施例中提及的时间、软件名称、文件名称以及可疑程度评定方法等均为示例，均无法代表实际运用中能够出现的各个信息详情。
图4至图7及各个附图的相应文字说明介绍了实时分析模块以及沙箱检测模块。图8示出了根据本发明一个实施例的将实时分析模块以及沙箱检测模块组合之后的结构流程图。参见图8，对文件进行解压缩得到可检测的元数据。其中，若文件为PE文件，则首先对文件进行云查杀，例如使用奇虎支持向量机（Qihoo Support Vector Machine，以下简称QVM）或者云AVE引擎。通过云查杀的PE文件利用沙箱（即图8中的Sandbox）检测方式进行再次完整分析检测。对于非PE文件，如图8中示出的富文本格式（Rich Text Format，以下简称为RTF格式）、PDF格式、Doc（一种文件扩展名）格式、docx（一种文件扩展名）格式以及excel格式等等，若文件为能够继续解压缩的文档，则返回继续进行解压缩操作，若文件为可检测的元数据，则进行QEX静态分析、填充数据（shellcode）半动态检测以及lightVM轻量动态分析。之后，利用沙箱检测对通过以上三种检测的元数据再次进行检测。在对文件是否具有恶意行为的检测时，优选地，本发明实施例中，可以将恶意行为的危险等级分为三个等级。第一，高危，即能够确认元数据为恶意代码，如确定的木马样本、明显的恶意行为或者能够触发的漏洞利用等。第二，中危，即存在疑似恶意行为，但无法确定的，或者疑似漏洞利用，但尚没有确定的恶意行为，例如发现样本会访问以下敏感的位置，或者样本导致程序崩溃，但没有触发执行。第三，低危，即非经过确认的无恶意文件，可能会危害系统安全，可以理解为存在风险的文件。
对实时分析模块以及沙箱检测模块介绍完毕之后，对已知/未知攻击检测模块进行介绍。当对获取到的网络数据报文判断为非文件类数据报文之后，本发明实施例基于网络异常行为检测原理，对已知/未知攻击行为进行检测。如图9所示，首先对在网络数据报文中提取出的元数据进行网络行为信息的提取。其次，对提取到的网络行为信息进行多维度的网络行为统计。之后，依据统计结果，利用决策树分类规则建立网络异常行为模型，并使用网络异常行为模型确定攻击行为。
另外，在进行上文提及的网络异常行为模型的建立时，本发明实施例使用存储的网络数据报文。在对本发明实施例提供的网络威胁处理方法进行介绍时提及，本发明实施例中，对捕捉到的网络数据报文进行全流量存储，当存储的网络数据报文的数量级到达大数据级别时，可以对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。因此，下面首先介绍基于大数据分析的攻击检测与回溯模块，其次，介绍使用存储的网络数据报文建立网络异常行为模型。
如图10所示的基于大数据分析的攻击检测与回溯模块，本发明实施例对捕捉到的网络数据报文进行全流量存储，得到全流量数据，例如网络的访问记录信息、网络的所有对内对外的web访问请求以及网络或者邮件传输的文件。可以采用聚类算法对全流量数据进行分析，可以对全流量数据进行机器学习以及规则提取操作，还可以对全流量数据进行数据关联分析操作等。通过以上多维度的网络行为分析统计，能够建立网络异常行为模型以及确定攻击关系。继而，通过建立的网络异常行为模型以及确定的攻击关系能够进行已知攻击检测、未知攻击检测以及APT攻击过程回溯等操作。
对基于大数据分析的攻击检测与回溯模块介绍完毕之后，图11示出了根据本发明一个优选实施例的建立网络异常行为模型并据此确定攻击行为的流程图。如图11所示，通过侦听网络流量、获取终端日志以及获取设备日志等行为能够获取到网络数据报文。将获取到的网络数据报文进行全流量存储。当存储的网络数据报文的数量级到达大数据级别时，进行大数据挖掘计算以及历史数据行为分析。其中，对历史数据进行行为分析之后得到的分析结果能够加入行为模型库以备后续分析使用，而通过大数据挖掘计算能够提取网络行为模型，也可以将提取的网络行为模型加入行为模型库。另外，行为模型库能够反过来作为历史数据行为分析的历史数据。通过对历史数据行为的分析能够获取到漏洞利用攻击、可疑行为、APT过程以及隐蔽信道等未知攻击的信息。进一步，能够检测并确定已知或者未知的攻击行为。
例如，在本申请的一个实施例中，服务器接收客户端的主动访问，为客户端提供各种应答服务，服务器仅在有限的情形中主动发起访问行为，如获取系统补丁等，如果侦听到的流量中服务器主动访问欧洲某DNS服务器，则服务器的访问操作与其历史数据行为不符，说明存在可疑行为，需要进行进一步的检测。
上文对本发明实施例提供的网络威胁处理方法以及其中具体的模块信息进行了介绍，为将本发明实施例提供的网络威胁处理方法阐述得更加直观、清楚，现提供一个具体实施例。
实施例一
图12示出了根据本发明一个优选实施例的威胁感知的结构图。参见图12，本发明实施例通过本地检测引擎（如特征库升级包、漏洞补丁包以及软件升级包）以及云检测引擎相结合进行威胁感知管理。其中通过全面维护系统（TotalSolution Maintenance，以下简称TSM）进行的威胁感知管理包括报警、分析、管理与配置以及数据来源（DataBase）。而通过微型搜索引擎（Tiny SearchEngine，以下简称TSE）进行的威胁感知管理包括捕包、报文预处理以及并行威胁检测。图13至图18示出了根据本发明一个实施例的网络威胁处理的界面图。其中，图13示出了全面检测时文件告警、行为告警以及邮件告警的界面示意图。并且，本发明实施例的告警界面图中提示用户当前被告警的文件或者行为或者邮件的危险等级、告警时间等信息。图14示出了根据本发明一个实施例的文件告警的详细告警信息界面图。如图14所示，用户能够在该界面中获知针对该文件的危险等级、告警时间、源网络互连协议（Internet Protoco，以下简称IP）地址、目的IP地址、文件类型、文件大小以及关于该文件的历史记录等信息，方便用户了解存在威胁的文件的详细信息，并进一步作出相应判断及处理。图15示出了根据本发明一个实施例的对告警信息进行告警分析的界面图。如图15所示，本发明实施例能够基于检测到的大量异常告警信息，对未知威胁或者攻击行为进行全面分析以及有效定位。图16示出了根据本发明一个实施例的对告警信息进行分析的日志报表。如图16所示，用户能够根据时间不同查找不同时段中对网络访问行为的告警趋势。如图16中示出了，用户能够查找最近24内的告警趋势以及攻击主机次数的前十名（TOP10）以及告警趋势和攻击主机次数前十名相应的统计图。另外，图17示出了根据本发明一个实施例的用户管理的界面图以及图18示出了根据本发明一个实施例的配置管理的界面图，因此，本发明实施例能够根据不同用户进行功能不同的个性化设置，进一步更加高效地帮助不同用户进行不同范围不同深度的网络威胁处理，提升用户体验。
