-
Hintergrund
-
Bei Cyber-Angriffen handelt es sich um eine vorsätzliche Ausnutzung von Computersystemen, Infrastrukturen und Netzwerken. Cyber-Angriffe umfassen eine große Bandbreite von Web-Bedrohungen einschließlich versteckter Bedrohungen und Zero-Day-Bedrohungen. Wenngleich verschiedene Ansätze zur Cyber-Sicherheit entwickelt worden sind, sind zahlreiche Web-Bedrohungen weiterhin nicht erkennbar. Während herkömmliche Cyber-Sicherheitstechniken zum Beispiel bestimmte Web-Inhalte als schädlich (oder potentiell schädlich) erkennen können, sind solche Techniken im Allgemeinen wirkungslos beim Erkennen unmittelbarer (oder latenter) Bedrohungen, die den jeweiligen schädlichen Web-Inhalten zugehörig sind.
-
Die hierin offenbarten Aspekte sind im Hinblick auf diese und sonstige allgemeine Überlegungen gemacht worden. Wenngleich relativ spezifische Probleme erörtert werden können, versteht es sich darüber hinaus, dass die Beispiele nicht auf das Lösen der spezifischen Probleme beschränkt sein sollen, die im Hintergrund oder an anderer Stelle in dieser Offenbarung identifiziert werden.
-
Übersicht
-
Beispiele für die vorliegende Offenbarung beschreiben Systeme und Verfahren zum Bewerten von schädlichen Web-Inhalten auf zugehörige Bedrohungen mithilfe spezialisierter Web-Crawling-Techniken. In Aspekten wird ein erster Satz von schädlichen und/oder potentiell schädlichen Ressourcenbezeichnern identifiziert. Der erste Satz von Ressourcenbezeichnern wird bewertet, um zumindest einen zweiten Satz von Ressourcenbezeichnern zu ermitteln, der dem ersten Satz von Ressourcenbezeichnern zugehörig ist. Der zweite Satz von Ressourcenbezeichnern wird einer Web-Crawling-Komponente bereitgestellt, die den zweiten Satz von Ressourcenbezeichnern mithilfe einer Bedrohungserkennungskomponente überprüft. Wenn jegliche Ressourcenbezeichner in dem zweiten Satz von Ressourcenbezeichnern als schädlich (oder potentiell schädlich) identifiziert werden, können diese Ressourcenbezeichner klassifiziert und aufgezeichnet werden, der Web-Crawling-Komponente bereitgestellt werden und/oder dem ersten Satz von Ressourcenbezeichnern in nachfolgenden Bedrohungserkennungsanalysen hinzugefügt werden.
-
Diese Übersicht wird bereitgestellt, um eine Auswahl von Konzepten in vereinfachter Form vorzustellen, die im Folgenden in der ausführlichen Beschreibung näher beschrieben werden. Diese Übersicht soll weder dazu dienen, Schlüsselmerkmale oder wesentliche Merkmale des beanspruchten Gegenstandes zu identifizieren, noch soll sie dazu verwendet werden, den Umfang des beanspruchten Gegenstandes einzuschränken. Zusätzliche Aspekte, Merkmale bzw. Vorteile von Beispielen werden zum Teil in der folgenden Beschreibung erläutert und werden zum Teil aus der Beschreibung ersichtlich bzw. sind durch Ausführung der Offenbarung erlernbar.
-
Figurenliste
-
Nicht beschränkende und nicht erschöpfende Beispiele werden unter Bezugnahme auf die folgenden Figuren beschrieben.
- 1 veranschaulicht eine Übersicht über ein beispielhaftes System zum Bewerten von schädlichen Web-Inhalten auf zugehörige Bedrohungen, wie hierin beschrieben.
- 2 veranschaulicht ein beispielhaftes Eingabeverarbeitungssystem zum Bewerten von schädlichen Web-Inhalten auf zugehörige Bedrohungen, wie hierin beschrieben.
- 3 veranschaulicht ein beispielhaftes Verfahren zum Bewerten von schädlichen Web-Inhalten auf zugehörige Bedrohungen, wie hierin beschrieben.
- 4 veranschaulicht ein Beispiel für eine geeignete Betriebsumgebung, in der eine oder mehrere der vorliegenden Ausführungsformen implementiert werden können.
-
Ausführliche Beschreibung
-
Verschiedene Aspekte der Offenbarung werden im Folgenden unter Bezugnahme auf die beigefügten Zeichnungen ausführlicher beschrieben, die einen Teil hiervon bilden und die spezifische beispielhafte Aspekte darstellen. Unterschiedliche Aspekte der Offenbarung können jedoch in vielen verschiedenen Formen implementiert werden und sollten nicht so ausgelegt werden, dass sie auf die hierin dargelegten Aspekte beschränkt sind; vielmehr werden diese Aspekte bereitgestellt, damit diese Offenbarung umfassend und vollständig ist und Fachleuten den Umfang der Aspekte vollständig vermittelt. Aspekte können als Verfahren, Systeme oder Vorrichtungen umgesetzt werden. Dementsprechend können Aspekte die Form einer Hardware-Implementierung, einer reinen Software-Implementierung oder einer Implementierung annehmen, die Software- und Hardware-Aspekte kombiniert. Die folgende ausführliche Beschreibung ist daher nicht als beschränkend zu betrachten.
-
Im Laufe der Jahre sind verschiedene Ansätze zum Bekämpfen von Web-Bedrohungen entwickelt worden. Viele dieser Ansätze beinhalten die Bewertung einer bestimmten Ziel-Web-Ressource wie zum Beispiel einer Web-Seite oder einer Verknüpfung. Auf Grundlage der Bewertung kann die identifizierte Bedrohung der Ziel-Web-Ressource neutralisiert oder abgeschwächt werden. In vielen Fällen handelt es sich bei der identifizierten Bedrohung jedoch einfach um eine von vielen Bedrohungen, die der Web-Ressource zugehörig sind. Beispielsweise kann eine schädliche Web-Seite einer Website zugehörig sein, die mehrere schädliche Web-Seiten oder zusätzliche schädliche Inhalte aufweist. Die oben beschriebenen herkömmlichen Ansätze zur Erkennung von Web-Bedrohungen sind nicht in der Lage, die Bewertung einer einzelnen identifizierten Bedrohung einer Web-Ressource so zu erweitern, dass sie Web-Ressourcen einschließt, die der einzelnen identifizierten Bedrohung einer Web-Ressource zugehörig sind.
