CN110278212A - 链接检测方法及装置 - Google Patents

链接检测方法及装置 Download PDF

Info

Publication number
CN110278212A
CN110278212A CN201910558944.3A CN201910558944A CN110278212A CN 110278212 A CN110278212 A CN 110278212A CN 201910558944 A CN201910558944 A CN 201910558944A CN 110278212 A CN110278212 A CN 110278212A
Authority
CN
China
Prior art keywords
link
detected
detection
malicious
url
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910558944.3A
Other languages
English (en)
Inventor
吕博良
叶红
牟天宇
卓越
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Industrial and Commercial Bank of China Ltd ICBC
Original Assignee
Industrial and Commercial Bank of China Ltd ICBC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Industrial and Commercial Bank of China Ltd ICBC filed Critical Industrial and Commercial Bank of China Ltd ICBC
Priority to CN201910558944.3A priority Critical patent/CN110278212A/zh
Publication of CN110278212A publication Critical patent/CN110278212A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本发明提供了一种链接检测方法及装置，该方法包括：根据链接命名规则判断待检测链接是否合法；如果合法，利用域名生成算法DGA对所述待检测链接进行检测；如果检测结果为所述待检测链接不是由DGA算法生成，利用爬虫爬取待检测连接下载链并根据预设的恶意链接数据库对所述待检测链接进行检测。利用本发明能够增强用户访问互联网链接时的风险防控，并提升链接的检测效率。

