CN106899549B

CN106899549B - 一种网络安全检测方法及装置

Info

Publication number: CN106899549B
Application number: CN201510959063.4A
Authority: CN
Inventors: 龙专
Original assignee: Beijing Qihoo Technology Co Ltd; Qizhi Software Beijing Co Ltd
Current assignee: Beijing Qizhi Business Consulting Co ltd; Beijing Qihoo Technology Co Ltd; 360 Digital Security Technology Group Co Ltd
Priority date: 2015-12-18
Filing date: 2015-12-18
Publication date: 2020-02-07
Anticipated expiration: 2035-12-18
Also published as: CN106899549A

Abstract

本发明公开了一种网络安全检测方法及装置，用于解决现有技术中基于爬虫技术难以抓取孤岛网页的URL，进而会导致遗漏对孤岛页面的安全检测的问题。该方法包括：对预定网络范围内的流量进行监测，确定所述流量指向的统一资源定位符URL；确定预定时间范围内监测到的对应于所述URL的流量数量，以及根据所述流量数量，确定针对所述URL进行安全检测的优先级；根据确定的所述优先级，针对所述URL进行安全检测。

Description

一种网络安全检测方法及装置

技术领域

本发明涉及网络安全领域，尤其涉及一种网络安全检测方法及装置。

背景技术

目前，计算机和互联网技术的迅速发展和广泛应用，给人们的工作和娱乐带来了诸多便利，网络已经和人们的生活息息相关，因此，网络安全也越来越被人们所重视，网络上的各类网站的安全是网络安全最重要的组成部分之一。

网络上的网站存在着各种各样的安全隐患，比如：木马、恶意后门程序、COOKIE中毒、引用程序缓冲溢出、跨站脚本攻击。用户在使用网站时，用户的信息安全可能会受到这些安全隐患的威胁。因此，用户希望了解网站的安全程度，使用较为安全的网站，而网站管理者也希望能够及时地发现网站存在安全隐患。

在现有技术中，针对网站的安全检测方法都是基于爬虫技术来抓取统一资源定位符(Uniform Resource Locator，URL)，再对抓取的URL对应的网页进行安全检测，以发现这些安全隐患。

但是，对于孤岛网页，由于孤岛网页的URL并不包含在任意其他网站中，因此，基于爬虫技术无法抓取孤岛网页的URL，进而会导致遗漏对孤岛网页的安全检测。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的网络安全检测方法及装置。

根据本发明的一个方面，提出一种网络安全检测方法，包括：

对预定网络范围内的流量进行监测，确定所述流量指向的统一资源定位符URL；

确定预定时间范围内监测到的对应于所述URL的流量数量，以及根据所述流量数量，确定针对所述URL进行安全检测的优先级；

根据确定的所述优先级，针对所述URL进行安全检测。

可选地，对预定网络范围内的流量进行监测，具体包括：

在预定网络范围的流量入口处，采用端口镜像方式和/或流量过滤方式，对所述预定网络范围内的流量进行监测。

可选地，根据所述流量数量，确定针对所述URL进行安全检测的优先级，具体包括：

当确定所述流量数量大于预设阈值时，将所述URL加入等待安全检测的URL集合中；根据所述流量数量，和/或所述预定时间范围内监测到的、对应于所述URL集合中各其他URL的流量数量，确定针对所述URL进行安全检测的优先级。

当确定所述流量是所述预定时间范围内首次监测到的、对应于所述URL的流量时，将所述URL加入等待安全检测的URL集合中，并确定针对所述URL进行安全检测的优先级为预定默认级别；

当确定所述流量不是所述预定时间范围内首次监测到的、对应于所述URL的流量时，根据所述预定时间范围内监测到的，对应于所述URL的流量数量，和/或对应于所述URL集合中各其他URL的流量数量，对针对所述URL进行安全检测的优先级相应地进行调整。