-
Um solchen Beschränkungen von herkömmlichen Ansätzen zur Erkennung von Web-Bedrohungen zu begegnen, beschreibt die vorliegende Offenbarung Systeme und Verfahren zum Verwenden spezialisierter Web-Crawling-Techniken zum gründlichen Untersuchen von schädlichen Web-Ressourcen auf zugehörige Web-Bedrohungen. In Aspekten wird ein erster Satz von schädlichen und/oder potentiell schädlichen Ressourcenbezeichnern (z. B. URLs, URNs usw.) von einer oder mehreren Erkennungsquellen identifiziert und/oder erfasst. Zu beispielhaften Erkennungsquellen können Benutzer, Datenspeicher von bekannten und/oder verdächtigten Web-Ressourcen, externe Web-/Daten-Crawling-Dienstprogramme und dergleichen zählen. Jeder Ressourcenbezeichner in dem ersten Satz von Ressourcenbezeichnern kann bewertet werden, um Web-Ressourcen (z. B. Web-Seiten, Hyperlinks, elektronische Nachrichten, Daten von Diensten und Datenbanken, Dateien usw.) zu ermitteln, die diesem Ressourcenbezeichner zugehörig sind. Die zugehörigen Web-Ressourcen für jeden Ressourcenbezeichner können in einem zweiten Satz von Ressourcenbezeichnern platziert oder organisiert werden. Der zweite Satz von Ressourcenbezeichnern (oder ein Teilsatz davon) kann einer Web-Crawling-Komponente bereitgestellt werden, die das Überprüfen des zweiten Satzes von Ressourcenbezeichnern durch eine Bedrohungserkennungskomponente vereinfachen kann. Das Überprüfen des zweiten Satzes von Ressourcenbezeichnern kann zum Beispiel ein Untersuchen des Stamms und der Unterdomänen einer Web-Ressource, der Verknüpfungen einer Web-Ressource, der IP-Adresse, die ein Hosting für eine Web-Ressource bereitstellt, sonstiger Web-Ressourcen, für die ein Hosting durch die Hosting-IP-Adresse bereitgestellt wird, der Geoposition einer oder mehrerer IP-Adressen und/oder sonstiger Domänen, die sich im Besitz des Eigentümers einer Web-Ressource befinden, aufweisen.
-
Die Bedrohungserkennungskomponente kann die Ressourcenbezeichner in dem zweiten Satz von Ressourcenbezeichnern in eine oder mehrere Gruppen oder Kategorien (z. B. schädlich, verdächtig, sicher, unbekannt usw.) klassifizieren. Wenn jegliche Ressourcenbezeichner in dem zweiten Satz von Ressourcenbezeichnern als ein bestimmtes Sicherheits- oder Vertrauenswürdigkeitsniveau überschreitend (z. B. schädlich oder verdächtig) identifiziert werden, können diese Ressourcenbezeichner aufgezeichnet und in einem Datenspeicher gespeichert werden, der Web-Crawling-Komponente bereitgestellt werden, dem ersten Satz von Ressourcenbezeichnern in nachfolgenden Bedrohungserkennungsanalysen hinzugefügt werden und/oder einem oder mehreren Benutzern bereitgestellt werden. In zumindest einem Aspekt können eine oder mehrere Korrektur- oder Informationsmaßnahmen angeboten oder durchgeführt werden, wenn ein oder mehrere Ressourcenbezeichner als das Sicherheits- oder Vertrauenswürdigkeitsniveau überschreitend identifiziert werden.
-
Dementsprechend bietet die vorliegende Offenbarung eine Mehrzahl von technischen Vorteilen, darunter, ohne darauf beschränkt zu sein: unter anderen Beispielen ein Erhöhen der Sicherheit einer Datenverarbeitungsumgebung, ein Durchführen einer iterativen Analyse von Web-Bedrohungen auf Grundlage einer einzelnen Web-Ressource, ein Erzeugen und Speichern von Listen von schädlichen und/oder potentiell schädlichen Web-Ressourcen, ein Implementieren der Funktionalität eines Web-Crawler-Dienstprogramms und/oder eines Bedrohungserkennungs-Dienstprogramms, ein Verringern der Rechenressourcen und der Zeit, die zum Untersuchen von Web-Bedrohungen mithilfe einer Zielbedrohungsanalyse erforderlich ist.
-
1 veranschaulicht eine Übersicht über ein beispielhaftes System zum Bewerten von schädlichen Web-Inhalten auf zugehörige Bedrohungen, wie hierin beschrieben. Bei einem dargestellten beispielhaften System 100 handelt es sich um eine Kombination von unabhängigen Komponenten, die interagieren, um ein integriertes Ganzes zum Überwachen der Sicherheitsberechtigungen eines Prozesses auszubilden. Bei Komponenten des Systems kann es sich um Hardware-Komponenten oder um Software handeln, die auf Hardware-Komponenten des Systems implementiert und/oder durch diese ausgeführt wird. In Beispielen kann das System 100 beliebige von Hardware-Komponenten (die z. B. zum Ausführen/Durchführen eines Betriebssystems (operating system, OS) verwendet werden) und Software-Komponenten (z. B. Anwendungen, Anwendungsprogrammierschnittstellen (application programming interfaces, APIs), Module, virtuelle Maschinen, Laufzeitbibliotheken usw.), die auf Hardware ausgeführt werden, beinhalten. In einem Beispiel kann ein beispielhaftes System 100 eine Umgebung zum Ausführen von Software-Komponenten, Einhalten von für den Betrieb festgelegten Bedingungen und Nutzen von Ressourcen oder Funktionen des Systems 100 bereitstellen, wobei es sich bei Komponenten um Software (z. B. eine Anwendung, ein Programm, ein Modul usw.) handeln kann, die auf einer oder mehreren Verarbeitungsvorrichtungen ausgeführt wird. Beispielsweise kann Software (z. B. Anwendungen, Betriebsanweisungen, Module usw.) auf einer Verarbeitungsvorrichtung wie etwa einem Computer, einer Mobilvorrichtung (z. B. einem Smartphone/Telefon, einem Tablet, einem Laptop, einem persönlichen digitalen Assistenten (PDA) usw.) und/oder beliebigen sonstigen elektronischen Vorrichtungen ausgeführt werden. Als Beispiel für eine Betriebsumgebung einer Verarbeitungsvorrichtung sei auf die in 4 dargestellten beispielhaften Betriebsumgebungen verwiesen. In sonstigen Beispielen können die Komponenten von Systemen, die hierin offenbart werden, über mehrere Vorrichtungen verteilt sein. Beispielsweise kann eine Eingabe auf einer Client-Vorrichtung eingegeben oder erkannt werden und können Informationen von sonstigen Vorrichtungen in einem Netzwerk wie etwa einer oder mehreren Server-Vorrichtungen aus verarbeitet werden oder zugänglich sein.