Description

链接检测方法及装置
技术领域
本发明涉及通信领域及安全检测领域，特别是针对为链接访问者提供主动的安全保护措施的技术领域，具体指一种链接检测方法及装置。
背景技术
随着互联网技术的普及，互联网逐渐地走进人们的生活当中，随之而来的也遇见了诸多问题，以检测移动即时通讯系统中的恶意链接为例，移动即时通讯软件具有转发和打开URL功能，不法分子可通过朋友圈或即时消息传播恶意URL，诱骗使用者打开含有病毒、木马的网页或访问钓鱼网站，给使用者造成敏感信息泄露，影响应用终端的信誉和口碑或造成使用者资金损失。移动即时通讯软件主要功能为通讯、社交及分享等，多使用黑名单方式防控恶意URL，不具备动态识别恶意URL功能，无法对在系统内部传播的网页进行自动化病毒、木马检测分析，从而无法保证使用者的进行安全的网页浏览及相关风险提示。
目前业内主要使用黑白名单方式对恶意URL进行控制，缺乏一种以主动方式提供安全保护措施的检测链接方法与装置。
发明内容
针对现有技术中的问题，本发明提出一种检测、阻断恶意链接信息的系统及方法，其核心思想是主动检测欲访问的链接中下载链文件是否为病毒、木马等恶意文件，将其检测结果作为是否为恶意链接的一个主要判决条件，并据此作出告警提示或禁止访问等处理动作。为解决上述技术问题，本发明提供以下技术方案：
第一方面，本发明提供一种链接检测方法，包括：
根据链接命名规则判断待检测链接是否合法；
如果合法，利用域名生成算法DGA对待检测链接进行检测；
如果检测结果为待检测链接不是由DGA算法生成，根据预设的恶意链接数据库对待检测链接进行检测。
优选地，根据链接命名规则判断判断待检测链接是否合法，包括：
根据链接命名规则判断待检测链接的协议数据、主域数据、路径数据、询问数据是否合法。
优选地，在根据预设的恶意链接数据库对待检测链接进行检测之后，还包括：
如果恶意链接数据库中没有待检测链接，判断待检测链接是否为多层级结构。
优选地，链接检测方法还包括：如果待检测链接为多层级结构，根据待检测链接中文件后缀名判断待检测链接是否含有下载链接。
优选地，在根据待检测链接中文件后缀名判断待检测链接是否含有下载链接之后，还包括：
如果待检测链接含有下载链接，判断待检测链接中是否含有病毒及木马；
如果有，则将待检测链接添加至恶意链接数据库。
第二方面，本发明提供一种链接检测装置，该装置包括：
命名判断单元，用于根据链接命名规则判断待检测链接是否合法；
DGA检测单元，用于利用域名生成算法DGA对所述待检测链接进行检测；
恶意链接检测单元，用于根据预设的恶意链接数据库对所述待检测链接进行检测。
优选地，命名判断单元具体用于根据链接命名规则判断待检测链接的协议数据、主域数据、路径数据、询问数据是否合法。
优选地，链接检测装置还包括：多层级判断单元，用于判断所述待检测链接是否为多层级结构。
优选地，链接检测装置还包括：下载链接判断单元，用于根据所述待检测链接中文件后缀名判断所述待检测链接是否含有下载链接。
优选地，链接检测装置还包括：
病毒判断单元，用于判断所述待检测链接中是否含有病毒及木马；
链接添加单元，用于则将所述待检测链接添加至所述恶意链接数据库。
第三方面，本发明提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行链接检测方法的步骤。
第四方面，本发明提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现链接检测方法的步骤。
从上述描述可知，本发明提供的链接检测方法及装置，通过将待检测链接进行合法检测、DGA算法检测、恶意链接库检测检测、多层级结构检测及木马查杀，大幅度提高了用户访问互联网的安全性，具体有：
(1)增强风险防控—针对被检测链接数据提供风险识别和提示，可减少使用者通过网络访问恶意网页的概率，为使用者访问网页提供安全保障。使用二层树形递进式结构，第一层通过正则表达式判断链接的合法性，使用DGA检测链接生成逻辑性以及使用链接黑白名单筛查已知的威胁多方面识别链接的风险。在链接满足第一层检测条件后，第二层对链接进行下载链检测深度挖掘风险，检测链接包含的下载链是否存在潜在风险，如病毒、木马等。结合二层树形结构，该系统可对已知风险链接和未知风险链接进行综合识别，可遏制不法分子通过互联网传播恶意链接，并对恶意传播链接的账号进行违规提示和封禁，增强互联网安全防控能力。
(2)提升检测效率—利用二层树形检测结构提升链接检测效率，该树形结构利用链接的合法性、逻辑性及黑白名单判别机制来监测链接，具有高效率、覆盖广及字符类判别处理速度快的优点，从而排除大量危险链接，提升系统检测效率。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明的实施例中链接检测方法的流程示意图一；
图2为本发明的实施例中链接检测方法的流程示意图二；
图3为本发明的实施例中链接检测方法的流程示意图三；
图4为本发明的实施例中链接检测方法的流程示意图四；
