CN110545277B - 应用于安全系统的风险处理方法、装置、计算设备、介质 - Google Patents

Abstract

本公开提供了一种应用于安全系统的风险处理方法，安全系统包括至少一个测试终端，该方法包括：将来自请求终端的解析请求发送至公网服务器，其中，解析请求包括目标域名，解析请求用于请求公网服务器对解析请求进行解析以得到与目标域名对应的目标地址数据；接收来自公网服务器的反馈数据，其中，反馈数据包括目标地址数据；确定至少一个测试终端中的目标测试终端的地址数据作为测试地址数据；将反馈数据中的目标地址数据替换为测试地址数据，得到更新后的反馈数据；以及将更新后的反馈数据发送至请求终端，便于请求终端与目标测试终端进行数据交互。本公开还提供了一种应用于安全系统的风险处理装置、计算设备以及计算机可读存储介质。

Description

应用于安全系统的风险处理方法、装置、计算设备、介质

技术领域

本公开涉及计算机技术领域，特别是涉及一种应用于安全系统的风险处理方法、一种应用于安全系统的风险处理装置、一种计算设备以及一种计算机可读介质。

背景技术

随着科技水平的不断提高和互联网技术的不断普及，来自互联网的攻击和非法行为也越来越多，因此，网络安全技术和防御手段的发展也日趋完善。然而，随着越来越多针对企业的APT(Advanced Persistent Threat)攻击的出现，传统的安全防御机制虽然可以或多或少地抵御来自企业外部的攻击，但却无法及时发现企业内部出现的风险。对于企业安全性而言，企业内部网络往往存在着重要信息资产，例如数据库服务器、文件服务器等往往都部署在企业的内部网络。因此，研究内部网络的安全保障具有实际的意义，以便企业网络管理员能及时察觉内部网络正在被攻击，并且能够快速定位攻击源进而采取措施，而不至于当重要信息资产被侵害后还不自知。

在实现本公开构思的过程中，发明人发现相关技术中至少存在如下问题：随着攻击者的攻击模式不断更新，例如攻击代码的伪装形式不断更新，传统的安全防御机制难免无法识别所有的攻击模式，导致不能有效地防御各种风险，并且，传统的安全防御机制一般仅是以防御为主，缺乏主动性。

发明内容

本公开的一个方面提供了一种应用于安全系统的风险处理方法，所述安全系统包括至少一个测试终端，所述方法包括：将来自请求终端的解析请求发送至公网服务器，其中，所述解析请求包括目标域名，所述解析请求用于请求所述公网服务器对所述解析请求进行解析以得到与所述目标域名对应的目标地址数据，接收来自所述公网服务器的反馈数据，其中，所述反馈数据包括所述目标地址数据，确定所述至少一个测试终端中的目标测试终端的地址数据作为测试地址数据，将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据，将所述更新后的反馈数据发送至所述请求终端，便于所述请求终端与所述目标测试终端进行数据交互。

可选地，上述方法还包括：确定所述目标域名是否为风险域名。所述将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据包括：响应于确定所述目标域名为风险域名，将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据。

可选地，上述将来自请求终端的解析请求发送至公网服务器包括：响应于所述请求终端向内网服务器发送所述解析请求，在所述内网服务器对所述解析请求解析失败的情况下，将所述解析请求发送至所述公网服务器。

可选地，上述方法还包括：记录所述请求终端与所述目标测试终端进行数据交互过程中的交互信息。

可选地，上述交互信息包括至少一个风险域名。所述方法还包括：处理所述交互信息，得到所述至少一个风险域名。

可选地，上述解析请求包括基于用户对风险信息进行点击操作所生成的请求，所述风险信息中包括所述目标域名。

可选地，上述公网服务器包括公网系统中的至少一个服务器，所述公网系统还包括公网设备，所述目标地址数据为所述公网设备的地址数据。

本公开的另一个方面提供了一种应用于安全系统的风险处理装置，所述安全系统包括至少一个测试终端，所述装置包括：第一发送模块、接收模块、第一确定模块、替换模块以及第二发送模块。其中，第一发送模块，将来自请求终端的解析请求发送至公网服务器，其中，所述解析请求包括目标域名，所述解析请求用于请求所述公网服务器对所述解析请求进行解析得到与所述目标域名对应的目标地址数据。接收模块，接收来自所述公网服务器的反馈数据，其中，所述反馈数据中包括所述目标地址数据。第一确定模块，确定所述至少一个测试终端中的目标测试终端的地址数据作为测试地址数据。替换模块，将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据。第二发送模块，将所述更新后的反馈数据发送至所述请求终端，便于所述请求终端与所述目标测试终端进行数据交互。