-
Als ein Beispiel weist das System 100 Client-Vorrichtungen 102A bis C, ein verteiltes Netzwerk 104 und eine verteilte Server-Umgebung auf, die Server-Vorrichtungen 106A bis C aufweist. Einem Fachmann ist ersichtlich, dass die Größenordnung von Systemen wie zum Beispiel des Systems 100 variieren kann und mehr oder weniger Komponenten als die in 1 beschriebenen beinhalten kann. In einigen Beispielen kann eine Kopplung zwischen Komponenten des Systems 100 aus der Ferne durchgeführt werden, zum Beispiel wenn Komponenten des Systems 100 über eine oder mehrere Vorrichtungen eines verteilten Netzwerks verteilt sein können.
-
Datenverarbeitungsvorrichtungen 102A bis C können dazu gestaltet sein, Zugriff auf eine oder mehrere schädliche oder verdächtige (z. B. potentiell schädliche) Ressourcen und/oder entsprechende Ressourcenbezeichner bereitzustellen. Zu Beispielen für die Datenverarbeitungsvorrichtungen 102A bis C können Client-Vorrichtungen (z. B. ein Laptop oder PC, eine Mobilvorrichtung, eine tragbare Vorrichtung usw. eines Benutzers), web-basierte Einrichtungen, Dienstprogramme/Systeme zur Identifizierung von Ressourcen (wie etwa ein Web-Crawler, ein Such-Bot oder ein Spidering-Dienstprogramm) oder dergleichen zählen. In Aspekten können die Datenverarbeitungsvorrichtungen 102A bis C einen Satz von Bezeichnern von lokalen Ressourcen aufweisen und/oder kann ein Satz von entfernt angeordneten Ressourcen für die Datenverarbeitungsvorrichtungen 102A bis C zugänglich sein. Der Satz von Ressourcenbezeichnern kann Ressourcenbezeichner verschiedene Typen, zum Beispiel schädlich, verdächtig, sicher usw., aufweisen. Alternativ kann der Satz von Ressourcenbezeichnern nur Ressourcenbezeichner eines bestimmten Typs (z. B. schädlich) aufweisen. Ein Zugreifen auf den Satz von entfernt angeordneten Ressourcen kann ein Absenden einer oder mehrerer Abfragen an ein Suchdienstprogramm/einen Suchdienst, ein Zugreifen auf einen Datenspeicher von schädlichen Ressourcenbezeichnern, ein Ausführen eines Web-Crawler-Dienstprogramms/-Dienstes oder dergleichen beinhalten. Nach einem Identifizieren eines Satzes von Ressourcenbezeichnern können die Datenverarbeitungsvorrichtungen 102A bis C den Satz von Ressourcenbezeichnern einem Web-Crawling-Dienstprogramm/-Dienst mithilfe des Netzwerks 104 bereitstellen.
-
Die Server-Vorrichtungen 106A bis C können dazu gestaltet sein, die Bewertung eines Satzes von Ressourcenbezeichnern zu vereinfachen. Zu Beispielen für die Server-Vorrichtungen 106A bis C können Ressourcenbezeichner-Erkennungsvorrichtungen, Web-Crawler-Vorrichtungen, Bedrohungserkennungs- und -klassifizierungsvorrichtungen, Datenspeichervorrichtungen, Korrekturmaßnahmenvorrichtungen und dergleichen zählen. In Aspekten kann den Server-Vorrichtungen 106A bis C Zugriff auf einen Satz von Ressourcenbezeichnern bereitgestellt werden. Der Satz von Ressourcenbezeichnern kann mithilfe einer oder mehrerer der Server-Vorrichtungen 106A bis C oder Komponenten von diesen bewertet werden. Beispielsweise kann der Satz von Ressourcenbezeichnern einem Dienstprogramm (oder einer Vorrichtung) zur Erkennung von Ressourcenbezeichnern bereitgestellt werden. Das Dienstprogramm zur Erkennung von Ressourcenbezeichnern kann auf einer oder mehreren der Server-Vorrichtungen 106A bis C implementiert sein oder kann sich entfernt von den Server-Vorrichtungen 106A bis C befinden. Das Dienstprogramm zur Erkennung von Ressourcenbezeichnern kann auf den Satz von Ressourcenbezeichnern bezogene Inhalte durch Untersuchen, beispielsweise durch Untersuchen des Stamms und der Unterdomänen der Ressourcenbezeichner (und entsprechender Ressourcen), der internen und externen Verknüpfungen, die den Ressourcenbezeichnern zugehörig sind, der IP-Adressen, die ein Hosting für die Ressourcenbezeichner (und/oder die entsprechenden Ressourcen) bereitstellen, sonstiger Ressourcenbezeichner (und/oder entsprechender Ressourcen), für die ein Hosting durch die Hosting-IP-Adresse bereitgestellt wird, der Geoposition einer oder mehrerer IP-Adressen und/oder sonstiger Domänen, die sich im Besitz des Eigentümers der Ressourcenbezeichner befinden, identifizieren. Das Dienstprogramm zur Erkennung von Ressourcenbezeichnern kann die auf den Satz von Ressourcenbezeichnern bezogenen Inhalte einem Web-Crawling-Dienstprogramm bereitstellen. Das Web-Crawling-Dienstprogramm kann die betreffenden Inhalte durchsuchen und bewerten, um eine Liste von Inhalten zu erzeugen, die jedem Ressourcenbezeichner in den betreffenden Inhalten zugehörig sind. Das Web-Crawler-Dienstprogramm kann die Liste von Inhalten einem Dienstprogramm zur Bedrohungserkennung und/oder -klassifizierung bereitstellen.
