CN110868379B - 基于dns解析报文的入侵威胁指标拓展方法、装置及电子设备 - Google Patents

基于dns解析报文的入侵威胁指标拓展方法、装置及电子设备 Download PDF

Info

Publication number
CN110868379B
CN110868379B CN201811560012.4A CN201811560012A CN110868379B CN 110868379 B CN110868379 B CN 110868379B CN 201811560012 A CN201811560012 A CN 201811560012A CN 110868379 B CN110868379 B CN 110868379B
Authority
CN
China
Prior art keywords
dns
library
analysis
threat index
intrusion threat
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811560012.4A
Other languages
English (en)
Other versions
CN110868379A (zh
Inventor
关墨辰
李林哲
王小丰
肖新光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Antiy Network Technology Co Ltd
Original Assignee
Beijing Antiy Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Antiy Network Technology Co Ltd filed Critical Beijing Antiy Network Technology Co Ltd
Priority to CN201811560012.4A priority Critical patent/CN110868379B/zh
Publication of CN110868379A publication Critical patent/CN110868379A/zh
Application granted granted Critical
Publication of CN110868379B publication Critical patent/CN110868379B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明的实施例公开一种基于DNS解析报文的入侵威胁指标拓展方法、装置及电子设备，涉及计算机网络安全防护技术领域，能够解决现有的入侵威胁指标有限的问题。所述方法包括：获取实时接收的网络流量的IP地址；判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；若是，则根据所述网络流量使用的协议对所述网络流量进行分类；对DNS协议流量进行DNS解析，得到DNS解析报文；根据预先设置的入侵威胁指标匹配库判断所述DNS协议流量的解析请求发起方是否被恶意代码感染；若是，则在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。本发明适用于各种使用IOC进行安全威胁检测的场合。