基于上文各优选实施例提供的网络威胁处理方法，基于同一发明构思，本发明实施例提供了一种网络威胁处理设备，用于实现上述网络威胁处理方法。
图19示出了根据本发明一个实施例的网络威胁处理设备的结构示意图。参见图19，本发明实施例的网络威胁处理设备至少包括：侦听模块1910、数据提取模块1920以及确定模块1930。
现介绍本发明实施例的网络威胁处理设备的各器件或组成的功能以及各部分间的连接关系：
侦听模块1910，配置为侦听网络设备的网络访问行为，并获取网络数据报文。
数据提取模块1920，与侦听模块1910相耦合，配置为对获取的网络数据报文进行分析，提取元数据。
确定模块1930，与数据提取模块1920相耦合，配置为检测元数据并确定出攻击行为，其中，攻击行为包括已知的攻击行为和/或未知的攻击行为。
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁（包括已知攻击以及未知攻击）的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，并获取网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的迷信隐秘信道，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现并处理新型网络威胁，包括已知攻击行为以及未知攻击行为，达到保证人们生产生活甚至国家安全不受网络信息不安全的威胁的有益效果。
在一个优选的实施例中，数据提取模块1920还配置为：
对获取的网络数据报文进行分类；
针对每一类别，选择相应的策略检测出攻击行为。
在一个优选的实施例中，数据提取模块1920还配置为：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
在一个优选的实施例中，数据提取模块1920还配置为：对于文件类数据报文，将其还原为文件；
对还原的文件进行检测，检测文件是否具有恶意行为。
在一个优选的实施例中，数据提取模块1920还配置为：利用沙箱检测方式对还原的文件进行检测。
在一个优选的实施例中，数据提取模块1920还配置为：
基于网络异常行为检测原理，检测文件是否具有恶意行为。
在一个优选的实施例中，数据提取模块1920还配置为：
对于非文件类数据报文，
基于网络异常行为检测原理，检测出攻击行为。
在一个优选的实施例中，数据提取模块1920还配置为：提取元数据的网络行为信息；
对网络行为信息进行多维度网络行为统计；
依据统计结果，利用决策树分类规则建立网络异常行为模型；
使用网络异常行为模型确定出攻击行为。
在一个优选的实施例中，网络威胁处理设备还包括：
备份模块1940，配置为对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
在一个优选的实施例中，备份模块1940还配置为：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或
对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
在一个优选的实施例中，基于大数据分析对攻击行为进行回溯的操作，包括下列至少之一：
定位攻击行为的攻击源；
还原攻击行为相对应的访问行为；
还原攻击行为相对应在的访问内容。
在一个优选的实施例中，网络威胁处理设备还包括：
升级模块1950，配置为检测元数据并确定出攻击行为之后，根据未知的攻击行为，对网络设备上使用的安全装置进行升级，使其能够防御未知的攻击行为。
在一个优选的实施例中，当确定一个攻击行为后，生成告警信息（例如被攻击终端、攻击源、攻击样本等），并传送至网络设备上的安全防御装置，由安全防御装置进行进一步的检测和查杀。
在一个优选的实施例中，检测元数据并确定攻击行为包括：通过本地检测引擎和/或云检测引擎检测元数据并确定攻击行为。
在一个优选的实施例中优先采用本地检测引擎（在某些环境中，如无法连接外网时），当无法确定攻击行为时，发送至云检测引擎进行进一步检测，此时，云检测引擎作为本地检测引擎的一个补充。
根据上述任意一个优选实施例或多个优选实施例的组合，本发明实施例能够达到如下有益效果：
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁（包括已知攻击以及未知攻击）的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，并获取网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的隐秘信道等信息，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现并处理新型网络威胁，包括已知攻击行为以及未知攻击行为，达到保证人们生产生活甚至国家安全不受网络信息不安全的威胁的有益效果。
本发明的实施例还公开了：