-
Das Dienstprogramm zur Bedrohungserkennung/-klassifizierung kann auf einer oder mehreren der Server-Vorrichtungen 106A bis C implementiert sein oder kann sich entfernt von den Server-Vorrichtungen 106A bis C befinden. Das Dienstprogramm zur Bedrohungserkennung/-klassifizierung kann die auf den Satz von Ressourcenbezeichnern bezogenen Inhalte bewerten. Das Bewerten der Inhalte kann ein Verwenden eines oder mehrerer Regelsätze, Modelle oder Algorithmen beinhalten, um die Ressourcenbezeichner in den Inhalten in eine oder mehrere Gruppen oder Kategorien (z. B. schädlich, verdächtig, sicher, unbekannt usw.) zu klassifizieren. Ein Modell, wie es hierin verwendet wird, kann sich auf eine Komponente für vorhersagendes oder statistisches maschinelles Lernen beziehen, die dazu verwendet werden kann, eine Wahrscheinlichkeitsverteilung über ein/eine/einen oder mehrere Zeichenfolgen, Klassen, Objekte, Ergebnissätze oder Ereignisse zu ermitteln und/oder einen Antwortwert von einem oder mehreren Prädiktoren vorherzusagen. Bei einem Modell kann es sich um ein regelbasiertes Modell, einen Regressor oder Klassifikator im maschinellen Lernen, ein neuronales Netz oder dergleichen handeln. Das Dienstprogramm zur Bedrohungserkennung/-klassifizierung (oder eine getrennte Komponente der Server-Vorrichtungen 106A bis C) kann die Klassifizierungen der Ressourcenbezeichner bewerten, um zu ermitteln ob eine oder mehrere der Klassifizierungen ein bestimmtes Sicherheits- oder Vertrauenswürdigkeitsniveau erreichen oder überschreiten. Wenn festgestellt wird, dass eine oder mehrere der Klassifizierungen das Sicherheits-/Vertrauenswürdigkeitsniveau erreichen oder überschreiten, können die entsprechenden Ressourcenbezeichner aufgezeichnet und in einem Datenspeicher gespeichert werden, einer Web-Crawling-Komponente (wie zum Beispiel dem oben beschriebenen Web-Crawler-Dienstprogramm) bereitgestellt werden, einem oder mehreren Benutzern dargestellt werden, einer Korrekturmaßnahmenvorrichtung bereitgestellt werden oder dergleichen.
-
In einigen Aspekten kann eine Korrekturmaßnahmenvorrichtung auf einer oder mehreren der Server-Vorrichtungen 106A bis C implementiert sein oder sich entfernt von den Server-Vorrichtungen 106A bis C befinden. Die Korrekturmaßnahmenvorrichtung kann eine oder mehrere Gruppen von Ressourcenbezeichnern bewerten, die durch das Dienstprogramm zur Bedrohungserkennung/-klassifizierung klassifiziert worden sind. Auf Grundlage der Bewertung können eine oder mehrere Korrektur- und Informationsmaßnahmen angeboten oder durchgeführt werden. Zu Beispielen für Korrekturmaßnahmen können ein Erzeugen und Anzeigen von Warnungen und/oder Benachrichtigungen, ein Beenden eines oder mehrerer Prozesse, ein Modifizieren eines Satzes von Genehmigungs- oder Berechtigungsstufen, ein Unterquarantänestellen einer oder mehrerer Dateien, ein Initialisieren (vor Ort oder aus der Ferne) von Anti-Exploit-Software/-Diensten usw. zählen.
-
2 veranschaulicht eine Übersicht über ein beispielhaftes Eingabesystem 200 zum Bewerten von schädlichen Web-Inhalten auf zugehörige Bedrohungen, wie hierin beschrieben. Die durch das Eingabeverarbeitungssystem 200 implementierten Exploit-Präventionstechniken können die in 1 beschriebenen Techniken und Inhalte aufweisen. In alternativen Beispielen kann ein verteiltes System (das eine oder mehrere Komponenten wie zum Beispiel einen Prozessor und/oder einen Speicher aufweist) die in dem System 200 beschriebenen Techniken durchführen.