Description

基于DNS解析报文的入侵威胁指标拓展方法、装置及电子设备
技术领域
本发明涉及计算机网络安全防护技术领域，尤其涉及一种基于DNS解析报文的入侵威胁指标拓展方法、装置及电子设备。
背景技术
随着计算机技术的发展，计算机安全技术人员和黑客之间的对决也越来越高级，早期的计算机安全防护主要专注于威胁的特征码提取，近几年，安全行业已经从仅专注特征码，转变到了将入侵威胁指标(IOC：Indicator of compromise)也纳入进来。因为从各方面看来，IOC的检测相对于特征码而言更为便捷，而且能够兼容各种不同检测平台。
传统的IOC的判断方法，依赖于对主机产生的DNS解析结果进行检测，例如检测DNS解析结果中的解析对象是否能在预先设置的入侵威胁指标匹配库中匹配到，若能匹配到，则判定相关解析对象具有威胁(例如被恶意代码感染)。目前，若DNS解析结果被IOC检测方法进行判定为具有威胁，还需要人工介入进一步确认判定是否准确，而此时威胁流量已经流过了，可用于研判的数据源有限。与此同时，威胁在时刻进行演进对抗，对手的DNS解析记录指向的控制主机也在不断发生变化，依赖于厂家不断发现并提取新的入侵威胁指标的反法对新的威胁响应较为迟缓，因此在检测现场进行入侵威胁指标的拓展势在必行。
发明内容
有鉴于此，本发明实施例提供一种基于DNS解析报文的入侵威胁指标拓展方法、装置及电子设备，能够解决现有的入侵威胁指标有限，对新的威胁响应反应较为迟缓问题。
第一方面，本发明实施例提供一种基于DNS解析报文的入侵威胁指标拓展方法，包括：
获取实时接收的网络流量的IP地址；
判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；
若所述网络流量的IP地址能在预先设置的IP子库中匹配到，则根据所述网络流量使用的协议对所述网络流量进行分类；
若所述网络流量为DNS协议流量，则对所述DNS协议流量进行DNS解析，得到DNS解析报文；
根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染；所述入侵威胁指标匹配库包括域名子库和所述IP子库；
若判定所述DNS协议流量的解析请求发起方被恶意代码感染，则在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。
结合第一方面，在第一方面的第一种可实施方式中，所述根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染，包括：
判断所述DNS解析报文中的解析对象/被解析对象是否命中所述域名子库；
若所述DNS解析报文中的解析对象/被解析对象命中所述域名子库，则判定所述DNS协议流量的解析请求发起方被恶意代码感染。
结合第一方面的第一种实施方式，在第一方面的第二种可实施方式中，所述在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录，包括：
判断命中所述域名子库的DNS解析报文是否是DNS响应类型；
若所述DNS解析报文是DNS响应类型，则在所述入侵威胁指标匹配库中增加包括被解析对象的入侵威胁指标拓展记录；
判断所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录。
结合第一方面的第二种实施方式，在第一方面的第三种可实施方式中，所述入侵威胁指标匹配库还包括TXT子库；
所述判断所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录，包括：
判断所述DNS解析报文中的各个解析结果的A记录或AAAA记录是否命中所述IP子库，若是，则在所述IP子库中增加关于当前命中的IP的入侵威胁指标拓展记录；或者，
判断所述DNS解析报文中的各个解析结果的CNAME记录或MX记录是否命中所述域名子库，若是，则在所述域名子库中增加关于当前命中的域名的入侵威胁指标拓展记录；或者，
判断所述DNS解析报文中的TXT记录是否命中所述TXT子库，若是，则在所述TXT子库中增加关于当前命中的TXT记录的入侵威胁指标拓展记录。
结合第一方面的第三种实施方式，在第一方面的第四种可实施方式中，每条入侵威胁指标拓展记录包括命中所述入侵威胁指标匹配库的解析类型的值、感染的恶意代码名称、是否为厂家自带规则、录入时间、线索拓展步骤号、线索拓展的上一步骤源。
结合第一方面的第四种实施方式，在第一方面的第五种可实施方式中，所述方法还包括：在当前时间和所述录入时间之间的时间间隔超过预设时间差阈值时，删除所述入侵威胁指标匹配库中相应的入侵威胁指标拓展记录；或者，
在每个预设检查周期到达时，删除所述入侵威胁指标匹配库中录入时间与检查周期到达时刻之间的时间间隔超过所述预设时间差阈值的入侵威胁指标拓展记录。
结合第一方面，在第一方面的第六种可实施方式中，在对所述网络流量进行分类之后，还包括：
若所述网络流量为邮件协议流量，则从所述邮件协议流量中解析出邮件发送者和所有接收者的邮箱信息；
判断所述邮件发送者和所有接收者的邮箱地址所属域名是否命中所述域名子库；
若所述邮件发送者和所有接收者的邮箱地址所属域名命中所述域名子库，则判定邮件协议流量的解析请求发起方被恶意代码感染；
向所述邮件协议流量的解析请求发起方发起威胁告警。
结合第一方面，在第一方面的第七种可实施方式中，在对所述网络流量进行分类之后，还包括：
若所述网络流量为HTTP协议流量，则从所述HTTP协议流量中解析出HTTP的域名或HTTP的IP；
判断所述HTTP的域名是否命中所述域名子库，或者判断所述HTTP的IP是否命中所述IP子库；
若所述HTTP的域名命中所述域名子库或所述HTTP的IP命中所述IP子库，则判定HTTP协议流量的解析请求发起方被恶意代码感染；
向所述HTTP协议流量的解析请求发起方发起威胁告警。
结合第一方面，在第一方面的第八种可实施方式中，在判定所述网络流量的IP地址能在预先设置的IP子库中匹配到时，所述方法还包括：向所述网络流量的解析请求发起方发起威胁告警；
在判定所述DNS协议流量的解析请求发起方被恶意代码感染之后，所述方法还包括：向所述DNS协议流量的解析请求发起方发起威胁告警。
第二方面，本发明实施例提供一种基于DNS解析报文的入侵威胁指标拓展装置，包括：
IP获取模块，用于获取实时接收的网络流量的IP地址；
第一判断模块，用于判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；
分类模块，用于在所述第一判断模块的判断结果为是时，根据所述网络流量使用的协议对所述网络流量进行分类；
DNS解析模块，用于对所述分类模块分类出的DNS协议流量进行DNS解析，得到DNS解析报文；
第二判断模块，用于根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染；所述入侵威胁指标匹配库包括域名子库和所述IP子库；