图5为本发明的具体应用实例中链接检测方法的流程示意图；
图6为本发明的具体应用实例中链接检测装置结构示意图；
图7为本发明的具体应用实例中链接检测方法的工作流程图；
图8为本发明的具体应用实例中链接检测方法的逻辑判断流程图；
图9为本发明的具体应用实例中链接检测装置的结构示意图；
图10为本发明的实施例中的电子设备的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
鉴于现有技术中缺乏一种以主动方式提供安全保护措施的检测链接方法。本发明的实施例提供一种链接检测方法的具体实施方式，参见图1该方法10具体包括如下内容：
步骤100：根据链接命名规则判断待检测链接是否合法。
具体地：判断待检测链接的协议部分、主域部分、路径部分及询问部分是否符合链接的命名规则，可以理解的是，若待检测链接非法，则将该链接直接丢弃，不进入后续检测环节；以减少不合法链接占用链接检测装置资源，以增加检出效率。
步骤200：利用域名生成算法DGA对待检测链接进行检测。
如果步骤100的检测结果为：待检测链接合法，则利用域名生成算法DGA对待检测链接进行检测。
DGA(Domain generation algorithms，域名生成算法)是利用随机字符来生成域名，采用DGA生成的链接的主域部分具备很强的命名随机性，通过使用深度学习对DGA生成域进行检测，排查链接的域名部分是否为DGA生成。可以理解的是，若待检测链接为DGA生成，则将待检测链接安全性标识置为危险，或阻断该检测链接与用户之间的连接。
步骤300：根据预设的恶意链接数据库对待检测链接进行检测。
如果步骤200的检测结果为：待检测链接不是由DGA算法生成，则根据预设的恶意链接数据库对待检测链接进行检测。
可以理解的是，预设的恶意链接数据库可以为黑白名单数据库，检测时调用黑白名单数据库进行匹配检索，提升检出效率；若待检测链接命中黑名单时(即待检测链接属于链接黑名单数据库中)，则阻断该待检测链接(或将该待检测安全性标识置为危险，并提示用户)。若待检测链接命中白名单，将待检测链接安全性标识置为安全。
从上述描述可知，本发明提供的链接检测方法，通过将待检测链接进行合法检测、DGA算法检测、恶意链接库检测检测、多层级结构检测及木马查杀，大幅度提高了用户访问互联网的安全性，具体有：
(1)增强风险防控—针对被检测链接数据提供风险识别和提示，可减少使用者通过网络访问恶意网页的概率，为使用者访问网页提供安全保障。使用二层树形递进式结构，第一层通过正则表达式判断链接的合法性，使用DGA检测链接生成逻辑性以及使用链接黑白名单筛查已知的威胁多方面识别链接的风险。在链接满足第一层检测条件后，第二层对链接进行下载链检测深度挖掘风险，检测链接包含的下载链是否存在潜在风险，如病毒、木马等。结合二层树形结构，该系统可对已知风险链接和未知风险链接进行综合识别，可遏制不法分子通过互联网传播恶意链接，并对恶意传播链接的账号进行违规提示和封禁，增强互联网安全防控能力。
(2)提升检测效率—利用二层树形检测结构提升链接检测效率，该树形结构利用链接的合法性、逻辑性及黑白名单判别机制来监测链接，具有高效率、覆盖广及字符类判别处理速度快的优点，从而排除大量危险链接，提升系统检测效率。
一实施例中，步骤100具体为：根据链接命名规则判断待检测链接的协议数据、主域数据、路径数据、询问数据是否合法。
一实施例中，参见图2，在步骤300之后还包括：
步骤400：判断待检测链接是否为多层级结构。
可以理解的是，如果步骤300的检测结果为：恶意链接数据库中没有待检测链接，可以将该待测链接放入疑似安全链接名单，即需要进一步判断该链接的安全性，具体地，需要判断待检测链接是否为多层级结构。
一实施例中，参见图3，在步骤400之后还包括：
步骤500：根据待检测链接中文件后缀名判断待检测链接是否含有下载链接。
可以理解的是，如果步骤400的检测结果为：待检测链接为多层级结构，可以将该待测链接放入疑似安全链接名单，即需要进一步判断该链接的安全性，具体地，根据待检测链接中文件后缀名判断待检测链接是否含有下载链接。
一实施例中，参见图4，在步骤500之后还包括：
步骤600：判断待检测链接中是否含有病毒及木马。
可以理解的是，如果步骤500的检测结果为：待检测链接含有下载链接，则进一步判断待检测链接中是否含有病毒及木马；如果有，则将待检测链接添加至恶意链接数据库，反之则发送检测结果(待检测链接安全)至客户。
具体地，可以使用第三方病毒库根据病毒、木马特征、恶意程序特征，如进程、哈希值等识别下载附件是否为恶意文件，如果是恶意文件，同步更新链接黑名单和病毒木马特征库。
为进一步地说明本方案，本发明以移动即时通信软件中的朋友圈中的URL为例，提供链接检测方法及与其对应装置的具体应用实例，该具体应用实例具体包括如下内容20，参见图5至图8。
