CN110708292A - Ip处理方法、装置、介质、电子设备 - Google Patents

Ip处理方法、装置、介质、电子设备 Download PDF

Info

Publication number
CN110708292A
CN110708292A CN201910860857.3A CN201910860857A CN110708292A CN 110708292 A CN110708292 A CN 110708292A CN 201910860857 A CN201910860857 A CN 201910860857A CN 110708292 A CN110708292 A CN 110708292A
Authority
CN
China
Prior art keywords
information
malicious attack
port
attack
acquiring
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910860857.3A
Other languages
English (en)
Inventor
徐文强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangtong World Network Technology Co Ltd
Original Assignee
Guangtong World Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangtong World Network Technology Co Ltd filed Critical Guangtong World Network Technology Co Ltd
Priority to CN201910860857.3A priority Critical patent/CN110708292A/zh
Publication of CN110708292A publication Critical patent/CN110708292A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明涉及网络安全技术领域，公开了一种IP处理方法，其包括有以下步骤：获取恶意攻击IP；对所述恶意攻击IP进行端口扫描，并获得与所述恶意攻击IP对应攻击源的端口信息，其中所述端口信息包括攻击源的开放端口；将所述端口信息存入所述恶意攻击IP的对应指纹字段。该IP处理方法通过分别对恶意攻击IP进行扫描，以获得各个恶意攻击IP对应的端口信息，然后将该端口信息存入恶意攻击IP的对应指纹字段，从而丰富恶意攻击IP的字段信息，进而实现从多个数据维度对恶意攻击IP的字段进行分析。本发明还提供了IP处理装置、电子设备以及计算机可读存储介质。

Description

IP处理方法、装置、介质、电子设备
技术领域
本发明涉及网络安全技术领域，尤其涉及一种IP处理方法、装置、介质、电子设备。
背景技术
随着互联网的迅速发展，网络安全也越来越受到重视。从挖矿程序到勒索病毒，攻击的危害程度不断上升，沦陷后的恢复成本也在不断提高，基于对情报和预先防御的需求，威胁情报也慢慢出现在大众的视野中。
威胁情报是基于一定知识的证据，能对现有或是即将出现的威胁、危险采取某种响应和预警，由此可知，威胁情报的核心是信息的收集与分析。
在威胁情报中，通过蜜罐等信息收集方式，每天都能采集到大量的恶意攻击IP。通过分析其行为等方式能得到一些与IP相关的信息，该信息仅有其行为、样本等。即存在IP字段信息少，导致无法有效、正确地对这些IP根据其特征进行信誉度排名，对溯源、攻击者画像描绘等都造成一定的难度和影响。
发明内容
为了克服现有技术的不足，本发明的目的之一在于提供一种IP处理方法，其增加了IP字段的内容。
本发明的目的之一采用如下技术方案实现：一种IP处理方法，包括：
获取恶意攻击IP；
获取端口信息，对所述恶意攻击IP进行端口扫描，并获得与所述恶意攻击IP对应攻击源的端口信息，其中所述端口信息包括攻击源的开放端口；
将所述端口信息存入所述恶意攻击IP的对应指纹字段。
进一步地，获取恶意攻击IP包括以下步骤：
获取具有恶意攻击行为的IP；
对所述具有恶意攻击行为的IP进行去重，并得到恶意攻击IP。
进一步地，采用Nmap对所述恶意攻击IP进行端口扫描。
进一步地，对所述恶意攻击IP进行端口扫描，还包括以下步骤：
判断所述开放端口是否开放了web服务；
若是，则对开放了web服务的所述开放端口进行二次端口扫描，获取与攻击源对应的二次扫描信息，将所述二次扫描信息存入所述端口信息。
进一步地，所述二次扫描信息包括设备信息、web服务所使用的框架信息。
进一步地，获取设备信息包括：通过所述二次端口扫描，获取与所述web服务对应的Banner信息，所述Banner信息关联有HTTP；
将与Banner信息关联的HTTP与第一规则库进行匹配，若匹配成功，则获取与攻击源对应的设备信息，其中所述第一规则库内预存有HTTP，所述第一规则库内预存的HTTP分别与设备信息对应关联。
进一步地，获取web服务所使用的框架信息包括：
通过所述二次端口扫描，获取与所述web服务对应的答应报文；
将与web服务对应的答应报文与第二规则库匹配，若匹配成功，则获取与攻击源对应的框架信息，其中所述第二规则库内预设有答应报文的特征值，所述第二规则库内预存答应报文的特征值分别与框架信息对应关联。
本发明的目的之二在于提供一种IP处理装置，其通过恶意攻击IP获取模块、端口扫描模块、重组模块，将端口信息存入恶意攻击IP的对应指纹字段，增加IP字段的内容。
本发明的目的之二采用如下技术方案实现：一种IP处理装置，包括：
恶意攻击IP获取模块，用于获取恶意攻击IP；
端口扫描模块，对所述恶意攻击IP进行端口扫描，并获取与所述恶意攻击IP对应攻击源的端口信息，所述端口信息包括攻击源的开放端口；
重组模块，用于将所述端口信息存入所述恶意攻击IP的对应指纹字段。
本发明的目的之三在于提供执行发明目的之一的电子设备，其包括处理器、存储介质以及计算机程序，所述计算机程序存储于存储介质中，所述计算机程序被处理器执行时实现上述的IP处理方法。
本发明的目的之四在于提供存储发明目的之一的计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述的IP处理方法。
相比现有技术，本发明的有益效果在于：分别对恶意攻击IP进行扫描，以获得各个恶意攻击IP对应的端口信息，然后将该端口信息反向存入恶意攻击IP的对应指纹字段，从而丰富了恶意攻击IP的字段信息，以便实现从多个数据维度对恶意攻击IP的字段进行分析。
附图说明
图1为实施例一中所示方法的流程框图；
图2为实施例二中所示方法的流程框图；
图3为实施例三中所示方法的流程框图；
图4为图3中步骤L201的流程框图；
图5为图3中步骤L202的流程框图；
图6为实施例四中所示装置的结构框图；
图7为实施例五电子设备的结构框图。
图中：1、恶意攻击IP获取模块；2、端口扫描模块；3、重组模块；4、电子设备；41、处理器；42、存储器；43、输入装置；44、输出装置。
具体实施方式
以下将结合附图，对本发明进行更为详细的描述，需要说明的是，以下参照附图对本发明进行的描述仅是示意性的，而非限制性的。各个不同实施例之间可以进行相互组合，以构成未在以下描述中示出的其他实施例。
实施例一
实施例一旨在提供一种IP处理方法，其克服了IP信息字段少的问题。
具体地，参照图1所示，一种IP处理方法，其包括有以下步骤。
步骤S10、获取恶意攻击IP。
获取恶意攻击IP的设备可以是台式计算机、笔记本电脑、服务器(实体服务器或云服务器)等，甚至也可以是手机或平板电脑等，以下各步骤中对恶意攻击IP的处理、抽取以及扫描等操作均可在该获取该恶意攻击IP的设备中进行，当然，该获取恶意攻击IP的设备可以为一个或多个。
该恶意攻击IP可以通过部署蜜罐采集、防御设备信息收集、公开情报信息采集等手段获得。其中，获得恶意攻击IP的手段优选为部署蜜罐采集。
值得说明的是，蜜罐采集是一种主动防御的网络安全技术，可以吸引黑客的攻击，监视和跟踪入侵者的行为并且记录下来进行分析，从而研究入侵者所使用的攻击工具、策略和方法。但是通过蜜罐采集到的恶意攻击IP的信息仅有其行为、样本等，会存在IP字段较少的问题。
步骤S20、对恶意攻击IP进行端口扫描，并获取与恶意攻击IP对应攻击源的端口信息。其中，端口信息可以包括攻击源的开放端口，端口信息还可以包括开放端口对应的版本。值得说明的是，通过收集开放端口的对应版本，有利于后期进行溯源等相关操作。
在步骤S20中，采用Nmap对恶意攻击IP进行全端口扫描。值得说明的是，Nmap是一个网络连接端扫描软件，可以用来扫描网上电脑开放的网络连接端，从而获取各个网络连接端的运行状态和端口信息。在Nmap完成端口扫描之后，可以利用Python对端口信息进行获取，以实现自动化收集端口信息，具有操作方面、效率高的优点，当然，端口扫描也可以采用其他方式实现。
值得说明的是，这里的IP对应的端口信息是指IP对应设备(攻击源)的端口信息的简称，本发明中提及的IP对应的端口信息均为IP对应设备(攻击源)的端口信息。
步骤S30、将端口信息存入恶意攻击IP的对应指纹字段。通过步骤S30丰富了恶意攻击IP的对应指纹字段，以便于之后对恶意攻击IP进行处理，提高攻击者画像的准确度。
综上所述，该IP处理方法通过分别对恶意攻击IP进行扫描，以获得各个恶意攻击IP对应的端口信息，然后将该端口信息存入恶意攻击IP的对应指纹字段，从而丰富了恶意攻击IP的字段信息，以便实现从多个数据维度对恶意攻击IP的字段进行分析。
实施例二
参照图2所示，本实施例与上述实施例的区别之处在于，步骤S10、获取恶意攻击IP，其具体包括以下步骤：
步骤S101、获取具有恶意攻击行为的IP。
在步骤S101中，将获取到的具有恶意攻击行为的IP形成集合。值得说明的是，IP对应的攻击源攻击服务器一次则视为一次独立的恶意攻击行为，且该IP会被视为具有恶意攻击行为的IP并归入集合中，但若该IP对应的攻击源再次攻击服务器时，该IP还会被视为具有恶意攻击行为的IP并再次归入集合中，从而导致该合集中具有多个重复的IP。
步骤S102、对步骤S101中获取到的具有恶意攻击行为的IP进行去重，并得到恶意攻击IP。
在步骤S102中，对具有恶意攻击行为的IP的去重可以设置为：将具有恶意攻击行为的IP按照攻击类型进行整合并统计攻击次数。其目的在于删除上述集合内重复的具有恶意攻击行为的IP，或将上述集合内重复的具有恶意攻击行为的IP按照要求进行整合，从而使得合集内具有恶意攻击行为的IP单一，然后可以将单一的恶意攻击行为的IP归为恶意攻击IP。且还可以将恶意攻击IP的攻击次数写入IP的指纹字段中。该步骤S103减少了需要进行端口扫描的恶意攻击IP的基数，进而节省了处理时间并提高了处理效率。
值得说明的是，在步骤S102中，在对具有恶意攻击行为的IP进行去重时，还预设有去重时间间隔，该去重时间间隔的设置使得每间隔若干时间就自动执行一次上述去重操作，即每间隔若干时间，就对在所述间隔时间段内获取到的具有恶意攻击行为的IP自动执行一次去重，上述去重时间间隔可以设置为一天，也可以设置为十二小时，具体地可以根据实际需要进行设定，该实施例优选为十二小时。
实施例三
本实施例与实施例一和实施二的区别在于，针对步骤S20、对恶意攻击IP进行端口扫描，并获取与恶意攻击IP对应攻击源的端口信息，还包括以下步骤。
步骤L10、判断开放端口是否开放了web服务。若否，则执行步骤S30、将端口信息存入恶意攻击IP的对应指纹字段。若是，则执行步骤L20。
步骤L20、对开放了web服务的开放端口进行二次端口扫描。该端口扫描也可以利用Nmap进行二次端口扫描；Nmap可以在二次端口扫描的同时可以获取与攻击源对应的二次扫描信息，其中二次扫描信息可以包括有设备信息、web服务所使用的框架信息等；
步骤L30、将二次扫描信息存入端口信息。继而执行步骤S30、将端口信息存入恶意攻击IP的对应指纹字段，从而进一步地丰富了恶意攻击IP的指纹字段。
值得说明的是，步骤L20还包括有步骤L201、步骤L202。其中步骤L201用于获取与攻击源对应的设备信息，步骤L202用于获取与web服务所使用的框架信息。
参照图4所述，步骤L201具体包括以下步骤。
步骤L2011、在对开放了web服务的开放端口进行二次端口扫描时，获取与web服务对应的Banner信息，该Banner信息对应关联有HTTP。
步骤L2012、将对应关联的HTTP与第一规则库进行匹配，其中第一规则库内预存有HTTP，第一规则库内预存的HTTP分别与设备信息对应关联。即可以通过步骤L2011获取的Banner信息得到与恶意攻击IP相应的设备信息。
值得说明的是，当对应关联的HTTP中的字段与第一规则库内预存的HTTP的字段部分或全部相同时，则可以表示匹配成功，其匹配的具体规则可以根据实际需要进行设置。
若对应关联的HTTP与第一规则库匹配成功，则执行步骤L2013、获取与攻击源对应的设备信息；若对应关联的HTTP与第一规则库匹配失败，则可以执行步骤L2014、将设备信息设置为“暂无”等标识。
参照图5所述，步骤L202具体包括以下步骤。
步骤L2021、在对开放了web服务的开放端口进行二次端口扫描时，获取与web服务对应的答应报文。
步骤L2022、将对应的答应报文与第二规则库进行匹配，其中第二规则库内预存有若干答应报文的特征值，第二规则库内预存答应报文的特征值分别与框架信息对应关联，从而可以通过步骤L2021获取的答应报文得到与恶意攻击IP相应的框架信息。值得说明的是，当对应的答应报文中的部分字段与第二规则库内预存答应报文的特征值的部分字段相同时，则也表示匹配成功，其匹配的具体规则可以根据实际需要进行设置。
若对应的答应报文与第二规则库匹配成功，则执行步骤L2023、获取与web服务对应的答应报文；若对应的答应报文与第二规则库匹配失败，则可以执行步骤L2024、将框架信息设置为“暂无”等标识。
通过上述方案，得到的恶意攻击IP中不仅携带有端口信息，还可以携带有与攻击源对应的设备信息、web服务所使用的框架信息，实现了丰富恶意攻击IP，便于以IP为维度进行整合分析。
实施例四
实施例四旨在提供一种IP处理装置，其通过恶意攻击IP获取模块1、端口扫描模块2、重组模块3，将端口信息存入恶意攻击IP的对应指纹字段，从而丰富了恶意攻击IP的指纹字段，便于以IP为维度进行整合分析，有利于对这些IP根据其特征进行信誉度排名。
具体地，参考图6所示，一种IP处理装置，包括有恶意攻击IP获取模块1、端口扫描模块2、重组模块3。
恶意攻击IP获取模块1用于获取恶意攻击IP；
端口扫描模块2对所述恶意攻击IP进行端口扫描，并获取与所述恶意攻击IP对应攻击源的端口信息，所述端口信息包括攻击源的开放端口；
重组模块3用于将所述端口信息存入所述恶意攻击IP的对应指纹字段。
作为优选的方案，在恶意攻击IP获取模块1中，获取恶意攻击IP包括以下步骤：获取具有恶意攻击行为的IP；对所述具有恶意攻击行为的IP进行去重，并得到恶意攻击IP。
优选地，采用Nmap对所述恶意攻击IP进行端口扫描。
优选地，在端口扫描模块2中，对所述恶意攻击IP进行端口扫描，还包括以下步骤：判断所述开放端口是否开放了web服务；若是，则对开放了web服务的所述开放端口进行二次端口扫描，获取与攻击源对应的二次扫描信息，将所述二次扫描信息存入所述端口信息。
优选地，在端口扫描模块2中，所述二次扫描信息包括设备信息、web服务所使用的框架信息。
优选地，在端口扫描模块2中，获取设备信息包括：通过所述二次端口扫描，获取与所述web服务对应的Banner信息，所述Banner信息关联有HTTP；将与Banner信息关联的HTTP与第一规则库进行匹配，若匹配成功，则获取与攻击源对应的设备信息，其中所述第一规则库内预存有HTTP，所述第一规则库内预存的HTTP分别与设备信息对应关联。
优选地，在端口扫描模块2中，获取web服务所使用的框架信息包括：通过所述二次端口扫描，获取与所述web服务对应的答应报文；将与web服务对应的答应报文与第二规则库匹配，若匹配成功，则获取与攻击源对应的框架信息，其中所述第二规则库内预设有答应报文的特征值，所述第二规则库内预存答应报文的特征值分别与框架信息对应关联。
实施例五
电子设备可以是台式计算机、笔记本电脑、服务器(实体服务器或云服务器)等，甚至也可以是手机或平板电脑等，以下各步骤中对恶意攻击IP的处理、抽取以及扫描等操作均可在该获取该恶意攻击IP的设备中进行，当然，该获取恶意攻击IP的设备可以一个或多个。
图7为本发明实施例五提供的一种电子设备的结构示意图，如图7所示，该电子设备4包括处理器41、存储器42、输入装置43和输出装置44；计算机设备中处理器41的数量可以是一个或多个，图7中以一个处理器41为例；电子设备4中的处理器41、存储器42、输入装置43和输出装置44可以通过总线或其他方式连接，图7中以通过总线连接为例。
总线表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。
存储器42作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序以及模块，如本发明实施例中的IP处理方法对应的程序指令/模块，该程序指令/模块为IP处理装置中的恶意攻击IP获取模块1、端口扫描模块2、重组模块3，其均存储于存储器42内。处理器41通过运行存储在存储器42中的软件程序、指令以及模块，从而执行电子设备4的各种功能应用以及数据处理，即实现上述实施例一至实施例三的任意实施例或实施例组合的IP处理方法。
存储器42可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端的使用所创建的数据等。此外，存储器42可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储器42可进一步设置为包括相对于处理器41远程设置的存储器，这些远程存储器可以通过网络连接至电子设备4。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
值得说明的是，输入装置43与对应的设备连接，并可以用于接收恶意攻击IP。输出装置44包括文档或显示屏等显示设备。具体地，当输出装置为文档时，可以将各个恶意攻击IP的对应信息按照特定的格式记录于文档内，在实现数据保存的同时，还实现了数据的整合；当输出装置为显示屏等显示设备时，直接将恶意攻击IP的对应信息投放于显示屏等设备上，以便于用户实时查看。
实施例六
本发明实施例六还提供一种计算机可读存储介质，其包含计算机可执行指令，计算机可执行指令在由计算机处理器执行时用于执行上述的IP处理方法，该方法包括：
获取恶意攻击IP；
对所述恶意攻击IP进行端口扫描，并获取与所述恶意攻击IP对应攻击源的端口信息，所述端口信息包括攻击源的开放端口；
将所述端口信息存入所述恶意攻击IP的对应指纹字段。
当然，本发明实施例所提供的一种计算机可读存储介质，其计算机可执行指令不限于如上的方法操作。
通过以上关于实施方式的描述，所属领域的技术人员可以清楚地了解到，本发明可借助软件及必需的通用硬件来实现，当然也可以通过硬件实现，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如计算机的软盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(RandomAccess Memory，RAM)、闪存(FlASH)、硬盘或光盘等，包括若干指令用以使得一台电子设备(可以是手机，个人计算机，服务器，或者网络设备等)执行本发明中实施例一至实施例三任意实施例或实施例组合的IP处理方法。
值得注意的是，上述的IP处理装置的实施例四中，所包括的各个单元和模块只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可。另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。
上述实施方式仅为本发明的优选实施方式，不能以此来限定本发明保护的范围，本领域的技术人员在本发明的基础上所做的任何非实质性的变化及替换均属于本发明所要求保护的范围。

Claims (10)

1.一种IP处理方法，其特征在于，包括：
获取恶意攻击IP；
对所述恶意攻击IP进行端口扫描，并获得与所述恶意攻击IP对应攻击源的端口信息，其中所述端口信息包括攻击源的开放端口；
将所述端口信息存入所述恶意攻击IP的对应指纹字段。
2.根据权利要求1所述的IP处理方法，其特征在于，获取恶意攻击IP包括以下步骤：
获取具有恶意攻击行为的IP；
对所述具有恶意攻击行为的IP进行去重，并得到恶意攻击IP。
3.根据权利要求1所述的IP处理方法，其特征在于，采用Nmap对所述恶意攻击IP进行端口扫描。
4.根据权利要求1至3任意一项所述的IP处理方法，其特征在于，对所述恶意攻击IP进行端口扫描，还包括以下步骤：
判断所述开放端口是否开放了web服务；
若是，则对开放了web服务的所述开放端口进行二次端口扫描，获取与攻击源对应的二次扫描信息，将所述二次扫描信息存入所述端口信息。
5.根据权利要求4所述的IP处理方法，其特征在于，所述二次扫描信息包括设备信息、web服务所使用的框架信息。
6.根据权利要求5所述的IP处理方法，其特征在于，获取设备信息包括：通过所述二次端口扫描，获取与所述web服务对应的Banner信息，所述Banner信息关联有HTTP；
将与Banner信息关联的HTTP与第一规则库进行匹配，若匹配成功，则获取与攻击源对应的设备信息，其中所述第一规则库内预存有HTTP，所述第一规则库内预存的HTTP分别与设备信息对应关联。
7.根据权利要求5所述的IP处理方法，其特征在于，获取web服务所使用的框架信息包括：
通过所述二次端口扫描，获取与所述web服务对应的答应报文；
将与web服务对应的答应报文与第二规则库匹配，若匹配成功，则获取与攻击源对应的框架信息，其中所述第二规则库内预设有答应报文的特征值，所述第二规则库内预存答应报文的特征值分别与框架信息对应关联。
8.一种IP处理装置，其特征在于，包括：
恶意攻击IP获取模块，用于获取恶意攻击IP；
端口扫描模块，对所述恶意攻击IP进行端口扫描，并获取与所述恶意攻击IP对应攻击源的端口信息，所述端口信息包括攻击源的开放端口；
重组模块，用于将所述端口信息存入所述恶意攻击IP的对应指纹字段。
9.一种电子设备，其包括处理器、存储介质以及计算机程序，所述计算机程序存储于存储介质中，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7任意一项所述的IP处理方法。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7任意一项所述的IP处理方法。
CN201910860857.3A 2019-09-11 2019-09-11 Ip处理方法、装置、介质、电子设备 Pending CN110708292A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910860857.3A CN110708292A (zh) 2019-09-11 2019-09-11 Ip处理方法、装置、介质、电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910860857.3A CN110708292A (zh) 2019-09-11 2019-09-11 Ip处理方法、装置、介质、电子设备

Publications (1)

Publication Number Publication Date
CN110708292A true CN110708292A (zh) 2020-01-17

Family

ID=69194905

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910860857.3A Pending CN110708292A (zh) 2019-09-11 2019-09-11 Ip处理方法、装置、介质、电子设备

Country Status (1)

Country Link
CN (1) CN110708292A (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111600853A (zh) * 2020-04-29 2020-08-28 浙江德迅网络安全技术有限公司 一种基于云防护的ip信誉度评分模型的网站防护系统
CN112165498A (zh) * 2020-11-12 2021-01-01 北京华云安信息技术有限公司 一种渗透测试的智能决策方法
CN112804226A (zh) * 2021-01-08 2021-05-14 光通天下网络科技股份有限公司 Ip数据处理方法、装置、设备及介质
CN114363059A (zh) * 2021-12-31 2022-04-15 深信服科技股份有限公司 一种攻击识别方法、装置及相关设备
CN114363053A (zh) * 2021-12-31 2022-04-15 深信服科技股份有限公司 一种攻击识别方法、装置及相关设备
CN114465979A (zh) * 2021-12-21 2022-05-10 天翼云科技有限公司 一种ip库生成方法、系统及电子设备

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102624713A (zh) * 2012-02-29 2012-08-01 深信服网络科技（深圳）有限公司 网站篡改识别的方法及装置
CN105262730A (zh) * 2015-09-14 2016-01-20 北京华青融天技术有限责任公司 基于企业域名安全的监控方法及装置
CN105721472A (zh) * 2016-02-23 2016-06-29 北京皮尔布莱尼软件有限公司 一种端口安全检查方法、装置和系统
RU164629U1 (ru) * 2015-06-30 2016-09-10 Акционерное общество "Институт точной механики и вычислительной техники имени С.А. Лебедева Российской академии наук" Электронный модуль защиты от сетевых атак на базе сетевого процессора np-5
CN106921628A (zh) * 2015-12-25 2017-07-04 阿里巴巴集团控股有限公司 基于网络地址识别网络访问来源方法和装置
CN108881271A (zh) * 2018-07-03 2018-11-23 杭州安恒信息技术股份有限公司 一种代理主机的反向追踪溯源方法及装置
CN108881294A (zh) * 2018-07-23 2018-11-23 杭州安恒信息技术股份有限公司 基于网络攻击行为的攻击源ip画像生成方法以及装置

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102624713A (zh) * 2012-02-29 2012-08-01 深信服网络科技（深圳）有限公司 网站篡改识别的方法及装置
RU164629U1 (ru) * 2015-06-30 2016-09-10 Акционерное общество "Институт точной механики и вычислительной техники имени С.А. Лебедева Российской академии наук" Электронный модуль защиты от сетевых атак на базе сетевого процессора np-5
CN105262730A (zh) * 2015-09-14 2016-01-20 北京华青融天技术有限责任公司 基于企业域名安全的监控方法及装置
CN106921628A (zh) * 2015-12-25 2017-07-04 阿里巴巴集团控股有限公司 基于网络地址识别网络访问来源方法和装置
CN105721472A (zh) * 2016-02-23 2016-06-29 北京皮尔布莱尼软件有限公司 一种端口安全检查方法、装置和系统
CN108881271A (zh) * 2018-07-03 2018-11-23 杭州安恒信息技术股份有限公司 一种代理主机的反向追踪溯源方法及装置
CN108881294A (zh) * 2018-07-23 2018-11-23 杭州安恒信息技术股份有限公司 基于网络攻击行为的攻击源ip画像生成方法以及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
曹来成等: "网络空间终端设备识别框架", 《计算机系统应用》 *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111600853A (zh) * 2020-04-29 2020-08-28 浙江德迅网络安全技术有限公司 一种基于云防护的ip信誉度评分模型的网站防护系统
CN112165498A (zh) * 2020-11-12 2021-01-01 北京华云安信息技术有限公司 一种渗透测试的智能决策方法
CN112165498B (zh) * 2020-11-12 2022-10-25 北京华云安信息技术有限公司 一种渗透测试的智能决策方法及装置
CN112804226A (zh) * 2021-01-08 2021-05-14 光通天下网络科技股份有限公司 Ip数据处理方法、装置、设备及介质
CN114465979A (zh) * 2021-12-21 2022-05-10 天翼云科技有限公司 一种ip库生成方法、系统及电子设备
CN114465979B (zh) * 2021-12-21 2024-01-02 天翼云科技有限公司 一种ip库生成方法、系统及电子设备
CN114363059A (zh) * 2021-12-31 2022-04-15 深信服科技股份有限公司 一种攻击识别方法、装置及相关设备
CN114363053A (zh) * 2021-12-31 2022-04-15 深信服科技股份有限公司 一种攻击识别方法、装置及相关设备

Similar Documents

Publication Publication Date Title
CN110708292A (zh) Ip处理方法、装置、介质、电子设备
CN108471429B (zh) 一种网络攻击告警方法及系统
Koike et al. SnortView: visualization system of snort logs
CN106375331B (zh) 一种攻击组织的挖掘方法及装置
CN110809010B (zh) 威胁信息处理方法、装置、电子设备及介质
CN108833185B (zh) 一种网络攻击路线还原方法及系统
Kumari et al. An insight into digital forensics branches and tools
CN110210213B (zh) 过滤恶意样本的方法及装置、存储介质、电子装置
CN107145779B (zh) 一种离线恶意软件日志的识别方法和装置
CN110149319B (zh) Apt组织的追踪方法及装置、存储介质、电子装置
US20220200959A1 (en) Data collection system for effectively processing big data
CN111049786A (zh) 一种网络攻击的检测方法、装置、设备及存储介质
CN110691072A (zh) 分布式端口扫描方法、装置、介质、电子设备
CN110149318B (zh) 邮件元数据的处理方法及装置、存储介质、电子装置
CN111049731B (zh) 一种即时聊天应用监控方法以及系统
US11336663B2 (en) Recording medium on which evaluating program is recorded, evaluating method, and information processing apparatus
CN113381980B (zh) 信息安全防御方法及系统、电子设备、存储介质
CN113067812A (zh) Apt攻击事件溯源分析方法、装置和计算机可读介质
Khan et al. Digital forensics and cyber forensics investigation: security challenges, limitations, open issues, and future direction
CN113923003A (zh) 一种攻击者画像生成方法、系统、设备以及介质
CN113065026A (zh) 基于安全微服务架构的异常事件智能检测系统、方法及介质
CN115883223A (zh) 用户风险画像的生成方法及装置、电子设备、存储介质
CN111859374A (zh) 社会工程学攻击事件的检测方法、装置以及系统
Hemdan et al. Spark-based log data analysis for reconstruction of cybercrime events in cloud environment
CN109474567B (zh) Ddos攻击溯源方法、装置、存储介质及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
AD01 Patent right deemed abandoned
AD01 Patent right deemed abandoned

Effective date of abandoning: 20230707