记录模块，用于在所述第二判断模块的判断结果为是时，在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。
结合第二方面，在第二方面的第一种可实施方式中，所述第二判断模块，包括：
第一判断子模块，用于判断所述DNS解析报文中的解析对象/被解析对象是否命中所述域名子库；
感染确定子模块，用于在所述第一判断子模块的判断结果为是时，判定所述DNS协议流量的解析请求发起方被恶意代码感染。
结合第二方面的第一种实施方式，在第二方面的第二种可实施方式中，所述记录模块，包括：
第二判断子模块，用于判断命中所述域名子库的DNS解析报文是否是DNS响应类型；
第一记录子模块，用于在所述第二判断子模块的判断结果为是时，在所述入侵威胁指标匹配库中增加包括所述解析对象的入侵威胁指标拓展记录；
第二记录子模块，用于判断所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录。
结合第二方面的第二种实施方式，在第二方面的第三种可实施方式中，所述入侵威胁指标匹配库还包括TXT子库；
所述第二记录子模块，包括：
IP记录单元，用于判断所述DNS解析报文中的各个解析结果的A记录或AAAA记录是否命中所述IP子库，若是，则在所述IP子库中增加关于当前命中的IP的入侵威胁指标拓展记录；
域名记录单元，用于判断所述DNS解析报文中的CNAME记录或MX记录是否命中所述域名子库，若是，则在所述域名子库中增加关于当前命中的域名的入侵威胁指标拓展记录；或者，
文本记录单元，用于判断所述DNS解析报文中的TXT记录是否命中所述TXT子库，若是，则在所述TXT子库中增加关于当前命中的入侵威胁指标拓展记录。
结合第二方面的第三种实施方式，在第二方面的第四种可实施方式中，所述第二记录子模块记录的每条入侵威胁指标拓展记录包括命中所述入侵威胁指标匹配库的解析类型的值、感染的恶意代码名称、是否为厂家自带规则、录入时间、线索拓展步骤号、线索拓展的上一步骤源。
结合第二方面的第四种实施方式，在第二方面的第五种可实施方式中，所述装置还包括：
删除模块，用于在当前时间和入侵威胁指标拓展记录的录入时间之间的时间间隔超过预设时间差阈值时，删除所述入侵威胁指标匹配库中相应的入侵威胁指标拓展记录；或者，用于在每个预设检查周期到达时，删除所述入侵威胁指标匹配库中录入时间与检查周期到达时刻之间的时间间隔超过所述预设时间差阈值的入侵威胁指标拓展记录。
结合第二方面，在第二方面的第六种可实施方式中，所述装置还包括：
邮件传输协议解析模块，用于对所述分类模块分类出的邮件协议流量进行解析，解析出邮件发送者和所有接收者的邮箱信息；
第三判断模块，用于判断所述邮件传输协议解析模块解析出的邮件发送者和所有接收者的邮箱地址所属域名是否命中所述域名子库；
第一域名感染确定模块，用于在所述第三判断模的判断结果为是时，判定邮件协议流量的解析请求发起方被恶意代码感染；
第一告警模块，用于向所述邮件协议流量的解析请求发起方发起威胁告警。
结合第二方面，在第二方面的第七种可实施方式中，所述装置还包括：
HTTP协议解析模块，用于对所述分类模块分类出的HTTP协议流量进行解析，解析出HTTP的域名或HTTP的IP；
第四判断模块，用于判断所述HTTP协议解析模块解析出的HTTP的域名是否命中所述域名子库，或者判断所述HTTP协议解析模块解析出的HTTP的IP是否命中所述IP子库；
第二域名感染确定模块，用于在所述第四判断模的判断结果为是时，判定所述HTTP协议流量的解析请求发起方被恶意代码感染；
第二告警模块，用于向所述HTTP协议流量的解析请求发起方发起威胁告警。
结合第二方面，在第二方面的第八种可实施方式中，所述装置还包括：
第三告警模块，用于在所述第一判断模块的判断结果为是时，向所述网络流量的解析请求发起方发起威胁告警；还用于在所述第二判断模块的判断结果为是时，向所述DNS协议流量的解析请求发起方发起威胁告警。
第三方面，本发明实施例提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施方式所述的基于DNS解析报文的入侵威胁指标拓展方法。
本发明实施例提供的基于DNS解析报文的入侵威胁指标拓展方法、装置及电子设备，通过获取实时接收的网络流量的IP地址，并判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到，若是，则根据所述网络流量使用的协议对所述网络流量进行分类；随后对DNS协议流量进行DNS解析，得到DNS解析报文；根据预先设置的入侵威胁指标匹配库判断所述DNS协议流量的解析请求发起方是否被恶意代码感染，若是，则在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。本发明提供的方案能够在对DNS流量进行实时解析得到的DNS报文的基础上，判断威胁是否存在，并在威胁存在时，将当前判断出的具有威胁的DNS报文中提取更多的信息形成新的入侵威胁指标拓展记录，不仅能对入侵威胁指标进行实时拓展，而且还能方便事后根据拓展记录进行数据分析和整合，以便及时提取新的入侵威胁指标。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为本发明基于DNS解析报文的入侵威胁指标拓展方法实施例一的流程示意图；
图2为本发明基于DNS解析报文的入侵威胁指标拓展方法实施例二的流程示意图；
图3为本发明基于DNS解析报文的入侵威胁指标拓展方法实施例三的流程示意图；
图4为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例一的结构示意图；
图5为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例二的结构示意图；
图6为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例三的结构示意图；
图7为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例四的结构示意图；
图8为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例五的结构示意图；
图9为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例五的结构示意图；
图10为本发明电子设备一个实施例的结构示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
图1为本发明基于DNS解析报文的入侵威胁指标拓展方法实施例一的流程示意图。参看图1，本发明基于DNS解析报文的入侵威胁指标拓展方法包括如下步骤：
步骤101、获取实时接收的网络流量的IP地址；
此步骤中，接收原始网络流量数据，获取原始网络流量数据的IP地址。
步骤102、判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；若能匹配到，则执行步骤103。