A1、一种网络威胁处理方法，包括：侦听网络设备的网络访问行为，并获取网络数据报文；对获取的网络数据报文进行分析，提取元数据；检测所述元数据并确定攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
A2、根据A1所述的方法，其中，所述对获取的网络数据报文进行分析，包括：对获取的网络数据报文进行分类；针对每一类别，选择相应的策略检测攻击行为。
A3、根据A2所述的方法，其中，所述对获取的网络数据报文进行分类，包括：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
A4、根据A3所述的方法，其中，所述针对每一类别，选择相应的策略检测攻击行为，包括：对于所述文件类数据报文，将其还原为文件；对还原的文件进行检测，检测所述文件是否具有恶意行为。
A5、根据A4所述的方法，其中，所述对还原的文件进行检测，包括：利用沙箱检测方式对还原的文件进行检测。
A6、根据A4或A5所述的方法，其中，检测所述文件是否具有恶意行为，包括：基于网络异常行为检测原理，检测所述文件是否具有恶意行为。
A7、根据A3所述的方法，其中，所述针对每一类别，选择相应的策略检测攻击行为，包括：对于所述非文件类数据报文，基于网络异常行为检测原理，检测出攻击行为。
A8、根据A7所述的方法，其中，所述基于网络异常行为检测原理，检测出攻击行为，包括：提取所述元数据的网络行为信息；对所述网络行为信息进行多维度网络行为统计；依据统计结果，利用决策树分类规则建立网络异常行为模型；使用所述网络异常行为模型确定出攻击行为。
A9、根据A1至A8任一项所述的方法，其中，还包括：对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
A10、根据A9所述的方法，其中，还包括：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
A11、根据A10所述的方法，其中，基于大数据分析对攻击行为进行回溯的操作，包括下列至少之一：定位攻击行为的攻击源；还原攻击行为相对应的访问行为；还原攻击行为相对应在的访问内容。
A12、根据A1至A11任一项所述的方法，其中，检测所述元数据并确定出攻击行为之后，还包括：根据未知的攻击行为，对所述网络设备上使用的安全装置进行升级，使其能够防御所述未知的攻击行为。
A13、根据A1至A12任一项所述的方法，其中，所述检测所述元数据并确定攻击行为包括：通过本地检测引擎和/或云检测引擎检测所述元数据并确定攻击行为。
本发明的实施例还公开了：
B14、一种网络威胁处理设备，包括：侦听模块，配置为侦听网络设备的网络访问行为，并获取网络数据报文；数据提取模块，配置为对获取的网络数据报文进行分析，提取元数据；确定模块，配置为检测所述元数据并确定出攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
B15、根据B14所述的设备，其中，所述数据提取模块还配置为：对获取的网络数据报文进行分类；针对每一类别，选择相应的策略检测出攻击行为。
B16、根据B15所述的设备，其中，所述数据提取模块还配置为：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
B17、根据B16所述的设备，其中，所述数据提取模块还配置为：对于所述文件类数据报文，将其还原为文件；对还原的文件进行检测，检测所述文件是否具有恶意行为。
B18、根据B17所述的设备，其中，所述数据提取模块还配置为：利用沙箱检测方式对还原的文件进行检测。
B19、根据B17或B18所述的设备，其中，所述数据提取模块还配置为：基于网络异常行为检测原理，检测所述文件是否具有恶意行为。
B20、根据B16所述的设备，其中，所述数据提取模块还配置为：对于所述非文件类数据报文，基于网络异常行为检测原理，检测出攻击行为。
B21、根据B20所述的设备，其中，所述数据提取模块还配置为：提取所述元数据的网络行为信息；对所述网络行为信息进行多维度网络行为统计；依据统计结果，利用决策树分类规则建立网络异常行为模型；使用所述网络异常行为模型确定出攻击行为。
B22、根据B14至B21任一项所述的设备，其中，还包括：备份模块，配置为对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
B23、根据B22所述的设备，其中，所述备份模块还配置为：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
B24、根据B23所述的设备，其中，基于大数据分析对攻击行为进行回溯的操作，包括下列至少之一：定位攻击行为的攻击源；还原攻击行为相对应的访问行为；还原攻击行为相对应在的访问内容。
B25、根据B14至B24任一项所述的设备，其中，还包括：升级模块，配置为检测所述元数据并确定出攻击行为之后，根据未知的攻击行为，对所述网络设备上使用的安全装置进行升级，使其能够防御所述未知的攻击行为。
B26、根据B14至B25任一项所述的设备，其中，所述检测所述元数据并确定攻击行为包括：通过本地检测引擎和/或云检测引擎检测所述元数据并确定攻击行为。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的网络威胁处理设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
至此，本领域技术人员应认识到，虽然本文已详尽示出和描述了本发明的多个示例性实施例，但是，在不脱离本发明精神和范围的情况下，仍可根据本发明公开的内容直接确定或推导出符合本发明原理的许多其他变型或修改。因此，本发明的范围应被理解和认定为覆盖了所有这些其他变型或修改。