图6为移动即时通讯软件接入URL检测装置结构示意图，该装置包括移动即使通讯系统101及URL云检测系统102。其中移动即时通讯系统101包含朋友圈及业务功能数据库、消息处理服务器和即时通讯web服务器，其中朋友圈及业务功能数据库负责存储使用者的朋友圈分享内容，消息处理服务器负责路由转发及时消息，即时通讯web服务器负责打开及浏览web界面，参见表1。
表1移动即时通讯软件服务器功能表
服务器名称 服务器功能
朋友圈及业务功能数据库 存储使用者的朋友圈分享内容
消息处理服务器 路由转发及时消息
即时通讯web服务器 打开及浏览web界面
在朋友圈及业务功能应用数据库、消息处理服服务器和即时通讯web服务器中增加内容筛选功能，实时筛选所存储转发内容中包含ip地址、http://、https://等关键字的URL信息，并将筛查出的URL信息转发给云检测系统进行判别。
URL检测装置102实时获取移动即时通讯软件内URL信息，包括并不限于二维码扫描、即时消息分发和朋友圈分享内容获取，对获取到的URL进行URL非白即黑判定、恶意下载链识别等操作，并将识别结果进行数据更新。URL检测装置根据预设的数据格式与通讯系统进行交互，确保双方数据的可靠性及交互的有效性。
S0：将待检测URL进行标准化处理。
将接收到的待检测URL进行格式标准化，以生成检测系统的标准化数据报文格式，具体格式见表2，URL数据来源字段需写入该URL检测需求的数据来源，便于后续阻断指令的下发及数据来源标识；URL数据内容为该URL具体内容；数据类型字段可选URL、域名等连接种类；接收时间为数据采集模块收到该检测需求的时间戳记。
表2数据采集处理格式
S1：将多个待检测URL置于消息队列中。
具体地，根据目前检测的URL数量顺序生成消息编号，处理实时的URL消息队列并根据消息编号将消息进行排列，采用先进先出机制提供待检测URL数据，以保证URL检测的有序性。
S2：根据URL链接命名规则判断待检测链接URL是否合法。
具体地，采用正则表达式判断URL的合法性，即判断URL的协议部分数据、主域部分数据、路径部分数据、询问部分数据是否符合URL的命名规则。
协议部分数据可采用如下正则表达式：
"^((https|http|ftp|rtsp|mms)？://)"+"？(([0-9a-z_！～*'().&＝+$％-]+:)？[0-9a-z_！～*'().&＝+$％-]+@)？"+"(([0-9]{1,3}\.){3}[0-9]{1,3}；
主域部分数据可采用如下正则表达式：
"([0-9a-z_！～*'()-]+\.)*"+"([0-9a-z][0-9a-z-]{0,61})？[0-9a-z]\."+"[a-z]{2,6})"+"(:[0-9]{1,4})？"；
路径部分、询问部分数据可采用如下正则表达式：
"((/？)|"+"(/[0-9a-z_！～*'().；？:@&＝+$,％#-]+)+/？)$"。
可以理解的是，当步骤S2的判断结果为：待检测链接URL合法，则进一步利用步骤S3对待检测链接URL进行检测，若不合法，则丢弃待检测URL链接，不对其进行深入检测。
S3：利用DGA对待检测链接URL进行检测。
可以理解的是，当步骤S2的判断结果为：待检测链接URL合法，则进一步利用DGA对待检测链接URL进行检测。可以理解的是，当利用DGA对待检测链接URL进行检测的检测结果为：待检测链接URL不是由DGA自动生成，则进一步根据步骤S4对待检测链接URL进行检测，若待检测链接URL由DGA自动生成，则将待检测链接URL设置为异常链接，并提示客户，甚至阻止客户访问该URL链接。
具体地，通过深度学习中长短期记忆网络LSTM训练模型达到采用DGA生成算法识别URL的效果；可以理解的是，DGA检测可快速识别待检测URL是否为DGA算法生成，可对未知URL进行检测，具备检出效果良好，系统资源占用低的特点，而黑白名单检测只能检测已知URL，为减小黑名单体量，URL黑名单中不包含DGA算法生成的URL，因为凡使用DGA生成的URL均为恶意URL，且黑白名单匹配需要本地数据库查询，占有服务器资源。
S4：根据预设的URL白名单和URL黑名单对待检测链接进行匹配。
可以理解的是，当步骤S3的判断结果为：待检测链接URL不是由DGA自动生成，则进一步根据预设的URL白名单和URL黑名单对待检测链接进行匹配。
具体地，将待检测链接URL与URL白名单和URL黑名单进行匹配，首先进行白名单匹配、然后进行黑名单匹配。可以利用第三方病毒库根据病毒、木马特征、恶意程序特征生成URL黑名单，并利用公共域名中的白名单站点为URL白名单提供数据支撑。
S5：判断待检测链接URL是否为多层级结构。
可以理解的是，当步骤S4的判断结果为：待检测链接URL命中白名单，则需要判断该待检测链接URL是否为多层级结构。如果是，则进行步骤S6，如果不是，则直接进行步骤S7。
S6：对待检测链接URL进行爬取。