-
Im Hinblick auf 2 kann das Eingabeverarbeitungssystem 200 eine Ressourcenbezeichnererfassungs-Engine 202, einen Web-Crawler 204, eine Bedrohungserkennungs-Engine 206 und eine Ereigniserzeugungs-Engine 208 aufweisen. Die Ressourcenbezeichnererfassungs-Engine 202 kann dazu gestaltet sein, auf Ressourcenbezeichner zuzugreifen, die schädlichen oder verdächtigen Web-Ressourcen entsprechen. In Aspekten kann die Ressourcenbezeichnererfassungs-Engine 202 einen oder mehrere Ressourcenbezeichner von einer oder mehreren internen und/oder externen Quellen empfangen oder erfassen. Der/Die Ressourcenbezeichner kann/können zuvor identifizierte Web-Bedrohungen, kürzlich erkannte Web-Bedrohungen und/oder potentielle Web-Bedrohungen darstellen. Die Ressourcenbezeichnererfassungs-Engine 202 kann den/die Ressourcenbezeichner untersuchen, um auf den/die Ressourcenbezeichner bezogene Inhalte (z. B. Ressourcenbezeichner und entsprechende Ressourcen) zu identifizieren. In Beispielen kann das Identifizieren der betreffenden Inhalte ein Verwenden eines oder mehrerer Dienstprogramme oder -dienste zum Untersuchen des Stamms und der Unterdomänen der Ressourcenbezeichner (und entsprechender Ressourcen), der internen und externen Verknüpfungen, die den Ressourcenbezeichnern zugehörig sind, der IP-Adressen, die ein Hosting für die Ressourcenbezeichner (und/oder die entsprechenden Ressourcen) bereitstellen, sonstiger Ressourcenbezeichner (und/oder entsprechender Ressourcen), für die ein Hosting durch die Hosting-IP-Adresse bereitgestellt wird, der Geoposition einer oder mehrerer IP-Adressen, die den Ressourcenbezeichnern zugehörig sind, und/oder sonstiger Domänen, die sich im Besitz des Eigentümers der Ressource befinden, aufweisen. In Aspekten können der/die Ressourcenbezeichner für die betreffenden Inhalte einem Dienstprogramm zum Suchen von Web-Inhalten wie zum Beispiel dem Web-Crawler 204 zugänglich gemacht werden.
-
Der Web-Crawler 204 kann dazu gestaltet sein, einem oder mehreren Ressourcenbezeichnern zugehörige Ressourcen zu suchen und auszuwerten. In Aspekten kann der Web-Crawler 204 Zugriff auf einen oder mehrere Ressourcenbezeichner haben. Der Web-Crawler 204 kann die Ressourcenbezeichner (und/oder die entsprechenden Ressourcen) überprüfen, um Ressourcen zu ermitteln, die über die Ressourcenbezeichner verfügbar gemacht werden. Die ermittelten Ressourcen können einer Liste oder einer Warteschlange hinzugefügt werden, die durch den Web-Crawler 204 zu überprüfende Ressourcen/Ressourcenbezeichner darstellt. In Beispielen kann das Überprüfen der Ressourcenbezeichner ein Anwenden eines Dienstprogramms oder eines Dienstes zur Bedrohungserkennung und -bewertung wie zum Beispiel der Bedrohungserkennungs-Engine 206 auf die Ressourcenbezeichner beinhalten. Die Bedrohungserkennungs-Engine 206 kann dazu gestaltet sein, Multi-Vektor-Schutz und Bedrohungsermittlungsdienste für Endpunkte und Netzwerke durch Erkennen, Überwachen, Verhindern und/oder Abschwächen von Malware-Angriffen und befürchteten Bedrohungen bereitzustellen. Die Bedrohungserkennungs-Engine 206 kann dazu verwendet werden zu ermitteln, ob eine Ressource oder ein Ressourcenbezeichner schädlich ist oder schädliche (oder verdächtige) Inhalte aufweist. Die Ermittlung kann die Verwendung eines oder mehrerer Regelsätze, Modelle oder Algorithmen beinhalten. Die Ermittlung kann darüber hinaus oder alternativ ein Identifizieren und Anwenden einer Klassifizierung auf einen Ressourcenbezeichner beinhalten. In Beispielen kann die Klassifizierung eine Vertrauens- oder Bedrohungsbewertung für einen Ressourcenbezeichner angeben. Wenn in Aspekten ein Ressourcenbezeichner als schädlich (oder verdächtig) ermittelt wird, kann die Bedrohungserkennungs-Engine 206 zum Beispiel den Ressourcenbezeichner und zugehörige Klassifizierungsinformationen in einem zugänglichen Datenspeicher aufzeichnen und/oder den Ressourcenbezeichner der Ressourcenbezeichnererfassungs-Engine 202 bereitstellen. In zumindest einem Aspekt kann die Bedrohungserkennungs-Engine 206 zusätzlich Informationen und/oder Anweisungen, die sich auf die Ressourcenbezeichner und/oder entsprechende Klassifizierungen beziehen, an ein Dienstprogramm oder einen Dienst übertragen, das/der Maßnahmen durchführt, zum Beispiel die Ereigniserzeugungs-Engine 208.
-
Die Ereigniserzeugungs-Engine 208 kann dazu gestaltet sein, eine oder mehrere Korrektur- oder Informationsmaßnahmen anzubieten oder durchzuführen. In Aspekten kann die Ereigniserzeugungs-Engine 208 Informationen und/oder Anweisungen empfangen, die sich auf einen oder mehrere Ressourcenbezeichner beziehen. Die Ereigniserzeugungs-Engine 208 kann die Informationen und/oder Anweisungen mithilfe eines Regelsatzes oder sonstiger Bewertungskriterien bewerten, um eine oder mehrere durchzuführende Maßnahmen auszuwählen. Zu beispielhaften Maßnahmen können ein Erzeugen und Anzeigen von Warnungen und/oder Benachrichtigungen, ein Beenden eines oder mehrerer Prozesse, ein Erzeugen eines Berichts, ein Blockieren eines Zugriffs auf Ressourcenbezeichner, ein Benachrichtigen einer Bedrohungsüberwachungsstelle über identifizierte Bedrohungen, ein Implementieren von Zielbedrohungssicherheit auf Endbenutzervorrichtungen, ein Aktualisieren einer Liste oder Datenbank von bekannten oder vermuteten Bedrohungen, ein Modifizieren eines Satzes von Genehmigungs- oder Berechtigungsstufen, ein Unterquarantänestellen einer oder mehrerer Dateien, ein Initialisieren (vor Ort oder aus der Ferne) von Anti-Exploit-Software/-Diensten usw. zählen.