Claims (10)

1.一种网络威胁处理方法，包括：
侦听网络设备的网络访问行为，并获取网络数据报文；
对获取的网络数据报文进行分析，提取元数据；
检测所述元数据并确定攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
2.根据权利要求1所述的方法，其中，所述对获取的网络数据报文进行分析，包括：
对获取的网络数据报文进行分类；
针对每一类别，选择相应的策略检测攻击行为。
3.根据权利要求2所述的方法，其中，所述对获取的网络数据报文进行分类，包括：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
4.根据权利要求3所述的方法，其中，所述针对每一类别，选择相应的策略检测攻击行为，包括：
对于所述文件类数据报文，将其还原为文件；
对还原的文件进行检测，检测所述文件是否具有恶意行为。
5.根据权利要求4所述的方法，其中，所述对还原的文件进行检测，包括：利用沙箱检测方式对还原的文件进行检测。
6.根据权利要求4或5所述的方法，其中，检测所述文件是否具有恶意行为，包括：
基于网络异常行为检测原理，检测所述文件是否具有恶意行为。
7.根据权利要求3所述的方法，其中，所述针对每一类别，选择相应的策略检测攻击行为，包括：
对于所述非文件类数据报文，
基于网络异常行为检测原理，检测出攻击行为。
8.根据权利要求7所述的方法，其中，所述基于网络异常行为检测原理，检测出攻击行为，包括：
提取所述元数据的网络行为信息；
对所述网络行为信息进行多维度网络行为统计；
依据统计结果，利用决策树分类规则建立网络异常行为模型；
使用所述网络异常行为模型确定出攻击行为。
9.根据权利要求1至8任一项所述的方法，其中，还包括：对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
10.一种网络威胁处理设备，包括：
侦听模块，配置为侦听网络设备的网络访问行为，并获取网络数据报文；
数据提取模块，配置为对获取的网络数据报文进行分析，提取元数据；
确定模块，配置为检测所述元数据并确定出攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
CN201410053974.6A 2014-02-17 2014-02-17 网络威胁处理方法及设备 Pending CN103825888A (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201410053974.6A CN103825888A (zh) 2014-02-17 2014-02-17 网络威胁处理方法及设备
PCT/CN2014/095678 WO2015120752A1 (zh) 2014-02-17 2014-12-30 网络威胁处理方法及设备
US15/119,598 US20170054745A1 (en) 2014-02-17 2014-12-30 Method and device for processing network threat