从链接(网站)上采集数据，尤其采集大型网站时，被采集的数据往往位于网站的不同层级的网页上，要采集从当前页面(第一级页面)点击后弹出的网页(第二级页面)的内容时就要规划DS打数机的爬行路线，实现层级抓取。实现层级抓取需要做两级规则，第一级规则抓取第二级页面的网址，作为第二级抓取规则的线索。第二级规则确定要抓取网页上的内容。
具体地，从待检测链接URL页面开始，使用网络爬虫对待检测URL的各层级连接进行遍历，深入挖掘待检测URL的潜在连接；抽取新的URL放入队列直到出现30次重复URL及停止爬取，从而获取待检测链接URL中的所有爬取链接。
S7：判断待检测链接是否含有下载链接。
具体地，根据URL中的文件后缀名判别该链接是否为下载链，包含但不限于图片格式、程序格式、文档格式等。如果有，进行步骤S8，如果没有，认为待检测链接URL正常，URL检测装置保持静默，且允许客户正常访问该待检测链接URL。
S8：下载链接中的文件，并对文件进行病毒木马查杀。
将识别出的下载链文件进行下载，并将下载URL对应的文件并放入沙盒中进行病毒、木马识别，病毒木马库可引用商业资源进行扩充。另外，如果检测出该文件中存在病毒、木马过恶意程序，将收集检测出的病毒、木马及恶意程序为URL检测系统提供数据积累，并根据病毒、木马的特征为病毒库提供特征查杀依据。可以理解的是，如果检测出该文件中含有病毒、木马及恶意程序，则将该待检测链接URL添加进恶意链接数据库(黑名单)中，以动态的更新该数据库。
S9：将检测结果进行标准化处理。
具体地，生成检测装置的标准化数据格式报文，包括队列编号、URL数据来源、URL数据内容和URL安全性标识；参见表3，可以理解的是，该标准化数据格式报文可根据客户需求设计。
表3URL标准化处理格式表
从上述描述可知，本发明提供的链接检测方法，通过将待检测链接进行合法检测、DGA算法检测、恶意链接库检测检测、多层级结构检测及木马查杀，大幅度提高了用户访问互联网的安全性，具体有：
(1)增强风险防控—针对被检测链接数据提供风险识别和提示，可减少使用者通过网络访问恶意网页的概率，为使用者访问网页提供安全保障。使用二层树形递进式结构，第一层通过正则表达式判断链接的合法性，使用DGA检测链接生成逻辑性以及使用链接黑白名单筛查已知的威胁多方面识别链接的风险。在链接满足第一层检测条件后，第二层对链接进行下载链检测深度挖掘风险，检测链接包含的下载链是否存在潜在风险，如病毒、木马等。结合二层树形结构，该系统可对已知风险链接和未知风险链接进行综合识别，可遏制不法分子通过互联网传播恶意链接，并对恶意传播链接的账号进行违规提示和封禁，增强互联网安全防控能力。
(2)提升检测效率—利用二层树形检测结构提升链接检测效率，该树形结构利用链接的合法性、逻辑性及黑白名单判别机制来监测链接，具有高效率、覆盖广及字符类判别处理速度快的优点，从而排除大量危险链接，提升系统检测效率。
基于同一发明构思，本申请实施例还提供了链接检测装置，可以用于实现上述实施例所描述的方法，如下面的实施例。由于链接检测装置解决问题的原理与链接检测方法相似，因此链接检测装置的实施可以参见链接检测方法实施，重复之处不再赘述。以下所使用的，术语“单元”或者“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的系统较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
本发明的实施例提供一种能够实现链接检测方法的链接检测装置的具体实施方式，参见图9，链接检测装置具体包括如下内容：
命名判断单元10，用于根据链接命名规则判断待检测链接是否合法；
DGA检测单元20，用于利用域名生成算法DGA对所述待检测链接进行检测；
恶意链接检测单元30，用于根据预设的恶意链接数据库对所述待检测链接进行检测。
优选地，命名判断单元具体用于根据链接命名规则判断待检测链接的协议数据、主域数据、路径数据、询问数据是否合法。
优选地，链接检测装置还包括：多层级判断单元，用于判断所述待检测链接是否为多层级结构。
优选地，链接检测装置还包括：下载链接判断单元，用于根据所述待检测链接中文件后缀名判断所述待检测链接是否含有下载链接。
优选地，链接检测装置还包括：
病毒判断单元，用于判断所述待检测链接中是否含有病毒及木马；
链接添加单元，用于则将所述待检测链接添加至所述恶意链接数据库。
从上述描述可知，本发明提供的链接检测装置，通过将待检测链接进行合法检测、DGA算法检测、恶意链接库检测检测、多层级结构检测及木马查杀，大幅度提高了用户访问互联网的安全性，具体有：
(1)增强风险防控—针对被检测链接数据提供风险识别和提示，可减少使用者通过网络访问恶意网页的概率，为使用者访问网页提供安全保障。使用二层树形递进式结构，第一层通过正则表达式判断链接的合法性，使用DGA检测链接生成逻辑性以及使用链接黑白名单筛查已知的威胁多方面识别链接的风险。在链接满足第一层检测条件后，第二层对链接进行下载链检测深度挖掘风险，检测链接包含的下载链是否存在潜在风险，如病毒、木马等。结合二层树形结构，该系统可对已知风险链接和未知风险链接进行综合识别，可遏制不法分子通过互联网传播恶意链接，并对恶意传播链接的账号进行违规提示和封禁，增强互联网安全防控能力。