-
3 veranschaulicht beispielhafte Verfahren zum Bewerten von schädlichen Web-Inhalten auf zugehörige Bedrohungen, wie hierin beschrieben. In Aspekten kann ein Verfahren 300 durch ein beispielhaftes System wie etwa das System 100 von 1 und das System 200 von 2 ausgeführt werden. In Beispielen kann das Verfahren 300 auf einer Vorrichtung ausgeführt werden, die zumindest einen Prozessor aufweist, der dazu gestaltet ist, Operationen, Programme oder Anweisungen zu speichern und auszuführen. Das Verfahren 300 ist jedoch nicht auf solche Beispiele beschränkt. In sonstigen Beispielen kann das Verfahren 300 durch eine(n) entfernt angeordnete(n) Anwendung oder Dienst durchgeführt werden. In noch weiteren Beispielen kann das Verfahren 300 durch eine oder mehrere Komponenten eines verteilten Netzwerks wie zum Beispiel einen Web-Dienst oder einen Dienst eines verteilten Netzwerks (z. B. einen Cloud-Dienst) (z. B. durch computerimplementierte Operationen) ausgeführt werden.
-
Das Beispiel 300 beginnt bei der Operation 302, bei der auf einen oder mehrere Ressourcenbezeichner zugegriffen werden kann. In Aspekten kann ein Datenanalysesystem Zugriff auf eine oder mehrere interne und/oder externe Datenquellen haben, die Ressourcenbezeichner aufweisen. Beispielsweise kann das Datenanalysesystem in der Lage sein, Ressourcenbezeichner von einem oder mehreren Benutzern über eine API oder eine graphische Benutzerschnittstelle (graphical user interface, GUI), einen externen Web-Crawler-Dienst und/oder einen internen Datenspeicher von zuvor identifizierten, schädlichen Ressourcenbezeichnern zu empfangen. Die Ressourcenbezeichner, auf die zugegriffen worden ist, können durch einen Erfassungsmechanismus wie zum Beispiel die Ressourcenbezeichnererfassungs-Engine 202 zu einer Liste von „Ausgangs“-Ressourcenbezeichnern zusammenfassen und/oder angeordnet werden.
-
In der Operation 304 können die Ausgangsressourcenbezeichner untersucht werden, um Ressourcenbezeichner zu ermitteln, die den Ausgangsressourcenbezeichnern zugehörig sind. In Aspekten können die Ausgangsressourcenbezeichner mithilfe eines oder mehrerer Untersuchungsdienstprogramme oder -dienste bewertet werden. Die Bewertung kann ein Ermitteln des Stamms und der Unterdomänen der Ressourcenbezeichner (und entsprechender Ressourcen), der internen und externen Verknüpfungen, die den Ressourcenbezeichnern zugehörig sind, der IP-Adressen, die ein Hosting für die Ressourcenbezeichner (und/oder die entsprechenden Ressourcen) bereitstellen, sonstiger Ressourcenbezeichner (und/oder entsprechender Ressourcen), für die ein Hosting durch die Hosting-IP-Adresse bereitgestellt wird, der Geoposition einer oder mehrerer IP-Adressen, die den Ressourcenbezeichnern zugehörig sind, und/oder sonstiger Domänen, die sich im Besitz des Ressourceneigentümers befinden, aufweisen. Die Bewertung kann darüber hinaus ein Ermitteln von Domänenregistrierungsinformationen (z. B. des Registratornamens, der Registrierungszeit, des registrierten Benutzers usw.) für die Ressourcenbezeichner, ein Identifizieren gemeinsamer Ausführungspfade für Web-Bedrohungen und ein Vergleichen der Ausführungspfade von Web-Bedrohungen für verschiedene IP-Adressen aufweisen. In Aspekten können die Ressourcenbezeichner, die den Ausgangsressourcenbezeichnern zugehörig sind, zu einem/einer oder mehreren Datenspeichern oder -warteschlangen hinzugefügt werden und können Status für solche Ressourcenbezeichner erzeugt oder aktualisiert werden.
-
In der Operation 306 können die Ressourcenbezeichner, die den Ausgangsressourcenbezeichnern zugehörig sind („betreffende Ressourcenbezeichner“) bewertet werden. In Aspekten können die betreffenden Ressourcenbezeichner einem Dienstprogramm oder einem Dienst zum Suchen von Inhalten wie zum Beispiel dem Web-Crawler 204 zugänglich gemacht werden. Das Dienstprogramm zum Suchen von Inhalten kann die betreffenden Ressourcenbezeichner (und/oder die entsprechenden Ressourcen) überprüfen, um Ressourcen zu ermitteln, die über die betreffenden Ressourcenbezeichner verfügbar gemacht werden. Beispielsweise kann eine Web-Seite, die einer URL entspricht, überprüft werden, um in die Web-Seite eingebettete Hyperlinks zu identifizieren. Die Ressourcenbezeichner, die den Ressourcen entsprechen, die über die betreffenden Ressourcenbezeichner zugänglich gemacht werden, können mithilfe eines Web-Bedrohungserkennungssystems wie zum Beispiel der Bedrohungserkennungs-Engine 206 bewertet werden. Das Web-Bedrohungserkennungssystem kann ein(en) oder mehrere Regelsätze, Modelle oder Algorithmen verwenden, um zu ermitteln, ob eine Ressource oder ein Ressourcenbezeichner schädlich ist oder schädliche (oder verdächtige) Inhalte aufweist. Die Ermittlung kann ein Vergleichen von Ressourcenbezeichnern mit einer oder mehreren Listen von bekannten schädlichen Ressourcenbezeichnern, ein Bewerten von Ressourcenbezeichnern anhand eines Satzes von Web-Bedrohungsheuristiken, ein Verwenden eines Dienstprogramms zum Suchen von Ressourcenbezeichnern usw. beinhalten. Beispielsweise können in Fortsetzung des obigen Beispiels die bei der Überprüfung einer URL identifizierten Hyperlinks einem Bedrohungserkennungssystem bereitgestellt werden, das für das Datenanalysesystem zugänglich ist. Das Bedrohungserkennungssystem kann ermitteln, ob die URL schädlich ist, und kann den Hyperlink dementsprechend kennzeichnen (oder die Hyperlink-Klassifizierung auf andere Weise angeben).