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410053974.6A CN103825888A (zh) 2014-02-17 2014-02-17 网络威胁处理方法及设备

Publications (1)

Publication Number Publication Date
CN103825888A true CN103825888A (zh) 2014-05-28

Family

ID=50760716

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410053974.6A Pending CN103825888A (zh) 2014-02-17 2014-02-17 网络威胁处理方法及设备

Country Status (3)

Country Link
US (1) US20170054745A1 (zh)
CN (1) CN103825888A (zh)
WO (1) WO2015120752A1 (zh)

Cited By (40)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104506495A (zh) * 2014-12-11 2015-04-08 国家电网公司 一种智能化网络apt攻击威胁分析方法
CN104852910A (zh) * 2015-04-24 2015-08-19 杭州华三通信技术有限公司 一种攻击检测的方法和装置
WO2015120752A1 (zh) * 2014-02-17 2015-08-20 北京奇虎科技有限公司 网络威胁处理方法及设备
CN105262722A (zh) * 2015-09-07 2016-01-20 深信服网络科技（深圳）有限公司 终端恶意流量规则更新方法、云端服务器和安全网关
CN105391679A (zh) * 2015-08-25 2016-03-09 北京洋浦伟业科技发展有限公司 一种通过大数据分析实现动态安全防护的系统和方法
CN105516189A (zh) * 2016-01-08 2016-04-20 乐山师范学院 基于大数据平台的网络安全实施系统及方法
CN105681286A (zh) * 2015-12-31 2016-06-15 中电长城网际系统应用有限公司 关联分析方法和关联分析系统
CN105681211A (zh) * 2015-12-31 2016-06-15 北京安天电子设备有限公司 基于信息萃取的流量记录方法和系统
CN105721416A (zh) * 2015-11-16 2016-06-29 哈尔滨安天科技股份有限公司 一种apt事件攻击组织同源性分析方法及装置
CN105871883A (zh) * 2016-05-10 2016-08-17 上海交通大学 基于攻击行为分析的高级持续性威胁检测方法
CN106341282A (zh) * 2016-11-10 2017-01-18 广东电网有限责任公司电力科学研究院 一种恶意代码行为分析装置
CN106407815A (zh) * 2016-09-30 2017-02-15 北京奇虎科技有限公司 漏洞检测方法及装置
CN106778268A (zh) * 2016-11-28 2017-05-31 广东省信息安全测评中心 恶意代码检测方法与系统
CN106796569A (zh) * 2014-07-29 2017-05-31 电子技巧股份有限公司 信息处理装置及程序
CN106911640A (zh) * 2015-12-23 2017-06-30 北京奇虎科技有限公司 网络威胁处理方法和装置
CN106911637A (zh) * 2015-12-23 2017-06-30 北京奇虎科技有限公司 网络威胁处理方法和装置
CN106934285A (zh) * 2015-12-31 2017-07-07 中兴通讯股份有限公司 一种实现样本分析的方法、装置及动态引擎设备
CN106973051A (zh) * 2017-03-27 2017-07-21 山石网科通信技术有限公司 建立检测网络威胁模型的方法、装置、存储介质和处理器
WO2017148280A1 (zh) * 2016-03-02 2017-09-08 中兴通讯股份有限公司 样本文件分析方法、装置及系统
CN107347057A (zh) * 2016-05-06 2017-11-14 阿里巴巴集团控股有限公司 入侵检测方法、检测规则生成方法、装置及系统
CN107483448A (zh) * 2017-08-24 2017-12-15 中国科学院信息工程研究所 一种网络安全检测方法及检测系统
CN107659543A (zh) * 2016-07-26 2018-02-02 北京计算机技术及应用研究所 面向云平台apt攻击的防护方法
CN107733873A (zh) * 2017-09-19 2018-02-23 北京北信源软件股份有限公司 一种病毒预警系统和方法
CN108108625A (zh) * 2017-12-29 2018-06-01 哈尔滨安天科技股份有限公司 基于格式异构的溢出漏洞检测方法、系统及存储介质
CN108111463A (zh) * 2016-11-24 2018-06-01 蓝盾信息安全技术有限公司 基于平均值和标准差的多维度基线自学习和异常行为分析
WO2018157336A1 (zh) * 2017-03-01 2018-09-07 西门子公司 数据处理装置和方法
CN108616545A (zh) * 2018-06-26 2018-10-02 中国科学院信息工程研究所 一种网络内部威胁的检测方法、系统及电子设备
CN108632224A (zh) * 2017-03-23 2018-10-09 中兴通讯股份有限公司 一种apt攻击检测方法和装置
CN109067815A (zh) * 2018-11-06 2018-12-21 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
CN109362235A (zh) * 2016-05-29 2019-02-19 微软技术许可有限责任公司 对网络可访问存储装置处的事务进行分类
CN110022288A (zh) * 2018-01-10 2019-07-16 贵州电网有限责任公司遵义供电局 一种apt威胁识别方法
CN110336806A (zh) * 2019-06-27 2019-10-15 四川大学 一种结合会话行为和通信关系的隐蔽通信检测方法
CN110348203A (zh) * 2018-04-02 2019-10-18 蓝盾信息安全技术有限公司 一种队列式沙箱文件处理方法
CN110798429A (zh) * 2018-08-01 2020-02-14 深信服科技股份有限公司 一种网络安全防御中的威胁追捕方法、装置及设备
CN111049780A (zh) * 2018-10-12 2020-04-21 北京奇虎科技有限公司 一种网络攻击的检测方法、装置、设备及存储介质
WO2020252635A1 (zh) * 2019-06-17 2020-12-24 西门子股份公司 网络行为模型构建方法、装置和计算机可读介质
CN112153020A (zh) * 2020-09-10 2020-12-29 深圳供电局有限公司 一种工控流量分析方法及装置
CN112738118A (zh) * 2020-12-30 2021-04-30 北京天融信网络安全技术有限公司 网络威胁检测方法、装置、系统、电子设备及存储介质
CN113810342A (zh) * 2020-06-15 2021-12-17 深信服科技股份有限公司 一种入侵检测方法、装置、设备、介质
CN114567480A (zh) * 2022-02-28 2022-05-31 天翼安全科技有限公司 有效攻击告警识别的方法、装置、安全网络及存储介质