可选地，上述装置还包括：第二确定模块，确定所述目标域名是否为风险域名。所述将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据包括：响应于确定所述目标域名为风险域名，将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据。

可选地，上述将来自请求终端的解析请求发送至公网服务器包括：响应于所述请求终端向内网服务器发送所述解析请求，在所述内网服务器对所述解析请求解析失败的情况下，将所述解析请求发送至所述公网服务器。

可选地，上述装置还包括：记录模块，记录所述请求终端与所述目标测试终端进行数据交互过程中的交互信息。

可选地，上述交互信息包括至少一个风险域名。所述装置还包括：处理模块，处理所述交互信息，得到所述至少一个风险域名。

可选地，上述解析请求包括基于用户对风险信息进行点击操作所生成的请求，所述风险信息中包括所述目标域名。

可选地，上述公网服务器包括公网系统中的至少一个服务器，所述公网系统还包括公网设备，所述目标地址数据为所述公网设备的地址数据。

本公开的另一方面提供了一种计算设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上所述的方法。

本公开的另一方面提供了一种非易失性可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

附图说明

为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：

图1示意性示出了根据本公开实施例的风险处理方法和风险处理装置的系统架构；

图2示意性示出了根据本公开第一实施例的应用于安全系统的风险处理方法的流程图；

图3示意性示出了根据本公开第二实施例的应用于安全系统的风险处理方法的流程图；

图4示意性示出了根据本公开第三实施例的应用于安全系统的风险处理方法的流程图；

图5示意性示出了根据本公开第一实施例应用于安全系统的风险处理装置的框图；

图6示意性示出了根据本公开第二实施例应用于安全系统的风险处理装置的框图；

图7示意性示出了根据本公开第三实施例应用于安全系统的风险处理装置的框图；以及

图8示意性示出了根据本公开实施例的用于实现风险处理的计算机系统的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程控制装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。

因此，本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。在本公开的上下文中，计算机可读介质可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，计算机可读介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。计算机可读介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

本公开的实施例提供了一种应用于安全系统的风险处理方法，安全系统包括至少一个测试终端，该方法包括：将来自请求终端的解析请求发送至公网服务器，其中，解析请求包括目标域名，解析请求用于请求公网服务器对解析请求进行解析以得到与目标域名对应的目标地址数据。然后，接收来自公网服务器的反馈数据，其中，反馈数据包括目标地址数据，并确定至少一个测试终端中的目标测试终端的地址数据作为测试地址数据，将反馈数据中的目标地址数据替换为测试地址数据，得到更新后的反馈数据。最后，将更新后的反馈数据发送至请求终端，便于请求终端与目标测试终端进行数据交互。

图1示意性示出了根据本公开实施例的风险处理方法和风险处理装置的系统架构。需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的风险处理方法一般可以由服务器105执行。相应地，本公开实施例所提供的风险处理装置一般可以设置于服务器105中。本公开实施例所提供的风险处理方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的风险处理装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。

例如，本公开实施例的解析请求可以存储在终端设备101、102、103中，通过终端设备101、102、103将解析请求发送至服务器105中，服务器105可以将解析请求发送至公网服务器，并接收来自公网服务器的反馈数据，以及将反馈数据中的目标地址数据替换为测试地址数据。另外，解析请求还可以由服务器105接收并直接存储在服务器105中，由服务器105将解析请求发送至公网服务器，并接收来自公网服务器的反馈数据，以及将反馈数据中的目标地址数据替换为测试地址数据。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

下面结合图1的系统架构，参考图2～图4来描述根据本公开示例性实施方式的应用于安全系统的风险处理方法。需要注意的是，上述系统架构仅是为了便于理解本公开的精神和原理而示出，本公开的实施方式在此方面不受任何限制。相反，本公开的实施方式可以应用于适用的任何场景。

图2示意性示出了根据本公开第一实施例的应用于安全系统的风险处理方法的流程图。

如图2所示，该方法可以包括操作S210～S250。

在操作S210，将来自请求终端的解析请求发送至公网服务器，其中，解析请求包括目标域名，解析请求用于请求公网服务器对解析请求进行解析以得到与目标域名对应的目标地址数据。

根据本公开实施例，用于执行风险处理的安全系统例如可以是网络蜜罐系统(Network Honeypot System)，网络蜜罐系统例如通过利用网络蜜罐技术来处理风险。其中，网络蜜罐技术是一种通过诱导技术与IPS(Intrusion Prevention System)设备结合的蜜罐技术方案，其中诱导技术作为网络蜜罐技术的核心，通过诱导技术将攻击者引入到蜜罐网络当中，攻击者在蜜罐网络当中的所有数据流量都可以在网络层进行捕获和分析，从而能够对攻击者的攻击流程进行朔源和检测追踪。

根据本公开实施例，解析请求包括基于用户对风险信息进行点击操作所生成的请求，风险信息中包括目标域名。

在本公开实施例中，风险信息例如可以是带有僵尸网络病毒的邮件附件或者网址链接等等。当用户点击风险信息后，请求终端受到僵尸网络病毒的感染。其中，僵尸网络一般指采用一种或多种传播手段，将僵尸网络病毒传播至大量设备，使得大量设备被感染，从而在病毒控制者和大量被感染设备之间形成一对多的网络，病毒控制者可以通过大量被感染设备进行其他攻击行为。

根据本公开实施例，当用户点击风险信息之后，请求终端生成解析请求，该解析请求例如包括DNS(Domain Name System)解析请求。其中，解析请求中例如包括目标域名，目标域名可以是网址，例如目标域名可以为AAA.com。

其中，目标域名与IP地址之间具有映射关系，例如与AAA.com对应的IP地址为1.1.1.1。当请求终端需要访问IP地址1.1.1.1时，需要将AAA.com发送至公网服务器，由公网服务器对AAA.com进行域名解析得到与之对应的IP地址1.1.1.1，并将IP地址1.1.1.1返回给请求终端，便于请求终端访问IP地址1.1.1.1。因此，当AAA.com为目标域名时，IP地址1.1.1.1例如可以作为与目标域名对应的目标地址数据。

在本公开实施例中，当用户点击风险信息之后，请求终端生成的解析请求例如可以首先发送至内网服务器中进行解析。其中，请求终端例如可以是企业内部的设备，内网服务器例如也可以是企业内部的DNS服务器。在内网服务器对解析请求解析失败的情况下，内网服务器需要将解析请求转发至公网服务器(公网服务器为该内网服务器的上游公网解析服务器)中，在转发过程中，网络蜜罐系统可以捕获并监测转发的解析请求，便于在解析请求中目标域名为风险域名的概率较大时，网络蜜罐系统可以实现主动的流量牵引。其中，公网服务器例如可以是公网DNS服务器，以便公网服务器对接收到的解析请求进行解析。

根据本公开实施例，公网服务器例如处于公网系统中。该公网系统例如还可以包括多个公网设备，其中，目标地址数据例如为多个公网设备中的其中一个设备的地址数据。即，被感染的请求终端旨在访问公网设备，并将僵尸网络病毒传给公网设备。

在操作S220，接收来自公网服务器的反馈数据，其中，反馈数据包括目标地址数据。

根据本公开实施例，当网络蜜罐系统将解析请求发送至公网服务器后，公网服务器对该解析请求进行解析得到与该解析请求对应的目标地址数据，例如得到IP地址1.1.1.1，进而公网服务器可以将该目标地址数据反馈给网络蜜罐系统。

在操作S230，确定至少一个测试终端中的目标测试终端的地址数据作为测试地址数据。

根据本公开实施例，安全系统(网络蜜罐系统)例如可以包括多个测试终端，每个测试终端各自具有其对应的IP地址。当网络蜜罐系统接收到来自公网服务器的反馈数据之后，可以从多个测试终端中确定出目标测试终端，以及确定目标测试终端的测试地址数据，例如测试地址数据包括目标测试终端的IP地址，例如IP地址为2.2.2.2。

在操作S240，将反馈数据中的目标地址数据替换为测试地址数据，得到更新后的反馈数据。

根据本公开实施例，为了防止被感染的请求终端对企业内部网络造成影响，企业内部可以构造网络蜜罐系统来监听被感染的请求终端的解析请求。例如，在网络蜜罐系统接收到来自公网服务器的反馈数据之后，可以将反馈数据中目标地址数据替换成测试地址数据，例如将目标地址数据1.1.1.1替换成测试地址数据2.2.2.2，得到更新后的反馈数据，该更新后的反馈数据包括测试地址数据2.2.2.2。

在操作S250，将更新后的反馈数据发送至请求终端，便于请求终端与目标测试终端进行数据交互。

在本公开实施例中，网络蜜罐系统可以将更新后的反馈数据发送给被感染的请求终端，便于请求终端基于测试地址数据与目标测试终端将进行数据交互。网络蜜罐系统可以实时监控请求终端与目标测试终端之间的通信，实现主动进行风险防御。

本公开实施例通过网络蜜罐系统实现主动的流量牵引，当网络蜜罐系统检测到异常行为和异常流量后，主动通过路由、DNS域名等方式牵引存在异常流量的链路到网络蜜罐系统的测试终端当中，以便对异常流量进行监测和牵引，防止生产环境或真实环境受到病毒感染。

图3示意性示出了根据本公开第二实施例的应用于安全系统的风险处理方法的流程图。

如图3所示，该方法可以包括操作S210～S250以及操作S310。其中，操作S210～S250与上参考图2描述的操作相同或类似，在此不再赘述。

在操作S310，确定目标域名是否为风险域名。

根据本公开实施例，可以通过确定目标域名是否为风险域名来判断请求终端是否为被感染设备。如果目标域名为风险域名，则请求终端为被感染设备的可能性较大。因此，本公开实施例通过判断风险域名，可以确定请求终端是否被感染，以便及时执行防御措施。

其中，确定目标域名是否为风险域名包括以下多种方式中的至少一种。第一种方式，例如将之前的合法域名和非法域名作为样本数据训练识别模型，并通过识别模型识别目标域名是否为风险域名。第二种方式，对流量路径所形成的服务网络进行流量的路径追踪，便于发现风险域名。第三种方式，通过机器学习训练得到域名的特征，结合URL/IP名单检测机制来实时更新和定义黑名单，并进行流量分析，如果当前域名的特征符合黑名单中域名的特征，则将当前域名作为风险域名。

根据本公开实施例，上述操作S240例如包括：响应于确定目标域名为风险域名，将反馈数据中的目标地址数据替换为测试地址数据，得到更新后的反馈数据。即，在目标域名为风险域名的情况下，表明请求终端为被感染设备的可能性较大，则网络蜜罐系统可以替换目标地址数据，以实现主动的流量牵引。

图4示意性示出了根据本公开第三实施例的应用于安全系统的风险处理方法的流程图。

如图4所示，该方法可以包括操作S210～S250以及操作S410～S420。其中，操作S210～S250与上参考图2描述的操作相同或类似，在此不再赘述。

在操作S410，记录请求终端与目标测试终端进行数据交互过程中的交互信息。

根据本公开实施例，在请求终端与目标测试终端进行数据交互的过程中，网络蜜罐系统可以记录交互过程中产生的交互信息，便于监控僵尸网络中的风险信息。

在操作S420，处理交互信息，得到至少一个风险域名。

根据本公开实施例，由于请求终端为被感染设备，因此请求终端中会具有僵尸网络的相关信息，例如具有僵尸网络中的其他风险域名。因此，网络蜜罐系统通过监控交互信息可以获取其他风险域名，便于在后续进行风险防范。

图5示意性示出了根据本公开第一实施例应用于安全系统的风险处理装置的框图。

如图5所示，应用于安全系统的风险处理装置500可以包括第一发送模块510、接收模块520、第一确定模块530、替换模块540以及第二发送模块550。

第一发送模块510可以用于将来自请求终端的解析请求发送至公网服务器，其中，解析请求包括目标域名，解析请求用于请求公网服务器对解析请求进行解析以得到与目标域名对应的目标地址数据。根据本公开实施例，第一发送模块510例如可以执行上文参考图2描述的操作S210，在此不再赘述。

接收模块520可以用于接收来自公网服务器的反馈数据，其中，反馈数据包括目标地址数据。根据本公开实施例，接收模块520例如可以执行上文参考图2描述的操作S220，在此不再赘述。

第一确定模块530可以用于确定至少一个测试终端中的目标测试终端的地址数据作为测试地址数据。根据本公开实施例，第一确定模块530例如可以执行上文参考图2描述的操作S230，在此不再赘述。

替换模块540可以用于将反馈数据中的目标地址数据替换为测试地址数据，得到更新后的反馈数据。根据本公开实施例，替换模块540例如可以执行上文参考图2描述的操作S240，在此不再赘述。

第二发送模块550可以用于将更新后的反馈数据发送至请求终端，便于请求终端与目标测试终端进行数据交互。根据本公开实施例，第二发送模块550例如可以执行上文参考图2描述的操作S250，在此不再赘述。

根据本公开实施例，将来自请求终端的解析请求发送至公网服务器包括：响应于请求终端向内网服务器发送解析请求，在内网服务器对解析请求解析失败的情况下，将解析请求发送至公网服务器。

根据本公开实施例，解析请求包括基于用户对风险信息进行点击操作所生成的请求，风险信息中包括目标域名。

根据本公开实施例，公网服务器包括公网系统中的至少一个服务器，公网系统还包括公网设备，目标地址数据为公网设备的地址数据。

图6示意性示出了根据本公开第二实施例应用于安全系统的风险处理装置的框图。

如图6所示，应用于安全系统的风险处理装置600可以包括第一发送模块510、接收模块520、第一确定模块530、替换模块540、第二发送模块550以及第二确定模块610。其中，第一发送模块510、接收模块520、第一确定模块530、替换模块540以及第二发送模块550与上参考图5描述的模块相同或类似，在此不再赘述。

第二确定模块610可以用于确定目标域名是否为风险域名。根据本公开实施例，第二确定模块610例如可以执行上文参考图3描述的操作S310，在此不再赘述。

根据本公开实施例，将反馈数据中的目标地址数据替换为测试地址数据，得到更新后的反馈数据包括：响应于确定目标域名为风险域名，将反馈数据中的目标地址数据替换为测试地址数据，得到更新后的反馈数据。

图7示意性示出了根据本公开第三实施例应用于安全系统的风险处理装置的框图。

如图7所示，应用于安全系统的风险处理装置700可以包括第一发送模块510、接收模块520、第一确定模块530、替换模块540、第二发送模块550、记录模块710以及处理模块720。其中，第一发送模块510、接收模块520、第一确定模块530、替换模块540以及第二发送模块550与上参考图5描述的模块相同或类似，在此不再赘述。

记录模块710可以用于记录请求终端与目标测试终端进行数据交互过程中的交互信息。根据本公开实施例，记录模块710例如可以执行上文参考图4描述的操作S410，在此不再赘述。

处理模块720可以用于处理交互信息，得到至少一个风险域名，交互信息包括至少一个风险域名。根据本公开实施例，处理模块720例如可以执行上文参考图4描述的操作S420，在此不再赘述。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，第一发送模块510、接收模块520、第一确定模块530、替换模块540、第二发送模块550、第二确定模块610、记录模块710以及处理模块720中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，第一发送模块510、接收模块520、第一确定模块530、替换模块540、第二发送模块550、第二确定模块610、记录模块710以及处理模块720中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，第一发送模块510、接收模块520、第一确定模块530、替换模块540、第二发送模块550、第二确定模块610、记录模块710以及处理模块720中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图8示意性示出了根据本公开实施例的用于实现风险处理的计算机系统的方框图。图8示出的计算机系统仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图8所示，计算机系统800包括处理器801、计算机可读存储介质802。该系统800可以执行根据本公开实施例的方法。

具体地，处理器801例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器801还可以包括用于缓存用途的板载存储器。处理器801可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

计算机可读存储介质802，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

计算机可读存储介质802可以包括计算机程序803，该计算机程序803可以包括代码/计算机可执行指令，其在由处理器801执行时使得处理器801执行根据本公开实施例的方法或其任何变形。

计算机程序803可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序803中的代码可以包括一个或多个程序模块，例如包括803A、模块803B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器801执行时，使得处理器801可以执行根据本公开实施例的方法或其任何变形。

根据本公开的实施例，第一发送模块510、接收模块520、第一确定模块530、替换模块540、第二发送模块550、第二确定模块610、记录模块710以及处理模块720中的至少一个可以实现为参考图8描述的计算机程序模块，其在被处理器801执行时，可以实现上面描述的相应操作。

本公开还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现上述方法。

根据本公开的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (9)

1.一种应用于安全系统的风险处理方法，所述安全系统包括至少一个测试终端，所述方法包括：

将来自请求终端的解析请求发送至公网服务器，其中，所述解析请求包括目标域名，所述解析请求用于请求所述公网服务器对所述解析请求进行解析以得到与所述目标域名对应的目标地址数据；

接收来自所述公网服务器的反馈数据，其中，所述反馈数据包括所述目标地址数据；

确定所述至少一个测试终端中的目标测试终端的地址数据作为测试地址数据；

将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据；以及

将所述更新后的反馈数据发送至所述请求终端，便于所述请求终端与所述目标测试终端进行数据交互；

其中，所述方法还包括：确定所述目标域名是否为风险域名；

所述将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据包括：

响应于确定所述目标域名为风险域名，将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据。

2.根据权利要求1所述的方法，其中，所述将来自请求终端的解析请求发送至公网服务器包括：

响应于所述请求终端向内网服务器发送所述解析请求，在所述内网服务器对所述解析请求解析失败的情况下，将所述解析请求发送至所述公网服务器。

3.根据权利要求1所述的方法，还包括：

记录所述请求终端与所述目标测试终端进行数据交互过程中的交互信息。

4.根据权利要求3所述的方法，其中，所述交互信息包括至少一个风险域名；所述方法还包括：

处理所述交互信息，得到所述至少一个风险域名。

5.根据权利要求1所述的方法，其中，所述解析请求包括基于用户对风险信息进行点击操作所生成的请求，所述风险信息中包括所述目标域名。

6.根据权利要求1所述的方法，其中，所述公网服务器包括公网系统中的至少一个服务器，所述公网系统还包括公网设备，所述目标地址数据为所述公网设备的地址数据。

7.一种应用于安全系统的风险处理装置，所述安全系统包括至少一个测试终端，所述装置包括：

第一发送模块，将来自请求终端的解析请求发送至公网服务器，其中，所述解析请求包括目标域名，所述解析请求用于请求所述公网服务器对所述解析请求进行解析得到与所述目标域名对应的目标地址数据；

接收模块，接收来自所述公网服务器的反馈数据，其中，所述反馈数据中包括所述目标地址数据；

第一确定模块，确定所述至少一个测试终端中的目标测试终端的地址数据作为测试地址数据；

替换模块，将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据；以及

第二发送模块，将所述更新后的反馈数据发送至所述请求终端，便于所述请求终端与所述目标测试终端进行数据交互；

第二确定模块，确定所述目标域名是否为风险域名；

其中，所述将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据包括：响应于确定所述目标域名为风险域名，将所述反馈数据中的目标地址数据替换为所述测试地址数据，得到更新后的反馈数据。

8.一种计算设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现权利要求1至6中任一项所述的方法。

9.一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现权利要求1至6中任一项所述的方法。

Images