(2)提升检测效率—利用二层树形检测结构提升链接检测效率，该树形结构利用链接的合法性、逻辑性及黑白名单判别机制来监测链接，具有高效率、覆盖广及字符类判别处理速度快的优点，从而排除大量危险链接，提升系统检测效率。
本申请的实施例还提供能够实现上述实施例中的链接检测方法中全部步骤的一种电子设备的具体实施方式，参见图10，电子设备具体包括如下内容：
处理器(processor)1201、存储器(memory)1202、通信接口(CommunicationsInterface)1203和总线1204；
其中，处理器1201、存储器1202、通信接口1203通过总线1204完成相互间的通信；通信接口1203用于实现服务器端设备、翻译平台以及用户端设备等相关设备之间的信息传输。
处理器1201用于调用存储器1202中的计算机程序，处理器执行计算机程序时实现上述实施例中的链接检测方法中的全部步骤，例如，处理器执行计算机程序时实现下述步骤：
步骤100：根据链接命名规则判断待检测链接是否合法。
步骤200：利用域名生成算法DGA对待检测链接进行检测。
步骤300：根据预设的恶意链接数据库对待检测链接进行检测。
从上述描述可知，本申请实施例中的电子设备，通过将待检测链接进行合法检测、DGA算法检测、恶意链接库检测检测、多层级结构检测及木马查杀，大幅度提高了用户访问互联网的安全性，具体有：
(1)增强风险防控—针对被检测链接数据提供风险识别和提示，可减少使用者通过网络访问恶意网页的概率，为使用者访问网页提供安全保障。使用二层树形递进式结构，第一层通过正则表达式判断链接的合法性，使用DGA检测链接生成逻辑性以及使用链接黑白名单筛查已知的威胁多方面识别链接的风险。在链接满足第一层检测条件后，第二层对链接进行下载链检测深度挖掘风险，检测链接包含的下载链是否存在潜在风险，如病毒、木马等。结合二层树形结构，该系统可对已知风险链接和未知风险链接进行综合识别，可遏制不法分子通过互联网传播恶意链接，并对恶意传播链接的账号进行违规提示和封禁，增强互联网安全防控能力。
(2)提升检测效率—利用二层树形检测结构提升链接检测效率，该树形结构利用链接的合法性、逻辑性及黑白名单判别机制来监测链接，具有高效率、覆盖广及字符类判别处理速度快的优点，从而排除大量危险链接，提升系统检测效率。
本申请的实施例还提供能够实现上述实施例中的链接检测方法中全部步骤的一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例中的链接检测方法的全部步骤，例如，处理器执行计算机程序时实现下述步骤：
步骤100：根据链接命名规则判断待检测链接是否合法。
步骤200：利用域名生成算法DGA对待检测链接进行检测。
步骤300：根据预设的恶意链接数据库对待检测链接进行检测。
从上述描述可知，本申请实施例中的计算机可读存储介质，通过将待检测链接进行合法检测、DGA算法检测、恶意链接库检测检测、多层级结构检测及木马查杀，大幅度提高了用户访问互联网的安全性，具体有：
(1)增强风险防控—针对被检测链接数据提供风险识别和提示，可减少使用者通过网络访问恶意网页的概率，为使用者访问网页提供安全保障。使用二层树形递进式结构，第一层通过正则表达式判断链接的合法性，使用DGA检测链接生成逻辑性以及使用链接黑白名单筛查已知的威胁多方面识别链接的风险。在链接满足第一层检测条件后，第二层对链接进行下载链检测深度挖掘风险，检测链接包含的下载链是否存在潜在风险，如病毒、木马等。结合二层树形结构，该系统可对已知风险链接和未知风险链接进行综合识别，可遏制不法分子通过互联网传播恶意链接，并对恶意传播链接的账号进行违规提示和封禁，增强互联网安全防控能力。
(2)提升检测效率—利用二层树形检测结构提升链接检测效率，该树形结构利用链接的合法性、逻辑性及黑白名单判别机制来监测链接，具有高效率、覆盖广及字符类判别处理速度快的优点，从而排除大量危险链接，提升系统检测效率。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于硬件+程序类实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
虽然本申请提供了如实施例或流程图的方法操作步骤，但基于常规或者无创造性的劳动可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的装置或客户端产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境)。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
本发明中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (12)