-
In Aspekten können die bewerteten Ressourcenbezeichner auf Grundlage der Ergebnisse der Bewertung klassifiziert werden. Die Klassifizierung kann eine oder mehrere Bedrohungsgruppen oder -kategorien (z. B. schädlich, verdächtig, sicher, unbekannt usw.) darstellen. Alternativ kann die Klassifizierung eine Bedrohungsbewertung darstellen, die die Bedeutung der erkannten Bedrohung oder die Wahrscheinlichkeit angibt, dass ein Ressourcenbezeichner schädlich ist. In einigen Aspekten können Ressourcenbezeichner, die als schädlich (oder verdächtig) bewertet worden sind, an einem Speicherort aufgezeichnet werden und/oder dem Erfassungsmechanismus bereitgestellt werden. Darüber hinaus können Informationen und/oder Anweisungen erzeugt werden, die sich auf einen oder mehrere schädliche (oder verdächtige) Ressourcenbezeichner beziehen. In Beispielen können die Informationen und/oder Anweisungen Maßnahmen zum Bekämpfen oder Abschwächen von schädlichen (oder verdächtigen) Ressourcenbezeichnern definieren oder darstellen. Beispielsweise kann in Fortsetzung des obigen Beispiels eine Nachricht erzeugt werden, wenn die URL als schädlich ermittelt wird. Die Nachricht kann einen Hyperlink aufweisen, der auf eine Sicherheitskorrektur zum Schützen der Schwachstellen verweist, die durch die schädliche URL ausgenutzt werden können. In einigen Aspekten können Metriken für die bewerteten Ressourcenbezeichner erzeugt werden. Die Metriken können zum Beispiel die Anzahl von bewerteten Ressourcenbezeichnern, die Anzahl von eindeutigen Ressourcenbezeichnern, die durch das Datenanalysesystem identifiziert worden sind, die Anzahl von eindeutigen Ressourcenbezeichnern, die je Ausführung des Web-Bedrohungserkennungssystems identifiziert worden sind, die Anzahl von erkannten Bedrohungen, die Anzahl der je Bedrohungskategorie erkannten Bedrohungen usw. beinhalten.
-
In der optionalen Operation 308 können eine oder mehrere Maßnahmen auf Grundlage der Bewertung der betreffenden Ressourcenbezeichner durchgeführt werden. In Aspekten können Informationen und/oder Anweisungen, die sich auf einen oder mehrere schädliche (oder verdächtige) Ressourcenbezeichner beziehen, einem Ereigniserzeugungsmechanismus wie zum Beispiel der Ereigniserzeugungs-Engine 208 bereitgestellt werden. Der Ereigniserzeugungsmechanismus kann die Anweisungen ausführen und/oder die Informationen verwenden, um die Ausführung eines Satzes von Anweisungen zu bewirken. In beiden Szenarien können die Anweisungen zu der Durchführung einer oder mehrerer Korrektur- oder Informationsmaßnahmen resultieren, die den betreffenden Ressourcenbezeichnern zugehörig sind. Zu beispielhaften Maßnahmen können ein Erzeugen und Anzeigen von Warnungen und/oder Benachrichtigungen, ein Beenden eines oder mehrerer Prozesse, ein Erzeugen eines Berichts, ein Blockieren eines Zugriffs auf Ressourcenbezeichner, ein Benachrichtigen einer Bedrohungsüberwachungsstelle über identifizierte Bedrohungen, ein Implementieren von Zielbedrohungssicherheit auf Endbenutzervorrichtungen, ein Aktualisieren einer Liste oder Datenbank von bekannten oder vermuteten Bedrohungen, ein Modifizieren eines Satzes von Genehmigungs- oder Berechtigungsstufen, ein Unterquarantänestellen einer oder mehrerer Dateien, ein Initialisieren (vor Ort oder aus der Ferne) von Anti-Exploit-Software/-Diensten usw. zählen. Beispielsweise kann in Fortsetzung des obigen Beispiels der Ereigniserzeugungsmechanismus den Hyperlink in der Nachricht ausführen; wodurch bewirkt wird, dass die Sicherheitskorrektur in dem Datenanalysesystem installiert wird.
-
4 veranschaulicht ein Beispiel für eine geeignete Betriebsumgebung 400, in der eine oder mehrere der vorliegenden Ausführungsformen implementiert werden können. Dies ist lediglich ein Beispiel für eine geeignete Betriebsumgebung und soll den Umfang der Nutzung oder der Funktionalität nicht einschränken. Zu sonstigen allgemein bekannten Datenverarbeitungssystemen, -umgebungen und/oder -konfigurationen, die zur Verwendung geeignet sein können, zählen Personalcomputer, Server-Computer, Hand- oder Laptop-Vorrichtungen, Mehrprozessorsysteme, Systeme auf Grundlage von Mikroprozessoren, programmierbare Unterhaltungselektronik wie zum Beispiel Smartphones, Netzwerk-PCs, Minicomputer, Großrechner, verteilte Datenverarbeitungsumgebungen, die beliebige der obigen Systeme oder Vorrichtungen beinhalten, und dergleichen, ohne auf diese beschränkt zu sein.
-
In ihrer grundlegendsten Gestaltung beinhaltet die Betriebsumgebung 400 üblicherweise zumindest eine Verarbeitungseinheit 402 und einen Speicher 404. Abhängig von der genauen Gestaltung und dem Typ der Datenverarbeitungsvorrichtung kann der Speicher 404 (der unter anderem Ressourcenbezeichner, Klassifizierungsdaten, Anweisungen zum Durchführen der hierin offenbarten Verfahren usw. speichert) flüchtig (wie ein RAM), nicht flüchtig (wie ein ROM, ein Flash-Speicher usw.) oder eine Kombination der beiden sein. Diese grundlegendste Gestaltung wird in 4 durch die gestrichelte Linie 406 dargestellt. Des Weiteren kann die Umgebung 400 auch (austauschbare, 408, und/oder nicht austauschbare, 410) Speichervorrichtungen beinhalten, darunter Magnet- oder optische Platten oder Bänder, ohne auf diese beschränkt zu sein. Gleichermaßen kann die Umgebung 400 auch eine oder mehrere Eingabevorrichtungen 414 wie zum Beispiel eine Tastatur, eine Maus, einen Stift, eine Spracheingabe usw. und/oder eine oder mehrere Ausgabevorrichtungen 416 wie zum Beispiel eine Anzeige, Lautsprecher, einen Drucker usw. aufweisen. Darüber hinaus können in der Umgebung eine oder mehrere Datenübertragungsverbindungen, 412, wie zum Beispiel LAN, WAN, Punkt-zu-Punkt usw. beinhaltet sein.