Families Citing this family (41)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105376245B (zh) * 2015-11-27 2018-10-30 杭州安恒信息技术有限公司 一种基于规则的apt攻击行为的检测方法
US10885188B1 (en) * 2016-12-30 2021-01-05 Comodo Security Solutions, Inc. Reducing false positive rate of statistical malware detection systems
CN108632225A (zh) * 2017-03-23 2018-10-09 中兴通讯股份有限公司 一种防御网络威胁的方法及系统
CN108156177A (zh) * 2018-01-30 2018-06-12 国家电网公司 基于大数据的信息网安全态势感知预警方法
US11962552B2 (en) 2018-02-20 2024-04-16 Darktrace Holdings Limited Endpoint agent extension of a machine learning cyber defense system for email
US11477222B2 (en) 2018-02-20 2022-10-18 Darktrace Holdings Limited Cyber threat defense system protecting email networks with machine learning models using a range of metadata from observed email communications
US12063243B2 (en) 2018-02-20 2024-08-13 Darktrace Holdings Limited Autonomous email report generator
US11336669B2 (en) 2018-02-20 2022-05-17 Darktrace Holdings Limited Artificial intelligence cyber security analyst
US11924238B2 (en) 2018-02-20 2024-03-05 Darktrace Holdings Limited Cyber threat defense system, components, and a method for using artificial intelligence models trained on a normal pattern of life for systems with unusual data sources
US11985142B2 (en) 2020-02-28 2024-05-14 Darktrace Holdings Limited Method and system for determining and acting on a structured document cyber threat risk
US11463457B2 (en) 2018-02-20 2022-10-04 Darktrace Holdings Limited Artificial intelligence (AI) based cyber threat analyst to support a cyber security appliance
JP6763898B2 (ja) * 2018-03-01 2020-09-30 日本電信電話株式会社 通信制御装置、通信制御方法および通信制御プログラム
CN109067708B (zh) * 2018-06-29 2021-07-30 北京奇虎科技有限公司 一种网页后门的检测方法、装置、设备及存储介质
CN111049784B (zh) * 2018-10-12 2023-08-01 三六零科技集团有限公司 一种网络攻击的检测方法、装置、设备及存储介质
CN109525558B (zh) * 2018-10-22 2022-02-22 深信服科技股份有限公司 数据泄露检测方法、系统、装置及存储介质
US10944782B2 (en) * 2018-12-04 2021-03-09 EMC IP Holding Company LLC Forensic analysis through metadata extraction
EP3918500B1 (en) * 2019-03-05 2024-04-24 Siemens Industry Software Inc. Machine learning-based anomaly detections for embedded software applications
US11516263B2 (en) * 2019-03-14 2022-11-29 T-Mobile Usa, Inc. Secure and transparent transport of application level protocols to non-IP data delivery communication channels
CN112217777A (zh) * 2019-07-12 2021-01-12 上海云盾信息技术有限公司 攻击回溯方法及设备
US12034767B2 (en) 2019-08-29 2024-07-09 Darktrace Holdings Limited Artificial intelligence adversary red team
EP3786827A1 (en) 2019-08-29 2021-03-03 Darktrace Limited Cyber attack adversary simulator
CN110830470B (zh) * 2019-11-06 2022-02-01 杭州安恒信息安全技术有限公司 一种失陷主机检测方法、装置、设备及可读存储介质
CN113141335B (zh) * 2020-01-19 2022-10-28 奇安信科技集团股份有限公司 网络攻击检测方法及装置
EP4111343A1 (en) 2020-02-28 2023-01-04 Darktrace Holdings Limited An artificial intelligence adversary red team
JP2023524619A (ja) 2020-02-28 2023-06-13 ダークトレース ホールディングス リミテッド 関心度に基づいてデータ・フローを異なって取り扱うこと
CN111460447B (zh) * 2020-03-06 2023-08-04 奇安信科技集团股份有限公司 恶意文件检测方法、装置、电子设备与存储介质
CN111510446B (zh) * 2020-04-10 2022-03-22 深信服科技股份有限公司 一种攻击检测方法、装置及电子设备和存储介质
KR102280845B1 (ko) * 2020-11-24 2021-07-22 한국인터넷진흥원 네트워크 내의 비정상 행위 탐지 방법 및 그 장치
CN112600852B (zh) * 2020-12-23 2022-08-23 苏州三六零智能安全科技有限公司 漏洞攻击处理方法、装置、设备及存储介质
CN112788008B (zh) * 2020-12-30 2022-04-26 上海磐御网络科技有限公司 一种基于大数据的网络安全动态防御系统及方法
CN112671800B (zh) * 2021-01-12 2023-09-26 江苏天翼安全技术有限公司 一种威胁量化企业风险值的方法
CN112953918A (zh) * 2021-01-29 2021-06-11 李阳 结合大数据服务器的网络攻击防护方法及大数据防护设备
US11790086B2 (en) * 2021-09-30 2023-10-17 Fortinet, Inc. Selectively applying dynamic malware analysis to software files based on compression type in a software security system
CN114039774B (zh) * 2021-11-08 2024-02-09 天融信雄安网络安全技术有限公司 一种恶意pe程序的阻断方法、检测方法及装置
CN114172701B (zh) * 2021-11-25 2024-02-02 北京天融信网络安全技术有限公司 基于知识图谱的apt攻击检测方法及装置
CN114553513A (zh) * 2022-02-15 2022-05-27 北京华圣龙源科技有限公司 一种通信检测方法、装置及设备
CN114598505A (zh) * 2022-02-22 2022-06-07 深圳海域网络科技有限公司 一种数据全球分发的方法及装置
CN114629711B (zh) * 2022-03-21 2024-02-06 广东云智安信科技有限公司 一种针对Windows平台特种木马检测的方法及系统
CN115174154A (zh) * 2022-06-13 2022-10-11 盈适慧众(上海)信息咨询合伙企业(有限合伙) 高级威胁事件的处理方法、装置、终端设备和存储介质
CN116488938B (zh) * 2023-06-12 2024-01-30 湖南三湘银行股份有限公司 一种基于大数据行为分析的数据检测方法及系统
CN117040931B (zh) * 2023-10-08 2024-07-26 网御安全技术（深圳）有限公司 低误报率的网络攻击检测方法、系统及相关设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101459660A (zh) * 2007-12-13 2009-06-17 国际商业机器公司 用于集成多个威胁安全服务的方法及其设备
CN101986323A (zh) * 2009-10-01 2011-03-16 卡巴斯基实验室封闭式股份公司 用于检测先前未知的恶意软件的系统和方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102571812B (zh) * 2011-12-31 2014-11-05 华为数字技术（成都）有限公司 一种网络威胁的跟踪识别方法及装置
CN102546663A (zh) * 2012-02-23 2012-07-04 神州数码网络(北京)有限公司 一种防止重复地址检测攻击的方法和装置
CN102546666B (zh) * 2012-02-28 2016-04-27 神州数码网络(北京)有限公司 防止igmp欺骗和攻击的方法及装置
CN103825888A (zh) * 2014-02-17 2014-05-28 北京奇虎科技有限公司 网络威胁处理方法及设备