1.一种链接检测方法，其特征在于，包括：
根据链接命名规则判断待检测链接是否合法；
如果合法，利用域名生成算法DGA对所述待检测链接进行检测；
如果检测结果为所述待检测链接不是由DGA算法生成，根据预设的恶意链接数据库对所述待检测链接进行检测。
2.根据权利要求1所述的链接检测方法，其特征在于，所述根据链接命名规则判断判断所述待检测链接是否合法，包括：
根据所述链接命名规则判断所述待检测链接的协议数据、主域数据、路径数据、询问数据是否合法。
3.根据权利要求1所述的链接检测方法，其特征在于，在所述根据预设的恶意链接数据库对所述待检测链接进行检测之后，还包括：
如果所述恶意链接数据库中没有所述待检测链接，判断所述待检测链接是否为多层级结构。
4.根据权利要求3所述的链接检测方法，其特征在于，还包括：
如果所述待检测链接为所述多层级结构，根据所述待检测链接中文件后缀名判断所述待检测链接是否含有下载链接。
5.根据权利要求4所述的链接检测方法，其特征在于，在所述根据所述待检测链接中文件后缀名判断所述待检测链接是否含有下载链接之后，还包括：
如果所述待检测链接含有下载链接，判断所述待检测链接中是否含有病毒及木马；
如果有，则将所述待检测链接添加至所述恶意链接数据库。
6.一种链接检测装置，其特征在于，包括：
命名判断单元，用于根据链接命名规则判断待检测链接是否合法；
DGA检测单元，用于利用域名生成算法DGA对所述待检测链接进行检测；
恶意链接检测单元，用于根据预设的恶意链接数据库对所述待检测链接进行检测。
7.如权利要求6所述的链接检测装置，其特征在于，所述命名判断单元具体用于根据所述链接命名规则判断所述待检测链接的协议数据、主域数据、路径数据、询问数据是否合法。
8.如权利要求6所述的链接检测装置，其特征在于，还包括：多层级判断单元，用于判断所述待检测链接是否为多层级结构。
9.如权利要求6所述的链接检测装置，其特征在于，还包括：下载链接判断单元，用于根据所述待检测链接中文件后缀名判断所述待检测链接是否含有下载链接。
10.如权利要求6所述的链接检测装置，其特征在于，还包括：
病毒判断单元，用于判断所述待检测链接中是否含有病毒及木马；
链接添加单元，用于则将所述待检测链接添加至所述恶意链接数据库。
11.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至5任一项所述链接检测方法的步骤。
12.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至5任一项所述链接检测方法的步骤。
CN201910558944.3A 2019-06-26 2019-06-26 链接检测方法及装置 Pending CN110278212A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910558944.3A CN110278212A (zh) 2019-06-26 2019-06-26 链接检测方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910558944.3A CN110278212A (zh) 2019-06-26 2019-06-26 链接检测方法及装置

Publications (1)

Publication Number Publication Date
CN110278212A true CN110278212A (zh) 2019-09-24

Family

ID=67963229

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910558944.3A Pending CN110278212A (zh) 2019-06-26 2019-06-26 链接检测方法及装置

Country Status (1)

Country Link
CN (1) CN110278212A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111209459A (zh) * 2019-12-27 2020-05-29 中移（杭州）信息技术有限公司 信息处理方法、装置、电子设备及存储介质
CN112583778A (zh) * 2019-09-30 2021-03-30 奇安信安全技术(珠海)有限公司 恶意网站的监控方法及装置、系统、存储介质、电子装置
US11943256B2 (en) 2020-02-28 2024-03-26 Tencent Technology (Shenzhen) Company Limited Link detection method and apparatus, electronic device, and storage medium

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102446253A (zh) * 2011-12-23 2012-05-09 北京奇虎科技有限公司 一种网页木马检测方法及系统
US20130191915A1 (en) * 2012-01-25 2013-07-25 Damballa, Inc. Method and system for detecting dga-based malware
US20160337391A1 (en) * 2015-05-11 2016-11-17 Cisco Technology, Inc. Detecting Domains Generated By A Domain Generation Algorithm
CN106992969A (zh) * 2017-03-03 2017-07-28 南京理工大学 基于域名字符串统计特征的dga生成域名的检测方法
CN108573146A (zh) * 2017-03-07 2018-09-25 华为技术有限公司 一种恶意url检测方法及装置
CN108614849A (zh) * 2017-01-13 2018-10-02 南京邮电大学盐城大数据研究院有限公司 一种基于动态插桩和静态多脚本页特征提取的网页广告检测方法
CN108768954A (zh) * 2018-05-04 2018-11-06 中国科学院信息工程研究所 一种dga恶意软件识别方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102446253A (zh) * 2011-12-23 2012-05-09 北京奇虎科技有限公司 一种网页木马检测方法及系统
US20130191915A1 (en) * 2012-01-25 2013-07-25 Damballa, Inc. Method and system for detecting dga-based malware
US20160337391A1 (en) * 2015-05-11 2016-11-17 Cisco Technology, Inc. Detecting Domains Generated By A Domain Generation Algorithm
CN108614849A (zh) * 2017-01-13 2018-10-02 南京邮电大学盐城大数据研究院有限公司 一种基于动态插桩和静态多脚本页特征提取的网页广告检测方法
CN106992969A (zh) * 2017-03-03 2017-07-28 南京理工大学 基于域名字符串统计特征的dga生成域名的检测方法
CN108573146A (zh) * 2017-03-07 2018-09-25 华为技术有限公司 一种恶意url检测方法及装置
CN108768954A (zh) * 2018-05-04 2018-11-06 中国科学院信息工程研究所 一种dga恶意软件识别方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112583778A (zh) * 2019-09-30 2021-03-30 奇安信安全技术(珠海)有限公司 恶意网站的监控方法及装置、系统、存储介质、电子装置
CN112583778B (zh) * 2019-09-30 2023-01-06 奇安信安全技术(珠海)有限公司 恶意网站的监控方法及装置、系统、存储介质、电子装置
CN111209459A (zh) * 2019-12-27 2020-05-29 中移（杭州）信息技术有限公司 信息处理方法、装置、电子设备及存储介质
US11943256B2 (en) 2020-02-28 2024-03-26 Tencent Technology (Shenzhen) Company Limited Link detection method and apparatus, electronic device, and storage medium

Similar Documents

Publication Publication Date Title
EP3343867B1 (en) Methods and apparatus for processing threat metrics to determine a risk of loss due to the compromise of an organization asset
CN108092962A (zh) 一种恶意url检测方法及装置
Hoque et al. An implementation of intrusion detection system using genetic algorithm
CN103685575B (zh) 一种基于云架构的网站安全监控方法
CN103281177B (zh) 对Internet信息系统恶意攻击的检测方法及系统
CN109922075A (zh) 网络安全知识图谱构建方法和装置、计算机设备
CN106295333B (zh) 用于检测恶意代码的方法和系统
CN103368957B (zh) 对网页访问行为进行处理的方法及系统、客户端、服务器
CN107547555A (zh) 一种网站安全监测方法及装置
CN110413908A (zh) 基于网站内容对统一资源定位符进行分类的方法和装置
CN104753730B (zh) 一种漏洞检测的方法及装置
CN108183916A (zh) 一种基于日志分析的网络攻击检测方法及装置
CN110278212A (zh) 链接检测方法及装置
CN106357689A (zh) 威胁数据的处理方法及系统
CN106686020A (zh) 域名安全性的检测方法、装置及系统
CN110177114A (zh) 网络安全威胁指标识别方法、设备、装置以及计算机可读存储介质
CN110209583A (zh) 安全测试方法、装置、系统、设备和存储介质
CN102999723B (zh) 主动防御xss攻击的数据防御组件生成方法及其装置
CN107786564A (zh) 基于威胁情报的攻击检测方法、系统及电子设备
CN104202291A (zh) 基于多因素综合评定方法的反钓鱼方法
CN106779278A (zh) 资产信息的评价系统及其信息的处理方法和装置
CN107169360A (zh) 一种源代码安全漏洞的检测方法及系统
CN109347882A (zh) 网页木马监测方法、装置、设备及存储介质
CN107800670A (zh) 用于预警网站安全的方法和装置
WO2016201994A1 (zh) 域名可信度确定的方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20190924

RJ01 Rejection of invention patent application after publication