此步骤中，网络流量的IP地址是否在IP子库中。若存在，则执行下一步对网络流量进行分类。优选地，若网络流量的IP地址在IP子库中匹配到，向所述网络流量的解析请求发起方发起威胁告警，供威胁分析人员收集研判。
步骤103、根据所述网络流量使用的协议对所述网络流量进行分类；
此步骤中，例如可以通过分类器对所述网络流量进行分类，判断此并检查当前网络流量是否为DNS协议、邮件协议、HTTP协议，若为DSN协议，则将其分类为DNS协议流量，执行步骤104。对网络流量进行分类有众多开源实现的方法，在网络流量安全领域也属于周知知识。通常的IP地址提取方法为依据IP协议报文进行检测。通常的协议检测方法包括：端口信息、关键字检测；开源实现可参考snort、ndpi(深度包检测)的相关代码模块，此处不再赘述。
步骤104、对所述DNS协议流量进行DNS解析，得到DNS解析报文；
此步骤中，对于DNS响应类型，DNS解析得到DNS解析报文，在DNS解析过程中，可能会有多个解析结果，这些结果一般在同一个DNS解析报文中返回。解析得到的每个结果包括请求/响应类型、待解析对象、解析类型(包括A、AAAA、CNAME记录等)、值等信息。解析的主要方法为依据DNS的RFC文档，如RFC 1035。此类型解析在网络流量安全领域属于周知知识。也可参考snort等开源项目的代码。
步骤105、根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染；若是，则执行步骤106。
优选地，步骤105中可以判断所述DNS解析报文中的解析对象/被解析对象是否命中所述域名子库，若所述DNS解析报文中的解析对象/被解析对象命中所述域名子库，则判定所述DNS协议流量的解析请求发起方被恶意代码感染。其中，对于DNS请求而言，DNS协议流量的解析请求发起方为源IP；而对于DNS响应而言，被解析对象即响应的解析对象，DNS协议流量的解析请求发起方为目的IP。
其中，所述入侵威胁指标匹配库包括域名子库和步骤102中所使用的IP子库。
优选地，若判定出DNS协议流量的解析请求发起方被恶意代码感染，向所述DNS协议流量的解析请求发起方发起威胁告警，以提示威胁分析人员收集相关信息。其中，按照指定的路径进行告警。告警的方式可以：通过页面展示告警信息，或者是通过发送告警邮件，也可以是联动处置告警，例如：联动终端防护设备定位发起进程，或者联动网络访问控制类设备隔离受损主机及禁止向已知恶意代码控制端通讯等。
步骤106、在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。
本实施例中，当判定DNS协议流量的解析请求发起方被恶意代码感染后，在入侵威胁指标匹配库中增加关于当前DNS解析报文的侵威胁指标拓展记录。
本实施例，能够在对DNS流量进行实时解析得到的DNS报文的基础上，判断威胁是否存在，并在威胁存在时，将当前判断出的具有威胁的DNS报文中提取更多的信息形成新的入侵威胁指标拓展记录，不仅能对入侵威胁指标进行实时拓展，而且还能方便事后根据拓展记录进行数据分析和整合，以便及时提取新的入侵威胁指标。
图2为本发明基于DNS解析报文的入侵威胁指标拓展方法实施例二的流程示意图。如图2所示，本实施例的方法包括如下步骤：
步骤201、获取实时接收的网络流量的IP地址；
步骤202、判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；若能匹配到，则执行步骤203。
步骤203、根据所述网络流量使用的协议对所述网络流量进行分类；
步骤204、对所述DNS协议流量进行DNS解析，得到DNS解析报文；
本实施例中，步骤201-204的实施方法和上述步骤101-104类似，此处不再赘述。
步骤205、判断所述DNS解析报文中的解析对象/被解析对象是否命中所述域名子库，若是，则执行步骤206。
步骤206、判定所述DNS协议流量的解析请求发起方被恶意代码感染。
本实施例中，若DNS解析报文中的解析对象/被解析对象命中所述域名子库，则判定所述当前解析报文对应的DNS协议流量的解析请求发起方被恶意代码感染。
步骤207、判断命中所述域名子库的DNS解析报文是否是DNS响应类型；若是，则执行208。
步骤208、在所述入侵威胁指标匹配库中增加包括被解析对象的入侵威胁指标拓展记录。
本实施例中，所述入侵威胁指标匹配库还包括TXT子库。
步骤209、判断所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则执行步骤210。
本实施例中，若DNS解析报文中的解析结果的解析类型是A记录或AAAA记录，则此步骤判断所述DNS解析报文中的各个解析结果的A记录或AAAA记录是否命中所述IP子库；若DNS解析报文中的解析结果的解析类型是CNAME记录或MX记录，则此步骤判断所述DNS解析报文中的各个解析结果的CNAME记录或MX记录是否命中所述域名子库；若DNS解析报文中的解析结果的解析类型是TXT记录，则此步骤判断所述DNS解析报文中的TXT记录是否命中所述TXT子库。
步骤210、在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录。
优选地，若步骤209中判断出的是解析结果的A记录命中所述IP子库，则在所述IP子库中增加关于当前命中的IP(A记录的值)的入侵威胁指标拓展记录；若步骤209中判断出的是解析结果的AAAA记录命中所述IP子库，则在所述IP子库中增加关于当前命中的IP(AAAA记录的值)的入侵威胁指标拓展记录；若步骤209中判断出的是解析结果的CNAME记录命中所述域名子库，则在所述域名子库中增加关于当前命中的域名(CNAME记录的值)的入侵威胁指标拓展记录；若步骤209中判断出的是解析结果的MX记录命中所述域名子库，则在所述域名子库中增加关于当前命中的域名(MX记录的值)的入侵威胁指标拓展记录；若步骤209中判断出的是解析结果的TXT记录命中所述TXT子库，则在所述TXT子库中增加关于当前命中的TXT记录的值入侵威胁指标拓展记录。
在一可选实施例中，每条入侵威胁指标拓展记录包括命中所述入侵威胁指标匹配库的解析类型的值、感染的恶意代码名称、是否为厂家自带规则、录入时间、线索拓展步骤号、线索拓展的上一步骤源。其中，所述线索拓展的上一步骤源为本次触发恶意判定的线索(如IP、域名、TXT)的值；厂家自带规则对应的记录的线索拓展步骤号为0，厂家自带规则对应的线索拓展的上一步骤源为空；当本次增加的入侵威胁指标拓展记录的感染的恶意代码名称在所述入侵威胁指标匹配库的同一子库中已有记录时，本次记录中的线索拓展步骤号为已有记录中的线索拓展步骤号+1。具体地，将A、AAAA记录记录在IP子库中，记录的内容为A或AAAA类型解析的值(IP地址)、感染的恶意代码名称，是否为厂家自带规则(否)，录入时间，线索拓展步号，线索拓展的上一步骤起始源；将CNAME、MX记录在域名子库中，记录的内容为CNAME、MX类型解析的值(域名)、感染的恶意代码名称，是否为厂家自带规则(否)，录入时间，线索拓展步骤号，线索拓展的上一步骤起始源；将TXT记录记录在TXT库中，记录的内容为TXT类型解析的值(TXT文本记录)、感染的恶意代码名称，是否为厂家自带规则(否)，录入时间，线索拓展步骤号，线索拓展的上一步骤起始源。