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101459660A (zh) * 2007-12-13 2009-06-17 国际商业机器公司 用于集成多个威胁安全服务的方法及其设备
CN101986323A (zh) * 2009-10-01 2011-03-16 卡巴斯基实验室封闭式股份公司 用于检测先前未知的恶意软件的系统和方法

Cited By (62)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015120752A1 (zh) * 2014-02-17 2015-08-20 北京奇虎科技有限公司 网络威胁处理方法及设备
CN106796569A (zh) * 2014-07-29 2017-05-31 电子技巧股份有限公司 信息处理装置及程序
CN104506495A (zh) * 2014-12-11 2015-04-08 国家电网公司 一种智能化网络apt攻击威胁分析方法
CN104852910B (zh) * 2015-04-24 2018-11-27 新华三技术有限公司 一种攻击检测的方法和装置
CN104852910A (zh) * 2015-04-24 2015-08-19 杭州华三通信技术有限公司 一种攻击检测的方法和装置
CN105391679A (zh) * 2015-08-25 2016-03-09 北京洋浦伟业科技发展有限公司 一种通过大数据分析实现动态安全防护的系统和方法
CN105262722B (zh) * 2015-09-07 2018-09-21 深信服网络科技（深圳）有限公司 终端恶意流量规则更新方法、云端服务器和安全网关
CN105262722A (zh) * 2015-09-07 2016-01-20 深信服网络科技（深圳）有限公司 终端恶意流量规则更新方法、云端服务器和安全网关
CN105721416A (zh) * 2015-11-16 2016-06-29 哈尔滨安天科技股份有限公司 一种apt事件攻击组织同源性分析方法及装置
CN105721416B (zh) * 2015-11-16 2019-09-13 哈尔滨安天科技股份有限公司 一种apt事件攻击组织同源性分析方法及装置
CN106911640A (zh) * 2015-12-23 2017-06-30 北京奇虎科技有限公司 网络威胁处理方法和装置
CN106911637A (zh) * 2015-12-23 2017-06-30 北京奇虎科技有限公司 网络威胁处理方法和装置
CN105681211A (zh) * 2015-12-31 2016-06-15 北京安天电子设备有限公司 基于信息萃取的流量记录方法和系统
CN105681286A (zh) * 2015-12-31 2016-06-15 中电长城网际系统应用有限公司 关联分析方法和关联分析系统
CN105681211B (zh) * 2015-12-31 2020-07-28 北京安天网络安全技术有限公司 基于信息萃取的流量记录方法和系统
CN106934285A (zh) * 2015-12-31 2017-07-07 中兴通讯股份有限公司 一种实现样本分析的方法、装置及动态引擎设备
CN105516189B (zh) * 2016-01-08 2018-06-15 四川大学 基于大数据平台的网络安全实施系统及方法
CN105516189A (zh) * 2016-01-08 2016-04-20 乐山师范学院 基于大数据平台的网络安全实施系统及方法
CN107154914B (zh) * 2016-03-02 2020-12-04 中兴通讯股份有限公司 样本文件分析方法、装置及系统
CN107154914A (zh) * 2016-03-02 2017-09-12 中兴通讯股份有限公司 样本文件分析方法、装置及系统
WO2017148280A1 (zh) * 2016-03-02 2017-09-08 中兴通讯股份有限公司 样本文件分析方法、装置及系统
CN107347057A (zh) * 2016-05-06 2017-11-14 阿里巴巴集团控股有限公司 入侵检测方法、检测规则生成方法、装置及系统
CN107347057B (zh) * 2016-05-06 2021-03-02 阿里巴巴集团控股有限公司 入侵检测方法、检测规则生成方法、装置及系统
CN105871883B (zh) * 2016-05-10 2019-10-08 上海交通大学 基于攻击行为分析的高级持续性威胁检测方法
CN105871883A (zh) * 2016-05-10 2016-08-17 上海交通大学 基于攻击行为分析的高级持续性威胁检测方法
CN109362235A (zh) * 2016-05-29 2019-02-19 微软技术许可有限责任公司 对网络可访问存储装置处的事务进行分类
CN109362235B (zh) * 2016-05-29 2021-10-26 微软技术许可有限责任公司 对网络可访问存储装置处的事务进行分类的方法
CN107659543B (zh) * 2016-07-26 2020-12-01 北京计算机技术及应用研究所 面向云平台apt攻击的防护方法
CN107659543A (zh) * 2016-07-26 2018-02-02 北京计算机技术及应用研究所 面向云平台apt攻击的防护方法
CN106407815B (zh) * 2016-09-30 2020-02-14 北京奇虎科技有限公司 漏洞检测方法及装置
CN106407815A (zh) * 2016-09-30 2017-02-15 北京奇虎科技有限公司 漏洞检测方法及装置
CN106341282A (zh) * 2016-11-10 2017-01-18 广东电网有限责任公司电力科学研究院 一种恶意代码行为分析装置
CN108111463A (zh) * 2016-11-24 2018-06-01 蓝盾信息安全技术有限公司 基于平均值和标准差的多维度基线自学习和异常行为分析
CN106778268A (zh) * 2016-11-28 2017-05-31 广东省信息安全测评中心 恶意代码检测方法与系统
US11405358B2 (en) 2017-03-01 2022-08-02 Siemens Aktiengesellschaft Network security monitoring of network traffic
WO2018157336A1 (zh) * 2017-03-01 2018-09-07 西门子公司 数据处理装置和方法
CN108632224A (zh) * 2017-03-23 2018-10-09 中兴通讯股份有限公司 一种apt攻击检测方法和装置
CN108632224B (zh) * 2017-03-23 2022-03-15 中兴通讯股份有限公司 一种apt攻击检测方法和装置
CN106973051A (zh) * 2017-03-27 2017-07-21 山石网科通信技术有限公司 建立检测网络威胁模型的方法、装置、存储介质和处理器
CN106973051B (zh) * 2017-03-27 2019-11-19 山石网科通信技术股份有限公司 建立检测网络威胁模型的方法、装置和存储介质
CN107483448A (zh) * 2017-08-24 2017-12-15 中国科学院信息工程研究所 一种网络安全检测方法及检测系统
CN107733873A (zh) * 2017-09-19 2018-02-23 北京北信源软件股份有限公司 一种病毒预警系统和方法
CN108108625A (zh) * 2017-12-29 2018-06-01 哈尔滨安天科技股份有限公司 基于格式异构的溢出漏洞检测方法、系统及存储介质
CN108108625B (zh) * 2017-12-29 2022-01-07 安天科技集团股份有限公司 基于格式异构的溢出漏洞检测方法、系统及存储介质
CN110022288A (zh) * 2018-01-10 2019-07-16 贵州电网有限责任公司遵义供电局 一种apt威胁识别方法
CN110348203A (zh) * 2018-04-02 2019-10-18 蓝盾信息安全技术有限公司 一种队列式沙箱文件处理方法
CN108616545A (zh) * 2018-06-26 2018-10-02 中国科学院信息工程研究所 一种网络内部威胁的检测方法、系统及电子设备
CN108616545B (zh) * 2018-06-26 2021-06-29 中国科学院信息工程研究所 一种网络内部威胁的检测方法、系统及电子设备
CN110798429A (zh) * 2018-08-01 2020-02-14 深信服科技股份有限公司 一种网络安全防御中的威胁追捕方法、装置及设备
CN111049780A (zh) * 2018-10-12 2020-04-21 北京奇虎科技有限公司 一种网络攻击的检测方法、装置、设备及存储介质
CN111049780B (zh) * 2018-10-12 2022-12-02 北京奇虎科技有限公司 一种网络攻击的检测方法、装置、设备及存储介质
CN109067815B (zh) * 2018-11-06 2021-11-19 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
CN109067815A (zh) * 2018-11-06 2018-12-21 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
WO2020252635A1 (zh) * 2019-06-17 2020-12-24 西门子股份公司 网络行为模型构建方法、装置和计算机可读介质
CN110336806A (zh) * 2019-06-27 2019-10-15 四川大学 一种结合会话行为和通信关系的隐蔽通信检测方法
CN113810342A (zh) * 2020-06-15 2021-12-17 深信服科技股份有限公司 一种入侵检测方法、装置、设备、介质
CN113810342B (zh) * 2020-06-15 2023-03-21 深信服科技股份有限公司 一种入侵检测方法、装置、设备、介质
CN112153020A (zh) * 2020-09-10 2020-12-29 深圳供电局有限公司 一种工控流量分析方法及装置
CN112738118A (zh) * 2020-12-30 2021-04-30 北京天融信网络安全技术有限公司 网络威胁检测方法、装置、系统、电子设备及存储介质
CN112738118B (zh) * 2020-12-30 2023-08-29 北京天融信网络安全技术有限公司 网络威胁检测方法、装置、系统、电子设备及存储介质
CN114567480A (zh) * 2022-02-28 2022-05-31 天翼安全科技有限公司 有效攻击告警识别的方法、装置、安全网络及存储介质
CN114567480B (zh) * 2022-02-28 2024-03-12 天翼安全科技有限公司 有效攻击告警识别的方法、装置、安全网络及存储介质

Also Published As

Publication number Publication date
WO2015120752A1 (zh) 2015-08-20
US20170054745A1 (en) 2017-02-23

Similar Documents

Publication Publication Date Title
CN103825888A (zh) 网络威胁处理方法及设备
US11341242B2 (en) System and method for malware detection on a per packet basis
CN108471429B (zh) 一种网络攻击告警方法及系统
US10904286B1 (en) Detection of phishing attacks using similarity analysis
JP6441957B2 (ja) 疑わしいオブジェクトにおけるエクスプロイトを自動的に実証し、当該実証済みエクスプロイトに関連付けられた表示情報を強調するシステム、装置、および方法
CN106357689B (zh) 威胁数据的处理方法及系统
US11032304B2 (en) Ontology based persistent attack campaign detection
US9825989B1 (en) Cyber attack early warning system
US8881276B2 (en) Dynamically generated whitelist for high throughput intrusion prevention system (IPS) functionality
US10270805B2 (en) System and method thereof for identifying and responding to security incidents based on preemptive forensics
US10505986B1 (en) Sensor based rules for responding to malicious activity
CN108932426B (zh) 越权漏洞检测方法和装置
CN109862003B (zh) 本地威胁情报库的生成方法、装置、系统及存储介质
CN108881263B (zh) 一种网络攻击结果检测方法及系统
CN106911637A (zh) 网络威胁处理方法和装置
CN106961419A (zh) WebShell检测方法、装置及系统
CN107733834B (zh) 一种数据泄露防护方法及装置
CN112953971B (zh) 一种网络安全流量入侵检测方法和系统
US20240007487A1 (en) Asset Remediation Trend Map Generation and Utilization for Threat Mitigation
CN107995179B (zh) 一种未知威胁感知方法、装置、设备及系统
CN106911640A (zh) 网络威胁处理方法和装置
US11762991B2 (en) Attack kill chain generation and utilization for threat analysis
CN103986731A (zh) 通过图片匹配来检测钓鱼网页的方法及装置
CN104143008A (zh) 基于图片匹配检测钓鱼网页的方法及装置
CN103746992A (zh) 基于逆向的入侵检测系统及其方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C41 Transfer of patent application or patent right or utility model
TA01 Transfer of patent application right

Effective date of registration: 20161212

Address after: 100015 Jiuxianqiao Chaoyang District Beijing Road No. 10, building 15, floor 17, layer 1701-26, 3

Applicant after: BEIJING QI'ANXIN SCIENCE & TECHNOLOGY CO., LTD.

Address before: 100088 Beijing city Xicheng District xinjiekouwai Street 28, block D room 112 (Desheng Park)

Applicant before: Beijing Qihoo Technology Co., Ltd.

Applicant before: Qizhi Software (Beijing) Co., Ltd.

RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20140528