-
Die Betriebsumgebung 400 beinhaltet üblicherweise zumindest eine Form von computerlesbaren Medien. Bei computerlesbaren Medien kann es sich um beliebige verfügbare Medien handeln, auf die durch die Verarbeitungseinheit 402 oder sonstige Vorrichtungen, die die Betriebsumgebung aufweisen, zugegriffen werden kann. Beispielsweise, und ohne einschränkend zu wirken, können computerlesbare Medien Computerspeichermedien und Datenübertragungsmedien aufweisen. Computerspeichermedien beinhalten flüchtige und nicht flüchtige, austauschbare und nicht austauschbare Medien, die mit einem beliebigen Verfahren oder einer beliebigen Technologie zum Speichern von Informationen wie zum Beispiel von computerlesbaren Anweisungen, Datenstrukturen, Programmmodulen oder sonstigen Daten implementiert sind. Computerspeichermedien beinhalten RAM, ROM, EEPROM, Flash-Speicher oder eine sonstige Speichertechnologie, CD-ROM, digitale vielseitige Scheiben (digital versatile disks, DVDs) oder sonstige optische Speicher, Magnetkassetten, Magnetband, Magnetplattenspeicher oder sonstige Magnetspeichervorrichtungen oder ein beliebiges sonstiges nicht transitorisches Medium, das zum Speichern der gewünschten Informationen verwendet werden kann. Computerspeichermedien beinhalten keine Datenübertragungsmedien.
-
Datenübertragungsmedien verkörpern computerlesbare Anweisungen, Datenstrukturen, Programmmodule oder sonstige Daten in einem modulierten Datensignal wie zum Beispiel einer Trägerwelle oder einem sonstigen Transportmechanismus und beinhalten beliebige Informationsübermittlungsmedien. Der Begriff „moduliertes Datensignal“ bedeutet ein Signal, bei dem eine oder mehrere Eigenschaften in einer solchen Weise festgelegt oder geändert werden, dass Informationen in dem Signal verschlüsselt werden. Beispielsweise, und ohne einschränkend zu wirken, beinhalten Datenübertragungsmedien drahtgebundene Medien wie zum Beispiel ein Kabelnetz oder eine direkt verdrahtete Verbindung und drahtlose Medien wie zum Beispiel akustische, HF-, Infrarot- und sonstige drahtlose Medien. Kombinationen von beliebigen der Obigen sollten ebenso im Umfang der computerlesbaren Medien enthalten sein.
-
Bei der Betriebsumgebung 400 kann es sich um einen einzelnen Computer handeln, der in einer Netzwerkumgebung mithilfe logischer Verbindungen zu einem oder mehreren entfernt angeordneten Computern arbeitet. Bei dem entfernt angeordneten Computer kann es sich um einen Personalcomputer, einen Server, einen Router, einen Netzwerk-PC, eine Peer-Vorrichtung oder einen sonstigen gemeinsamen Netzwerkknoten handeln, und er beinhaltet üblicherweise zahlreiche oder sämtliche der oben beschriebenen Elemente sowie sonstige, die nicht erwähnt worden sind. Die logischen Verbindungen können ein beliebiges Verfahren beinhalten, das durch verfügbare Datenübertragungsmedien unterstützt wird. Solche Netzwerkumgebungen sind in Büros, unternehmensweiten Computernetzwerken, Intranets und im Internet verbreitet.
-
Aspekte der vorliegenden Offenbarung werden oben zum Beispiel unter Bezugnahme auf Blockschaubilder und/oder Darstellungen der Funktionsweise von Verfahren, Systemen und Computerprogrammprodukten gemäß Aspekten der Offenbarung beschrieben. Die in den Blöcken dargestellten Funktionen/Vorgänge können in einer anderen Reihenfolge als in den Ablaufplänen dargestellt auftreten. Zwei nacheinander dargestellte Blöcke können zum Beispiel in Wirklichkeit im Wesentlichen gleichzeitig ausgeführt werden, oder die Blöcke können bisweilen je nach entsprechender Funktionalität/entsprechendem Vorgang in umgekehrter Reihenfolge ausgeführt werden.
-
Die Beschreibung und Veranschaulichung eines oder mehrerer in dieser Anmeldung bereitgestellter Aspekte soll den Umfang der beanspruchten Offenbarung in keiner Weise begrenzen oder einschränken. Die in dieser Anmeldung bereitgestellten Aspekte, Beispiele und Einzelheiten werden als ausreichend betrachtet, um Besitz zu vermitteln und anderen zu ermöglichen, die beste Ausführungsart der beanspruchten Offenbarung vorzunehmen und zu verwenden. Die beanspruchte Offenbarung sollte nicht so ausgelegt werden, dass sie auf einen Aspekt, ein Beispiel oder eine Einzelheit beschränkt ist, die in dieser Anmeldung bereitgestellt werden. Unabhängig davon, ob sie zusammen oder getrennt voneinander dargestellt und beschrieben werden, sollen die verschiedenen (sowohl strukturellen als auch methodologischen) Merkmale wahlweise einbezogen oder weggelassen werden, um eine Ausführungsform mit einem bestimmten Satz von Merkmalen zu erzeugen. Ein Fachmann, dem die Beschreibung und Veranschaulichung der vorliegenden Anmeldung bereitgestellt worden ist, kann sich Varianten, Modifizierungen und alternative Aspekte vorstellen, die in den Wesensgehalt der breiteren Aspekte des allgemeinen, in dieser Anmeldung verkörperten Erfindungsgedankens fallen, die nicht vom breiteren Umfang der beanspruchten Offenbarung abweichen.