在一可选实施例中，在上述方法实施例一或实施例二的基础上，本发明提供的方法还可包括对入侵威胁指标匹配库中的记录进行管理的步骤，具体可以包括：在当前时间和所述录入时间之间的时间间隔超过预设时间差阈值时，删除所述入侵威胁指标匹配库中相应的入侵威胁指标拓展记录；或者，在每个预设检查周期到达时，删除所述入侵威胁指标匹配库中录入时间与检查周期到达时刻之间的时间间隔超过所述预设时间差阈值的入侵威胁指标拓展记录。本实施例，可以实时或定期删除录入时间超过预设时长的入侵威胁指标拓展记录，可定期检查并删除超出时间的值，降低用于存储记录的存储单元负载，提高系统运行效率。
图3为本发明基于DNS解析报文的入侵威胁指标拓展方法实施例三的流程示意图。如图3所示，本实施例的方法包括如下步骤：
步骤301、获取实时接收的网络流量的IP地址；
本实施例中，步骤301的实施方法和上述步骤101类似，此处不再赘述。
步骤302、判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；若能匹配到，则执行步骤303。
本实施例中，步骤302的实施方法和上述步骤102类似，此处不再赘述。
步骤303、根据所述网络流量使用的协议对所述网络流量进行分类；
本实施例中，步骤303的实施方法和上述步骤103类似，若当前网络流量为DNS协议流量，则执行步骤304；若当前网络流量为邮件协议流量，则执行步骤307；若当前网络流量为HTTP协议流量，则执行步骤311。
步骤304、对所述DNS协议流量进行DNS解析，得到DNS解析报文；
步骤305、根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染，若是，则执行步骤306。
步骤306、在所述入侵威胁指标匹配库中增加关于所述DNS解析报文的入侵威胁指标拓展记录。
本实施例中，步骤304-306的实施方法和上述步骤104-106类似，此处不再赘述。
步骤307、从所述邮件协议流量中解析出邮件发送者和所有接收者的邮箱信息；
此步骤中，解析出收件人、发件人、抄送、密送的信息，通常的解析方法为依据对应协议的RFC文档。对SMTP、IMAP、POP3协议而言，解析上述信息一般通过查看邮件的MIME体中的From、To、CC字段。对SMTP协议而言，还应当检查协议的发件人(MAILFROM)、收件人(RCPTTO)等信息。
步骤308、判断所述邮件发送者和所有接收者的邮箱地址所属域名是否命中所述域名子库；若所述邮件发送者和/或所有接收者的邮箱地址所属域名命中所述域名子库，则执行步骤309。
步骤309、判定邮件协议流量的解析请求发起方被恶意代码感染；
步骤310、向所述邮件协议流量的解析请求发起方发起威胁告警。
本实施例中，查看邮件发送者和所有接收者所属域名是否能在所述域名子库中匹配到，若能匹配到，则判定邮件协议流量的解析请求发起方被恶意代码感染，按照指定的路径进行告警。告警的方式可以：通过页面展示告警信息，或者是通过发送告警邮件，也可以是联动处置告警，例如：联动终端防护设备定位发起进程，或者联动网络访问控制类设备隔离受损主机及禁止向已知恶意代码控制端通讯等。
步骤311、从所述HTTP协议流量中解析出HTTP的域名或HTTP的IP；
此步骤中，一般为解析出HTTP请求的Host字段，同时查看Host属于域名还是IP地址。
步骤312、判断所述HTTP的域名是否命中所述域名子库，或者判断所述HTTP的IP是否命中所述IP子库；若所述HTTP的域名命中所述域名子库或所述HTTP的IP命中所述IP子库，则执行步骤313。
本实施例中，在步骤311查看Host字段后，若Host为域名，则检查域名子库中是否能匹配到HTTP的域名，若Host为IP，则检查IP子库中是否能匹配到HTTP的IP。
步骤313、判定HTTP协议流量的解析请求发起方被恶意代码感染；
步骤314、向所述HTTP协议流量的解析请求发起方发起威胁告警。
其中，告警时按照指定的路径进行告警。告警的方式可以：通过页面展示告警信息，或者是通过发送告警邮件，也可以是联动处置告警，例如：联动终端防护设备定位发起进程，或者联动网络访问控制类设备隔离受损主机及禁止向已知恶意代码控制端通讯等。
本实施例，当DNS解析后进行IOC判定。当IOC判定结果命中时，则将DNS的A记录、AAAA记录、CNAME记录、TXT记录、MX记录均记录下来，当A记录、AAAA记录对应的IP地址有通讯时，将对应通讯判定为命中。当MX记录的地址有邮件通讯时，将对应通讯判定为命中。当CNAME记录命中其他DNS记录时，将对应DNS记录中的A记录、AAAA记录、CNAME记录、TXT记录、MX记录判定为命中。当TXT记录命中其他DNS记录的TXT记录时，将对应DNS记录的上述记录扩展为命中。不断重复上述步骤，直到配置时间到达或方法流程结束，增加的全部入侵威胁指标拓展记录可供人工分析。
优选地，上述任一实施例提供的方法中，在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录之后，还可以包括：向用户反馈增加入侵威胁指标拓展记录的结果。例如通过WEB页面向用户反馈。
对应于本发明实施例提供的基于DNS解析报文的入侵威胁指标拓展方法，本发明实施例还提供基于DNS解析报文的入侵威胁指标拓展装置，图4为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例一的结构示意图。如图4所示，该装置可以包括：IP获取模块11，用于获取实时接收的网络流量的IP地址；第一判断模块12，用于判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；分类模块13，用于在第一判断模块12的判断结果为是时，根据所述网络流量使用的协议对所述网络流量进行分类；DNS解析模块14，用于对分类模块13分类出的DNS协议流量进行DNS解析，得到DNS解析报文；第二判断模块15，用于根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染；所述入侵威胁指标匹配库包括域名子库和所述IP子库；记录模块16，用于在第二判断模块15的判断结果为是时，在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。
本实施例的装置，可以用于执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
图5为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例二的结构示意图。如图5所示，本实施例的装置在图4所示装置结构的基础上，进一步地，第二判断模块15，包括：第一判断子模块151，用于判断DNS解析模块14得到的所述DNS解析报文中的解析对象/被解析对象是否命中所述域名子库；