可选地，在将所述URL加入等待进行安全检测的URL集合中前，所述方法还包括：

确定所述URL为有效URL；和/或

确定所述URL尚未包含在所述URL集合中；和/或

确定在预定时间范围内尚未对所述URL进行过安全检测。

可选地，根据确定的所述优先级，针对所述URL进行安全检测，具体包括：

针对加入了所述URL的等待安全检测的URL集合，根据确定的所述优先级在所述URL集合中的优先级顺序，对所述URL进行安全检测。

可选地，针对所述URL进行安全检测，具体包括：

获取所述URL对应的网页，以及对获取的网页进行安全检测；和/或

确定所述URL隶属的域名，获取包含所述URL对应的网页在内的、隶属于所述域名的一个或多个网页，以及对获取的网页进行安全检测。

根据本发明的另一个方面，提出一种网络安全检测装置，包括：

监测模块，用于对预定网络范围内的流量进行监测，确定所述流量指向的统一资源定位符URL；

确定模块，用于确定预定时间范围内监测到的对应于所述URL的流量数量，以及根据所述流量数量，确定针对所述URL进行安全检测的优先级；

检测模块，用于根据确定的所述优先级，针对所述URL进行安全检测。

可选地，所述监测模块具体用于：在预定网络范围的流量入口处，采用端口镜像方式和/或流量过滤方式，对所述预定网络范围内的流量进行监测。

可选地，所述确定模块具体用于：当确定所述流量数量大于预设阈值时，将所述URL加入等待安全检测的URL集合中；根据所述流量数量，和/或所述预定时间范围内监测到的、对应于所述URL集合中各其他URL的流量数量，确定针对所述URL进行安全检测的优先级。

可选地，所述确定模块具体用于：当确定所述流量是所述预定时间范围内首次监测到的、对应于所述URL的流量时，将所述URL加入等待安全检测的URL集合中，并确定针对所述URL进行安全检测的优先级为预定默认级别；当确定所述流量不是所述预定时间范围内首次监测到的、对应于所述URL的流量时，根据所述预定时间范围内监测到的，对应于所述URL的流量数量，和/或对应于所述URL集合中各其他URL的流量数量，对针对所述URL进行安全检测的优先级相应地进行调整。

可选地，所述装置还包括：

验证模块，用于在所述确定模块将将所述URL加入等待进行安全检测的URL集合前，确定所述URL为有效URL；和/或确定所述URL尚未包含在所述URL集合中；和/或确定在预定时间范围内尚未对所述URL进行过安全检测。

可选地，所述检测模块具体用于：针对加入了所述URL的等待安全检测的URL集合，根据确定的所述优先级在所述URL集合中的优先级顺序，对所述URL进行安全检测。

可选地，所述检测模块具体用于：所述检测模块具体用于：获取所述URL对应的网页，以及对获取的网页进行安全检测；和/或确定所述URL隶属的域名，获取包含所述URL对应的网页在内的、隶属于所述域名的一个或多个网页，以及对获取的网页进行安全检测。

根据本发明的方案，对预定网络范围内的流量进行监测，确定所述流量指向的统一资源定位符URL；确定预定时间范围内监测到的对应于所述URL的流量数量，以及根据所述流量数量，确定针对所述URL进行安全检测的优先级；根据确定的所述优先级，针对所述URL进行安全检测。则在预定时间范围内，只要有用户访问该预定网络范围内的孤岛网页，就会产生对应于该孤岛网页的URL的流量，进而可以确定该孤岛网页的URL，并可以根据该孤岛网页的URL，对该孤岛网页进行安全检测，因此，不会遗漏对该孤岛网页的安全检测。不仅如此，由于可以根据URL对应的流量数量确定的优先级，并按照优先级针对URL进行安全检测，因此，可以提高对用户访问的各URL对应的网页进行安全检测的及时性。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1为依据本发明一个实施例的网络安全检测方法的过程；

图2为依据本发明一个实施例的网络安全检测方法的详细过程；

图3为依据本发明一个实施例的网络安全检测装置结构示意图。

具体实施方式

下面将参照附图更详细地描述本发明公开的示例性实施例。虽然附图中显示了本发明公开的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明公开的范围完整的传达给本领域的技术人员。

以下结合附图，详细说明本发明各实施例提供的技术方案。

图1为依据本发明实施例的网络安全检测方法的过程，该过程的执行主体可以是可用于进行网络安全检测的任意设备，如服务器和终端等。所述终端可以是：个人计算机、手机、平板电脑、智能手表、车载移动台等；所述服务器可以是：作为服务器的个人计算机、大中型计算机、计算机集群等。执行主体并不构成对本发明的限定。为了便于描述，以下将执行主体称为：网络安全检测设备。