感染确定子模块152，用于在所述第一判断子模块151的判断结果为是时，判定所述DNS协议流量的解析请求发起方被恶意代码感染。
本实施例的装置，可以用于执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
图6为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例三的结构示意图。如图6所示，本实施例的装置在图5所示装置结构的基础上，进一步地，记录模块16，包括：第二判断子模块161，用于判断命中所述域名子库的DNS解析报文是否是DNS响应类型；第一记录子模块162，用于在第二判断子模块161的判断结果为是时，在所述入侵威胁指标匹配库中增加包括所述解析对象的入侵威胁指标拓展记录；第二记录子模块163，用于在第一记录子模块162在入侵威胁指标匹配库中增加记录后，判断命中所述域名子库的所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录。
本实施例的装置，可以用于执行图2所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
图7为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例四的结构示意图。如图7所示，本实施例的装置在图6所示装置结构的基础上，进一步地，所述入侵威胁指标匹配库还包括TXT子库；第二记录子模块163，包括：
IP记录单元31，用于判断所述DNS解析报文中的各个解析结果的A记录或AAAA记录是否命中所述IP子库，若是，则在所述IP子库中增加关于当前命中的IP的入侵威胁指标拓展记录；
域名记录单元32，用于判断所述DNS解析报文中的CNAME记录或MX记录是否命中所述域名子库，若是，则在所述域名子库中增加关于当前命中的域名的入侵威胁指标拓展记录；或者，
文本记录单元33，用于判断所述DNS解析报文中的TXT记录是否命中所述TXT子库，若是，则在所述TXT子库中增加关于当前命中的入侵威胁指标拓展记录。
本实施例的装置，可以用于执行图2所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
优选地，图7中，第二记录子模块163记录的每条入侵威胁指标拓展记录包括命中所述入侵威胁指标匹配库的解析类型的值、感染的恶意代码名称、是否为厂家自带规则、录入时间、线索拓展步骤号、线索拓展的上一步骤源。
优选地，图7所示装置还可以包括：删除模块(图7中未示出)，用于在当前时间和入侵威胁指标拓展记录的录入时间之间的时间间隔超过预设时间差阈值时，删除所述入侵威胁指标匹配库中相应的入侵威胁指标拓展记录；或者，用于在每个预设检查周期到达时，删除所述入侵威胁指标匹配库中录入时间与检查周期到达时刻之间的时间间隔超过所述预设时间差阈值的入侵威胁指标拓展记录。
图8为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例五的结构示意图。如图8所示，本实施例的装置在图4所示装置结构的基础上，进一步地，还可包括：邮件传输协议解析模块17，用于对分类模块13分类出的邮件协议流量进行解析，解析出邮件发送者和所有接收者的邮箱信息；第三判断模块18，用于判断邮件传输协议解析模块17解析出的邮件发送者和所有接收者的邮箱地址所属域名是否命中所述域名子库；第一域名感染确定模块19，用于在第三判断模18的判断结果为是时，判定所述邮件协议流量的解析请求发起方被恶意代码感染；第一告警模块20，用于在第一域名感染确定模块19做出判定后，向邮件协议流量的解析请求发起方发起威胁告警。
本实施例的装置，可以用于执行图3所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
图9为本发明基于DNS解析报文的入侵威胁指标拓展装置实施例五的结构示意图。如图9所示，本实施例的装置在图4所示装置结构的基础上，进一步地，还可包括：HTTP协议解析模块21，用于对分类模块13分类出的HTTP协议流量进行解析，解析出HTTP的域名或HTTP的IP；第四判断模块22，用于判断HTTP协议解析模块21解析出的HTTP的域名是否命中所述域名子库，或者判断HTTP协议解析模块21解析出的HTTP的IP是否命中所述IP子库；第二域名感染确定模块23，用于在第四判断模22的判断结果为是时，判定所述HTTP协议流量的解析请求发起方被恶意代码感染；第二告警模块24，用于在第二域名感染确定模块23作出判定后，向HTTP协议流量的解析请求发起方发起威胁告警。
本实施例的装置，可以用于执行图3所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
优选地，图4所示装置进一步还可包括：第三告警模块(图4中未示出)，用于在第一判断12模块的判断结果为是时，向所述网络流量的解析请求发起方发起威胁告警；还用于在第二判断模块15的判断结果为是时，向所述DNS协议流量的解析请求发起方发起威胁告警。
本发明实施例还提供一种电子设备。图10为本发明电子设备一个实施例的结构示意图，可以实现本发明图1或图2或图3所示实施例的流程，如图10所示，上述电子设备可以包括：壳体31、处理器32、存储器33、电路板34和电源电路35，其中，电路板34安置在壳体31围成的空间内部，处理器32和存储器33设置在电路板34上；电源电路35，用于为上述电子设备的各个电路或器件供电；存储器33用于存储可执行程序代码；处理器32通过读取存储器33中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的基于DNS解析报文的入侵威胁指标拓展方法。
该电子设备以多种形式存在，包括但不限于：
(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。
(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。
(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放模块(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。
(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子设备。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。
以上所述，仅为本发明的具体实施方式，但本发明的防护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的防护范围之内。因此，本发明的防护范围应以权利要求的防护范围为准。