本发明实施例中所述的网络安全检测可以是用于背景技术中提到的各种安全隐患的检测。

图1中的网络安全检测方法的过程可以包括步骤：

S101：对预定网络范围内的流量进行监测，确定所述流量指向的统一资源定位符URL。

本发明的实施例中，对所述的预定网络范围的具体大小并不做限定。在实际应用中，预定网络范围是广域网或局域网中的一部分或全部，预定网络范围可以是根据地理位置，或因特网协议(Internet Protocol)地址，或其他网络划分因素划分出来的。在预定网络范围内，可以有一个或多个网站，每个网站上可以多个网页，每个网页分别对应一个URL。

在本发明的实施例中，所述的流量可以是数据包形式的数据流量，比如超文本传输协议(Hyper Text Transfer Protocol，HTTP)请求包、用户群对用户群(Peer To Peer)下载相关的数据包等，也可以是诸字符流、字节流、音频流、视频流等其他形式的数据流量。流量指向的URL可以从流量直接提取确定，或者，可以根据流量中包含的字段信息从其他设备上查询确定。

在本发明的实施例中，主要以所述的流量HTTP请求包作为示例，对本发明的方案进行说明。

HTTP请求包中包含有其指向的URL。用户通过浏览器访问某网页时，需要在浏览器的地址栏里输入该网页对应的URL，并确定打开，则浏览器相应地向该网页对应的服务器发送包含该URL的HTTP请求包，以请求获取该网页。因此，可以直接从HTTP请求包中获取器指向的URL。

HTTP请求包具体可以是get请求包、post请包等。其中，get请求是以实体的方式得到由请求URL所指定资源的信息，如果请求URL只是一个数据产生过程，那么最终要在响应实体中返回的是处理过程的结果所指向的资源，而不是处理过程的描述；post请求用来向目的服务器发出请求，要求它接受被附在请求后的实体，并把它当作请求队列中请求URL所指定资源的附加新子项。

S102：确定预定时间范围内监测到的对应于所述URL的流量数量，以及根据所述流量数量，确定针对所述URL进行安全检测的优先级。

本发明实施例对预定时间范围的长度并不做限定，可以是一小时、一天、一周、一个月，等等。

在本发明的实施例中，可以监测流量的同时，可以针对监测到的各流量对应的各URL，分别为每个URL确定该URL对应的流量数量。各流量可以来自同一个用户，也可以来自不同的用户。对于不同形式的流量，流量数量的计量单位可以不同。比如，对于HTTP请求包形式的流量，流量数量的计量单位可以是(HTTP请求包)个数。

在实际应用中，监测流量可以是一个动态持续的过程(因为各流量可以随着时间变化，定期或不定期地持续或非持续地流入)，相应地，确定流量数量的动作也可以是一个动态持续的过程(也即，每当监测到新流入的流量时，可能导致所述流量数量变化，因此，可能要重新确定所述流量数量)，每次确定出的流量数量的数据可以保存下来，保存的数据可以用于下次确定流量数量。

在本发明的实施例中，为了便于描述，可以将针对所述URL进行安全检测的优先级简称为：所述URL的优先级。

URL的流量数量可以反映用户请求浏览所述URL对应的网页的请求数量和/或请求频度。一般的，对于请求数量和/或请求频度越高的网页，可以认为是越重要的网页，相应地，可以给予该网页对应的URL越高的优先级。

当然，上一段的方案并非是绝对的，在实际应用中，对于某些虽然用户访问数量和/频度不高，但是仍然很重要的网页，也可以给予这些网页对应的URL较高的优先级。

进一步地，优先级可以有多种表示方式。以下举例进行说明其中的两种表示方式。

例如，优先级可以采用优先级队列的形式进行表示。具体的，优先级队列中可以有多个URL，则在优先级队列中越靠前的URL，其优先级也越高。

又例如，优先级也可以采用关联优先级标识的形式进行表示。具体的，可以预先定义多个优先级标识，不同的优先级标识表示的优先级不同，可以分别为每个URL关联一个优先级标识，则URL的优先级即为其关联的优先级标识表示的优先级。

S103：根据确定的所述优先级，针对所述URL进行安全检测。

在本发明实施例中，优先级越高的URL，可以越早地进行安全检测。

通过图1中的过程，在预定时间范围内，只要有用户访问该预定网络范围内的孤岛网页，就会产生对应于该孤岛网页的URL的流量，进而可以确定该孤岛网页的URL，并可以根据该孤岛网页的URL，对该孤岛网页进行安全检测，因此，不会遗漏对该孤岛网页的安全检测。不仅如此，由于可以根据URL对应的流量数量确定的优先级，并按照优先级针对URL进行安全检测，因此，可以提高对用户访问的各URL对应的网页进行安全检测的及时性。

为了便于理解，下面对图1中的步骤进一步地说明。

依据本发明的一个实施例，对于步骤S101，对预定网络范围内的流量进行监测，具体可以包括：在预定网络范围的流量入口处，采用端口镜像方式和/或流量过滤方式，对所述预定网络范围内的流量进行监测。

在实际应用中，流量入口可以有不止一个。例如，假定预定网络范围是属于某个公司管辖的多个网站，则多个网站可能有多个流量入口，流量入口一般是交换机或路由器上的端口。

上面提到了端口镜像方式、流量过滤方式这两种流量监控方式，端口镜像方式是通过设置流量流入的端口的镜像，将流入的流量进行复制，进而分析复制的流量即可，端口镜像方式的优点是不会影响流量的正常出入，对网站影响较小，实施成本也较小；流量过滤方式在是直接在流量流入的端口处分析流量，流量过滤方式的优点是可以及时地根据后续安全检测结果，对流入的流量进行管控。

在本发明实施例中，步骤S102可以有种多种实施方案，下面主要针对其中两种方案分别进行说明。

第一种方案：

依据本发明的一个实施例，对于步骤S102，根据所述流量数量，确定针对所述URL进行安全检测的优先级，具体可以包括：当确定所述流量数量大于预设阈值时，将所述URL加入等待安全检测的URL集合中；根据所述流量数量，和/或所述预定时间范围内监测到的、对应于所述URL集合中各其他URL的流量数量，确定针对所述URL进行安全检测的优先级。当确定所述流量数量不大于预设阈值时，可以暂时不将所述URL加入等待安全检测的URL集合中。

例如，假定预设阈值为10，则当安全检测服务器在预定时间范围内监测到第11个包含同一个URL的HTTP请求包时，可以将该URL加入等待安全检测的URL集合中。当采用优先级队列时，假定所有URL对应的预设阈值都相同，则可以将该URL的优先级设置为最高(插在优先级队列的最前端)或最低(插在优先级队列的最后端)。

类似地，当预设阈值为0时，则当安全检测服务器在预定时间范围内首次监测到某个URL的HTTP请求包时，即可将该URL加入等待安全检测的URL集合中。

需要说明的是，在URL加入等待安全检测的URL集合中，若安全检测服务器在预定时间范围内监测到的、对应于该URL的流量数量发生变化时，可以相应地对该URL的优先级进行调整。

第二种方案：

依据本发明的一个实施例，对于步骤S102，根据所述流量数量，确定针对所述URL进行安全检测的优先级，具体可以包括：当确定所述流量是所述预定时间范围内首次监测到的、对应于所述URL的流量时，将所述URL加入等待安全检测的URL集合中，并确定针对所述URL进行安全检测的优先级为预定默认级别；当确定所述流量不是所述预定时间范围内首次监测到的、对应于所述URL的流量时，根据所述预定时间范围内监测到的，对应于所述URL的流量数量，和/或对应于所述URL集合中各其他URL的流量数量，对针对所述URL进行安全检测的优先级相应地进行调整。

相比于第一种方案，第二种方案更强调了优先级动态调整的场景。本发明对优先级的预定默认级别并不做限定，可以是任一种优先级的级别，如最高级别或最低级别等。

上面对步骤S102的两种实施方案进行了说明，在实际应用中，可以根据具体场景，选择更适用与该场景的实施方案，或者，也可以混合使用这两种实施方案。

在本申请实施例中，在上述步骤S102的两种实施方案中，都存在将所述URL加入等待安全检测的URL集合中的动作。在执行该动作之前，还可以执行一些相关的验证动作，目的是防止浪费处理资源，进一步地提高本发明的方案的实用性。

具体的，对于步骤S102，在将所述URL加入等待进行安全检测的URL集合中前，还可以执行以下步骤：确定所述URL为有效URL；和/或确定所述URL尚未包含在所述URL集合中；和/或确定在预定时间范围内尚未对所述URL进行过安全检测。可以看到，验证动作共有三种，下面分别针对这三种验证动作进行说明。

第一种验证动作，即确定URL是否为有效URL。有效URL指能够正常打开网页或下载文件的URL，反之，则为无效URL。无效URL对应的网页无法为用户提供除了错误提示信息以外的任何有价值信息，当某URL出现无域名、域名不全、URL不完整、post协议数据包没内容等现象时，可以将该URL判定为无效URL。以域名为123.com的某一URL为例，若链接中没有出现域名123.com或只出现域名的一部分如23.com，则该URL可能为无效URL。

如上所述，若确定URL不为有效URL，则由于没有必要对其进行安全检测，因此，可以不将其加入等待进行安全检测的URL集合中，进而，可以继续监测新流入的流量。从而可以防止浪费处理资源。

第二种验证动作，即确定URL是否已包含在URL集合中。显然，若URL尚未包含在URL集合中，则可以将其加入等待进行安全检测的URL集合中，若URL已包含在URL集合中，则无需再将其加入等待进行安全检测的URL集合中，从而可以防止URL集合出现重复冗余的URL。

第三种验证动作，即确定在预定时间范围内是否已对URL进行过安全检测。需要说明的是，这里的“预定时间范围”与步骤S102中的“预定时间范围”可以是同一个时间范围，也可以是不同的时间范围，本发明对此并不做限定。

若在预定时间范围内已对URL进行过安全检测，则可以暂时不将该URL加入等待进行安全检测的URL集合中，而是可以等待以后有需求(如下一轮的预定时间范围到来)时再考虑针对该URL进行过安全检测，从而可以防止在短时间内针对同一个URL进行不止一次安全检测，浪费处理资源的情况发生。

依据本发明的一个实施例，对于步骤S103，根据确定的所述优先级，针对所述URL进行安全检测，具体可以包括：针对加入了所述URL的等待安全检测的URL集合，根据确定的所述优先级在所述URL集合中的优先级顺序，对所述URL进行安全检测。根据前面的说明可知，URL集合中的优先级顺序可能随着时间变化(安全检测设备可能监测到新流入的流量)而发生变化。

依据本发明的一个实施例，对于步骤S103，针对所述URL进行安全检测，具体可以包括：获取所述URL对应的网页，以及对获取的网页进行安全检测；和/或确定所述URL隶属的域名，获取包含所述URL对应的网页在内的、隶属于所述域名的一个或多个网页，以及对获取的网页进行安全检测。对于前一种方案，对于每个URL，只对其对应的网页进行安全检测，这种方案的优点是每次进行安全检测的工作量较小，管控灵活；对于后一种方案，在对任一域名进行安全检测后，可以将URL集合中隶属于该域名的URL去除，从而有利于减小URL集合的规模。

针对网页进行安全检测的数据包括以下至少之一：挂马数据、虚假欺诈数据、搜索屏蔽数据、旁注数据、篡改数据、漏洞数据。可以根据安全检测的数据，按照与之对应的安全检测规则进行安全检测，其中，安全检测规则可以包括以下至少之一：挂马规则、虚假欺诈规则、屏蔽规则、旁注规则、篡改规则、和漏洞规则。

以漏洞规则作为例，在对网页进行安全检测时，可以利用漏洞规则对网页进行扫描。漏洞规则用于根据漏洞数据确定网页存在的漏洞。

根据漏洞数据，按照漏洞规则对网站进行安全检测可以包括：获取预先存储的漏洞特征数据库中的漏洞特征，判断漏洞数据是否符合漏洞特征，若漏洞数据符合漏洞特征，则确定为漏洞；若漏洞数据不符合漏洞特征，则确定为非漏洞。根据判断结果确定网页存在的漏洞，其中，漏洞特征可以为漏洞关键字。

比如，将网页状态代码404作为漏洞关键字；或者，将404页面内容作为漏洞关键字；或者，通过访问网站的正常网页，提取该正常网页的网页内容、网页状态代码和HTTP头部，访问该网站不存在的网页，提取反馈网页的网页内容、网页状态代码和HTTP头部，比较该正常网页和该反馈网页的网页内容、网页状态代码和HTTP头部，获取404关键字作为漏洞关键字；再或者，访问不存在的网页，将反馈网页的网页内容、网页状态代码和HTTP头部作为漏洞关键字等等，本发明对此并不作限定。