Claims (19)

1.一种基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，包括：
获取实时接收的网络流量的IP地址；
判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；
若所述网络流量的IP地址能在预先设置的IP子库中匹配到，则根据所述网络流量使用的协议对所述网络流量进行分类；
若所述网络流量为DNS协议流量，则对所述DNS协议流量进行DNS解析，得到DNS解析报文；
根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染；所述入侵威胁指标匹配库包括域名子库和所述IP子库；
若判定所述DNS协议流量的解析请求发起方被恶意代码感染，则在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。
2.根据权利要求1所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，所述根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染，包括：
判断所述DNS解析报文中的解析对象/被解析对象是否命中所述域名子库；
若所述DNS解析报文中的解析对象/被解析对象命中所述域名子库，则判定所述DNS协议流量的解析请求发起方被恶意代码感染。
3.根据权利要求2所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，所述在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录，包括：
判断命中所述域名子库的DNS解析报文是否是DNS响应类型；
若所述DNS解析报文是DNS响应类型，则在所述入侵威胁指标匹配库中增加包括被解析对象的入侵威胁指标拓展记录；
判断所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录。
4.根据权利要求3所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，所述入侵威胁指标匹配库还包括TXT子库；
所述判断所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录，包括：
判断所述DNS解析报文中的各个解析结果的A记录或AAAA记录是否命中所述IP子库，若是，则在所述IP子库中增加关于当前命中的IP的入侵威胁指标拓展记录；或者，
判断所述DNS解析报文中的各个解析结果的CNAME记录或MX记录是否命中所述域名子库，若是，则在所述域名子库中增加关于当前命中的域名的入侵威胁指标拓展记录；或者，
判断所述DNS解析报文中的TXT记录是否命中所述TXT子库，若是，则在所述TXT子库中增加关于当前命中的TXT记录的入侵威胁指标拓展记录。
5.根据权利要求4所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，每条入侵威胁指标拓展记录包括命中所述入侵威胁指标匹配库的解析类型的值、感染的恶意代码名称、是否为厂家自带规则、录入时间、线索拓展步骤号、线索拓展的上一步骤源。
6.根据权利要求5所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，还包括：
在当前时间和所述录入时间之间的时间间隔超过预设时间差阈值时，删除所述入侵威胁指标匹配库中相应的入侵威胁指标拓展记录；或者，
在每个预设检查周期到达时，删除所述入侵威胁指标匹配库中录入时间与检查周期到达时刻之间的时间间隔超过所述预设时间差阈值的入侵威胁指标拓展记录。
7.根据权利要求1所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，在对所述网络流量进行分类之后，还包括：
若所述网络流量为邮件协议流量，则从所述邮件协议流量中解析出邮件发送者和所有接收者的邮箱信息；
判断所述邮件发送者和所有接收者的邮箱地址所属域名是否命中所述域名子库；
若所述邮件发送者和所有接收者的邮箱地址所属域名命中所述域名子库，则判定邮件协议流量的解析请求发起方被恶意代码感染；
向所述邮件协议流量的解析请求发起方发起威胁告警。
8.根据权利要求1所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，在对所述网络流量进行分类之后，还包括：
若所述网络流量为HTTP协议流量，则从所述HTTP协议流量中解析出HTTP的域名或HTTP的IP；
判断所述HTTP的域名是否命中所述域名子库，或者判断所述HTTP的IP是否命中所述IP子库；
若所述HTTP的域名命中所述域名子库或所述HTTP的IP命中所述IP子库，则判定HTTP协议流量的解析请求发起方被恶意代码感染；
向所述HTTP协议流量的解析请求发起方发起威胁告警。
9.根据权利要求1所述的基于DNS解析报文的入侵威胁指标拓展方法，其特征在于，在判定所述网络流量的IP地址能在预先设置的IP子库中匹配到时，所述方法还包括：向所述网络流量的解析请求发起方发起威胁告警；
在判定所述DNS协议流量的解析请求发起方被恶意代码感染之后，所述方法还包括：向所述DNS协议流量的解析请求发起方发起威胁告警。
10.一种基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，包括：
IP获取模块，用于获取实时接收的网络流量的IP地址；
第一判断模块，用于判断所述网络流量的IP地址是否能在预先设置的IP子库中匹配到；
分类模块，用于在所述第一判断模块的判断结果为是时，根据所述网络流量使用的协议对所述网络流量进行分类；
DNS解析模块，用于对所述分类模块分类出的DNS协议流量进行DNS解析，得到DNS解析报文；
第二判断模块，用于根据所述DNS解析报文和预先设置的入侵威胁指标匹配库，判断所述DNS协议流量的解析请求发起方是否被恶意代码感染；所述入侵威胁指标匹配库包括域名子库和所述IP子库；
记录模块，用于在所述第二判断模块的判断结果为是时，在所述入侵威胁指标匹配库中增加入侵威胁指标拓展记录。
11.根据权利要求10所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，所述第二判断模块，包括：
第一判断子模块，用于判断所述DNS解析报文中的解析对象/被解析对象是否命中所述域名子库；
感染确定子模块，用于在所述第一判断子模块的判断结果为是时，判定所述DNS协议流量的解析请求发起方被恶意代码感染。
12.根据权利要求11所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，所述记录模块，包括：
第二判断子模块，用于判断命中所述域名子库的DNS解析报文是否是DNS响应类型；
第一记录子模块，用于在所述第二判断子模块的判断结果为是时，在所述入侵威胁指标匹配库中增加包括所述解析对象的入侵威胁指标拓展记录；
第二记录子模块，用于判断所述DNS解析报文中的各个解析结果的解析类型的值是否命中所述入侵威胁指标匹配库，若是，则在所述入侵威胁指标匹配库中增加关于命中的解析类型的值的入侵威胁指标拓展记录。
13.根据权利要求12所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，所述入侵威胁指标匹配库还包括TXT子库；
所述第二记录子模块，包括：
IP记录单元，用于判断所述DNS解析报文中的各个解析结果的A记录或AAAA记录是否命中所述IP子库，若是，则在所述IP子库中增加关于当前命中的IP的入侵威胁指标拓展记录；
域名记录单元，用于判断所述DNS解析报文中的CNAME记录或MX记录是否命中所述域名子库，若是，则在所述域名子库中增加关于当前命中的域名的入侵威胁指标拓展记录；或者，
文本记录单元，用于判断所述DNS解析报文中的TXT记录是否命中所述TXT子库，若是，则在所述TXT子库中增加关于当前命中的入侵威胁指标拓展记录。
14.根据权利要求13所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，所述第二记录子模块记录的每条入侵威胁指标拓展记录包括命中所述入侵威胁指标匹配库的解析类型的值、感染的恶意代码名称、是否为厂家自带规则、录入时间、线索拓展步骤号、线索拓展的上一步骤源。
15.根据权利要求14所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，还包括：
删除模块，用于在当前时间和入侵威胁指标拓展记录的录入时间之间的时间间隔超过预设时间差阈值时，删除所述入侵威胁指标匹配库中相应的入侵威胁指标拓展记录；或者，用于在每个预设检查周期到达时，删除所述入侵威胁指标匹配库中录入时间与检查周期到达时刻之间的时间间隔超过所述预设时间差阈值的入侵威胁指标拓展记录。
16.根据权利要求10所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，还包括：
邮件传输协议解析模块，用于对所述分类模块分类出的邮件协议流量进行解析，解析出邮件发送者和所有接收者的邮箱信息；
第三判断模块，用于判断所述邮件传输协议解析模块解析出的邮件发送者和所有接收者的邮箱地址所属域名是否命中所述域名子库；
第一域名感染确定模块，用于在所述第三判断模的判断结果为是时，判定邮件协议流量的解析请求发起方被恶意代码感染；
第一告警模块，用于向所述邮件协议流量的解析请求发起方发起威胁告警。
17.根据权利要求10所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，还包括：
HTTP协议解析模块，用于对所述分类模块分类出的HTTP协议流量进行解析，解析出HTTP的域名或HTTP的IP；
第四判断模块，用于判断所述HTTP协议解析模块解析出的HTTP的域名是否命中所述域名子库，或者判断所述HTTP协议解析模块解析出的HTTP的IP是否命中所述IP子库；
第二域名感染确定模块，用于在所述第四判断模的判断结果为是时，判定所述HTTP协议流量的解析请求发起方被恶意代码感染；
第二告警模块，用于向所述HTTP协议流量的解析请求发起方发起威胁告警。
18.根据权利要求10所述的基于DNS解析报文的入侵威胁指标拓展装置，其特征在于，还包括：
第三告警模块，用于在所述第一判断模块的判断结果为是时，向所述网络流量的解析请求发起方发起威胁告警；还用于在所述第二判断模块的判断结果为是时，向所述DNS协议流量的解析请求发起方发起威胁告警。
19.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一权利要求1-9所述的基于DNS解析报文的入侵威胁指标拓展方法。
CN201811560012.4A 2018-12-19 2018-12-19 基于dns解析报文的入侵威胁指标拓展方法、装置及电子设备 Active CN110868379B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811560012.4A CN110868379B (zh) 2018-12-19 2018-12-19 基于dns解析报文的入侵威胁指标拓展方法、装置及电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811560012.4A CN110868379B (zh) 2018-12-19 2018-12-19 基于dns解析报文的入侵威胁指标拓展方法、装置及电子设备