根据上述说明，为了便于理解，本发明还提供了一种在实际应用中，实施本发明的网络安全检测方法的详细过程。如图2所示，具体可以包括以下步骤：

S201：在预定网络范围的流量入口处，采用端口镜像方式和/或流量过滤方式，对所述预定网络范围内的流量进行监测。

S202：确定监测到的流量指向的统一资源定位符URL。

S203：判断所述URL是否为有效URL，判断所述URL是否尚未包含在所述URL集合中，判断在预定时间范围内是否尚未对所述URL进行过安全检测，若判断结果均为是时，执行步骤S204，否则，跳转回步骤S201。

S204：确定预定时间范围内监测到的对应于所述URL的流量数量。

S205：判断所述流量数量是否大于预设阈值，若是执行步骤S206，否则，跳转回步骤S201。

S206：将所述URL加入等待安全检测的URL集合中。

S207：根据所述流量数量，和/或所述预定时间范围内监测到的、对应于所述URL集合中各其他URL的流量数量，确定针对所述URL进行安全检测的优先级。

S208：针对加入了所述URL的等待安全检测的URL集合，根据确定的所述优先级在所述URL集合中的优先级顺序，当所述URL优先级最高时，获取所述URL对应的网页，以及对获取的网页进行安全检测；和/或确定所述URL隶属的域名，获取包含所述URL对应的网页在内的、隶属于所述域名的一个或多个网页，以及对获取的网页进行安全检测。

需要说明的是，对于步骤S102，图2中是采用了上面举例的提到的可以用于实施步骤S102的第一种实施方案。

以上为本发明实施例提供的一种网络安全检测方法，基于同样的发明思路，本发明实施例还提供一种网络安全检测装置，如图3所示。

图3为依据本发明一个实施例的网络安全检测装置结构示意图，具体包括：

监测模块301，用于对预定网络范围内的流量进行监测，确定所述流量指向的统一资源定位符URL；

确定模块302，用于确定预定时间范围内监测到的对应于所述URL的流量数量，以及根据所述流量数量，确定针对所述URL进行安全检测的优先级；

检测模块303，用于根据确定的所述优先级，针对所述URL进行安全检测。

可选地，所述监测模块301具体用于：在预定网络范围的流量入口处，采用端口镜像方式和/或流量过滤方式，对所述预定网络范围内的流量进行监测。

根据上述装置，可以对预定网络范围内的流量进行监测，确定所述流量指向的统一资源定位符URL；确定预定时间范围内监测到的对应于所述URL的流量数量，以及根据所述流量数量，确定针对所述URL进行安全检测的优先级；根据确定的所述优先级，针对所述URL进行安全检测。则在预定时间范围内，只要有用户访问该预定网络范围内的孤岛网页，就会产生对应于该孤岛网页的URL的流量，进而可以确定该孤岛网页的URL，并可以根据该孤岛网页的URL，对该孤岛网页进行安全检测，因此，不会遗漏对该孤岛网页的安全检测。不仅如此，由于可以根据URL对应的流量数量确定的优先级，并按照优先级针对URL进行安全检测，因此，可以提高对用户访问的各URL对应的网页进行安全检测的及时性。

可选地，所述确定模块302具体用于：当确定所述流量数量大于预设阈值时，将所述URL加入等待安全检测的URL集合中；根据所述流量数量，和/或所述预定时间范围内监测到的、对应于所述URL集合中各其他URL的流量数量，确定针对所述URL进行安全检测的优先级。

可选地，所述确定模块302具体用于：当确定所述流量是所述预定时间范围内首次监测到的、对应于所述URL的流量时，将所述URL加入等待安全检测的URL集合中，并确定针对所述URL进行安全检测的优先级为预定默认级别；当确定所述流量不是所述预定时间范围内首次监测到的、对应于所述URL的流量时，根据所述预定时间范围内监测到的，对应于所述URL的流量数量，和/或对应于所述URL集合中各其他URL的流量数量，对针对所述URL进行安全检测的优先级相应地进行调整。

可选地，所述装置还包括：

验证模块304，用于在所述确定模块将将所述URL加入等待进行安全检测的URL集合前，确定所述URL为有效URL；和/或确定所述URL尚未包含在所述URL集合中；和/或确定在预定时间范围内尚未对所述URL进行过安全检测。

可选地，所述检测模块304具体用于：针对加入了所述URL的等待安全检测的URL集合，根据确定的所述优先级在所述URL集合中的优先级顺序，对所述URL进行安全检测。

可选地，所述检测模块304具体用于：所述检测模块具体用于：获取所述URL对应的网页，以及对获取的网页进行安全检测；和/或确定所述URL隶属的域名，获取包含所述URL对应的网页在内的、隶属于所述域名的一个或多个网页，以及对获取的网页进行安全检测。

具体的上述如图3所示的网络安全检测装置可以位于服务器、终端中。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的拦截应用程序中的植入信息的设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”或“包括”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本申请可以应用于计算机系统/服务器，其可与众多其它通用或专用计算系统环境或配置一起操作。适于与计算机系统/服务器一起使用的众所周知的计算系统、环境和/或配置的例子包括但不限于：个人计算机系统、服务器计算机系统、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的系统、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机系统﹑大型计算机系统和包括上述任何系统的分布式云计算技术环境，等等。

计算机系统/服务器可以在由计算机系统执行的计算机系统可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机系统/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算系统存储介质上。

Claims

1.一种网络安全检测方法，其特征在于，包括：

根据确定的所述优先级，针对所述URL进行安全检测；

根据所述流量数量，确定针对所述URL进行安全检测的优先级，具体包括：

当确定所述流量数量大于预设阈值时，将所述URL加入等待安全检测的URL集合中；

根据所述流量数量，和/或所述预定时间范围内监测到的、对应于所述URL集合中各其他URL的流量数量，确定针对所述URL进行安全检测的优先级；

和/或，

2.根据权利要求1所述的方法，其特征在于，对预定网络范围内的流量进行监测，具体包括：

3.根据权利要求1所述的方法，其特征在于，在将所述URL加入等待进行安全检测的URL集合中前，所述方法还包括：

确定所述URL为有效URL；和/或

确定所述URL尚未包含在所述URL集合中；和/或

确定在预定时间范围内尚未对所述URL进行过安全检测。

4.根据权利要求1所述的方法，其特征在于，根据确定的所述优先级，针对所述URL进行安全检测，具体包括：

5.根据权利要求1所述的方法，其特征在于，针对所述URL进行安全检测，具体包括：

6.一种网络安全检测装置，其特征在于，包括：

检测模块，用于根据确定的所述优先级，针对所述URL进行安全检测；

所述确定模块具体用于：当确定所述流量数量大于预设阈值时，将所述URL加入等待安全检测的URL集合中；根据所述流量数量，和/或所述预定时间范围内监测到的、对应于所述URL集合中各其他URL的流量数量，确定针对所述URL进行安全检测的优先级；

和/或，

所述确定模块具体用于：当确定所述流量是所述预定时间范围内首次监测到的、对应于所述URL的流量时，将所述URL加入等待安全检测的URL集合中，并确定针对所述URL进行安全检测的优先级为预定默认级别；当确定所述流量不是所述预定时间范围内首次监测到的、对应于所述URL的流量时，根据所述预定时间范围内监测到的，对应于所述URL的流量数量，和/或对应于所述URL集合中各其他URL的流量数量，对针对所述URL进行安全检测的优先级相应地进行调整。

7.根据权利要求6所述的装置，其特征在于，所述监测模块具体用于：在预定网络范围的流量入口处，采用端口镜像方式和/或流量过滤方式，对所述预定网络范围内的流量进行监测。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

9.根据权利要求6所述的装置，其特征在于，所述检测模块具体用于：针对加入了所述URL的等待安全检测的URL集合，根据确定的所述优先级在所述URL集合中的优先级顺序，对所述URL进行安全检测。

10.根据权利要求6所述的装置，其特征在于，所述检测模块具体用于：获取所述URL对应的网页，以及对获取的网页进行安全检测；和/或确定所述URL隶属的域名，获取包含所述URL对应的网页在内的、隶属于所述域名的一个或多个网页，以及对获取的网页进行安全检测。