Publications (2)

Publication Number Publication Date
CN110868379A CN110868379A (zh) 2020-03-06
CN110868379B true CN110868379B (zh) 2021-09-21

Family

ID=69651616

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811560012.4A Active CN110868379B (zh) 2018-12-19 2018-12-19 基于dns解析报文的入侵威胁指标拓展方法、装置及电子设备

Country Status (1)

Country Link
CN (1) CN110868379B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112866264A (zh) * 2021-01-25 2021-05-28 深圳融安网络科技有限公司 网络安全检测方法及装置、网络安全设备、可读存储介质
CN113596194B (zh) * 2021-08-02 2023-07-21 牙木科技股份有限公司 一种用于dns流量分类标定的方法和dns服务器
CN114422495B (zh) * 2022-01-25 2023-10-24 北京浩瀚深度信息技术股份有限公司 一种针对DNS over HTTP协议的安全监管方法
CN116956296B (zh) * 2023-09-20 2023-12-01 北京安天网络安全技术有限公司 一种文件的动态检测方法、电子设备及存储介质

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101572701A (zh) * 2009-02-10 2009-11-04 中科正阳信息安全技术有限公司 针对DNS服务的抗DDoS攻击安全网关系统
CN101610294A (zh) * 2009-07-15 2009-12-23 浪潮电子信息产业股份有限公司 一种利用智能dns提高网站访问速度的方法
CN101667979A (zh) * 2009-10-12 2010-03-10 哈尔滨工程大学 基于链接域名和用户反馈的反钓鱼邮件系统及方法
CN102724317A (zh) * 2012-06-21 2012-10-10 华为技术有限公司 一种网络数据流量分类方法和装置
CN103581363A (zh) * 2013-11-29 2014-02-12 杜跃进 对恶意域名和非法访问的控制方法及装置
CN105072119A (zh) * 2015-08-14 2015-11-18 中国传媒大学 基于域名解析会话模式分析的恶意域名检测方法及装置
CN108200054A (zh) * 2017-12-29 2018-06-22 北京奇安信科技有限公司 一种基于dns解析的恶意域名检测方法及装置
CN108763031A (zh) * 2018-04-08 2018-11-06 北京奇安信科技有限公司 一种基于日志的威胁情报检测方法及装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101420433B (zh) * 2008-12-01 2013-03-13 成都市华为赛门铁克科技有限公司 防御域名系统欺骗攻击的方法及装置

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101572701A (zh) * 2009-02-10 2009-11-04 中科正阳信息安全技术有限公司 针对DNS服务的抗DDoS攻击安全网关系统
CN101610294A (zh) * 2009-07-15 2009-12-23 浪潮电子信息产业股份有限公司 一种利用智能dns提高网站访问速度的方法
CN101667979A (zh) * 2009-10-12 2010-03-10 哈尔滨工程大学 基于链接域名和用户反馈的反钓鱼邮件系统及方法
CN102724317A (zh) * 2012-06-21 2012-10-10 华为技术有限公司 一种网络数据流量分类方法和装置
CN103581363A (zh) * 2013-11-29 2014-02-12 杜跃进 对恶意域名和非法访问的控制方法及装置
CN105072119A (zh) * 2015-08-14 2015-11-18 中国传媒大学 基于域名解析会话模式分析的恶意域名检测方法及装置
CN108200054A (zh) * 2017-12-29 2018-06-22 北京奇安信科技有限公司 一种基于dns解析的恶意域名检测方法及装置
CN108763031A (zh) * 2018-04-08 2018-11-06 北京奇安信科技有限公司 一种基于日志的威胁情报检测方法及装置

Also Published As

Publication number Publication date
CN110868379A (zh) 2020-03-06

Similar Documents

Publication Publication Date Title
CN110868379B (zh) 基于dns解析报文的入侵威胁指标拓展方法、装置及电子设备
US9154514B1 (en) Systems and methods for electronic message analysis
US9317684B2 (en) Protecting against polymorphic cheat codes in a video game
EP2446411B1 (en) Real-time spam look-up system
CN108183888B (zh) 一种基于随机森林算法的社会工程学入侵攻击路径检测方法
US20100161734A1 (en) Determining spam based on primary and secondary email addresses of a user
US20140181117A1 (en) Person search method and apparatus
US8381262B2 (en) Blocking of spoofed E-mail
CN114095274A (zh) 一种攻击研判方法及装置
CN112511517A (zh) 一种邮件检测方法、装置、设备及介质
EP3198521A1 (en) Method and apparatus of processing a doi (digital object unique identifier) in interaction information
CN103546449A (zh) 一种基于附件格式的邮件病毒检测方法和装置
JP2014102708A (ja) 不正メール判定装置、不正メール判定方法、及びプログラム
CN108881145A (zh) 入侵检测规则优化方法、装置、电子设备及存储介质
JP5668034B2 (ja) 電子メール監視装置、送信メールサーバ、電子メール監視方法およびプログラム
JP2014063402A (ja) スパムメール検知装置、方法及びプログラム
CN114760216B (zh) 一种扫描探测事件确定方法、装置及电子设备
CN111030977A (zh) 一种攻击事件追踪方法、装置及存储介质
Penna et al. A framework for improved adolescent and child safety in mmos
CN113225356B (zh) 一种基于ttp的网络安全威胁狩猎方法及网络设备
Jo et al. You're not who you claim to be: Website identity check for phishing detection
CN105357166A (zh) 一种下一代防火墙系统及其检测报文的方法
Lin et al. Lightweight client-side methods for detecting email forgery
CN113987489A (zh) 一种网络未知威胁的检测方法、装置、电子设备及存储介质
CN108881151B (zh) 一种无关节点确定方法、装置及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant