WO2014094653A1 - 一种用于检测恶意链接的设备、方法及系统 - Google Patents

一种用于检测恶意链接的设备、方法及系统 Download PDF

Info

Publication number
WO2014094653A1
WO2014094653A1 PCT/CN2013/090104 CN2013090104W WO2014094653A1 WO 2014094653 A1 WO2014094653 A1 WO 2014094653A1 CN 2013090104 W CN2013090104 W CN 2013090104W WO 2014094653 A1 WO2014094653 A1 WO 2014094653A1
Authority
WO
WIPO (PCT)
Prior art keywords
malicious
links
link
embedded
dangerous
Prior art date
Application number
PCT/CN2013/090104
Other languages
English (en)
French (fr)
Inventor
李晓波
刘起
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CN201210559136.7A external-priority patent/CN103023905B/zh
Priority claimed from CN201210560165.5A external-priority patent/CN103036896B/zh
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Publication of WO2014094653A1 publication Critical patent/WO2014094653A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to the field of network security technologies, and in particular, to a network security management device, a detection device, a method, and a system for detecting a malicious link. Background technique
  • malware attacks have become more and more popular.
  • malicious programs such as hanged horses have various attacks, such as SQL (Structured Query Language) injection, website sensitive file scanning, server vulnerability, website program Oday, etc. , then log in to the background of the website, get a webshel l (web intrusion script attack tool) through database backup/recovery or upload vulnerability.
  • a webshel l web intrusion script attack tool
  • Use the obtained webshel l to modify the content of the website page and add malicious turn code to the page.
  • You can also obtain the server or website FTP (Fi le Transfer Protocal) directly through the weak password, and then directly modify the website page directly.
  • FTP Fi le Transfer Protocal
  • An existing scheme for detecting a hang-up website is that the anti-Hanging spider starts crawling from a high-risk website collected after scanning for some vulnerabilities, and performs a link analysis on the newly discovered page to obtain a new URL, and then new The URL is downloaded, and the downloaded content is submitted to the hanging horse recognition system.
  • the detection system based on seed crawling, since the seed page is only a high-risk website, it is not necessarily a website that is linked to the horse, so the website cannot be quickly detected, and the coverage rate is not comprehensive enough.
  • the present invention has been made in order to provide a network security management device, a detection device, a system and a corresponding method for detecting a malicious link for detecting a malicious link that overcome the above problems or at least partially solve the above problems.
  • a network security management device for detecting a malicious link.
  • the malicious link is a link address of a malicious network resource in the Internet, and includes: a first behavior detector configured to be at least to the client The suspicious link detected by the device detects malicious behavior, detects whether it is a malicious link, and performs malicious behavior detection on other embedded links detected as malicious links, and detects other malicious links embedded in the malicious link; And configured to evaluate the malicious value of each malicious link according to at least the embedded relationship between the malicious links detected by the first behavior detector, and evaluate the malicious value of the malicious website host name associated with each malicious link, and according to The new malicious link detected by the first behavior detector updates the malicious value of the related malicious link or the malicious website host name; the first filter is configured to filter out the malicious value according to the result estimated by the first behavior evaluator a collection of dangerous malicious website host names and their higher than the first preset threshold A malicious malicious link set with a malicious value higher than a second preset threshold under the host name of the malicious website, and notifying
  • the malicious link to be evaluated for the malicious value is the target malicious link
  • the other malicious link embedded in the target malicious link is the embedded malicious link of the target malicious link
  • the number of malicious external links of each embedded malicious link is specifically
  • the first behavior evaluator includes: a first identification module configured to identify all of the target malicious links according to the embedded relationship between the malicious links, the total number of all malicious links embedded in the malicious link as the embedded link Incorporating a malicious link and a number of malicious outer links each embedding a malicious link; a first evaluation module configured to be in accordance with each embedded malicious link of the target malicious link identified by the first identification module The latest malicious value, and the number of malicious external links for each embedded malicious link, evaluates the malicious value of the target malicious link.
  • the malicious website host whose malicious value is to be evaluated is the target malicious website host name
  • the malicious website host name of the other malicious link embedded in each malicious link of the target malicious website host name is the target malicious website host name.
  • the associated malicious website host name, the number of malicious external links of each associated malicious website host name is specifically the sum of the number of malicious external links of all malicious links under the host name of the associated malicious website
  • the first evaluator includes:
  • the identification module is configured to identify, according to the embedded relationship between the malicious links, all associated malicious website host names of the target malicious website host name, and the number of malicious external links of each associated malicious website host name; , configured to evaluate the malicious value of the target malicious website host name according to the latest malicious value of each associated malicious website host name of the target malicious website host name and the number of malicious outer links of each associated malicious website host name.
  • the first evaluation module is further configured to obtain a malicious value of each target malicious link by using multiple rounds of iterative manner, and set an initial malicious value for each target malicious link in the first round of processing; the second evaluation module is further configured to The malicious value of each target malicious website host name is obtained through multiple rounds of iteration, and the initial malicious value is set for each target malicious website host name in the first round of processing.
  • links embedded in malicious links or suspicious links include: Other links that are automatically executed when a malicious link or suspicious link is accessed.
  • new suspicious links embedded in other links hit dangerous malicious website hostname collections or dangerous malicious link collections include: new suspicious links embedded in other linked website hostnames, at least dangerous malicious website hostnames The host name of a website in the collection; or, other links embedded in the new suspicious link, at least one of the links in the dangerous malicious link collection.
  • the first behavior detector is specifically a hanging horse behavior detector
  • the malicious behavior detection is specifically a malicious behavior detection of a hanging horse, a malicious malicious specific link, and other malicious links embedded in the malicious link are specifically malicious.
  • Other malicious hanging horse links embedded in the horse link are specifically malicious.
  • a method for detecting a malicious link includes a link address of various malicious network resources in the Internet, including: performing malicious behavior on at least a suspicious link detected by the client device Detect, detect if it is a malicious link, and detect malicious behavior for other embedded links that are detected as malicious links, Detecting other malicious links embedded in the malicious link; at least according to the embedded relationship between the malicious links, evaluating the malicious value of each malicious link, and evaluating the malicious value of the malicious website host name associated with each malicious link, and according to the detection
  • the new malicious link updates the malicious value of the related malicious link or the malicious website host name; the malicious malicious value is higher than the first preset threshold, and the malicious name is high.
  • a detecting apparatus for detecting a malicious link comprising: a second behavior detector configured to be a network The suspicious behavior of the resource is detected, and the detected suspicious link is transmitted to the server device for further detection; the second acquirer is configured to acquire the dangerous malicious website host determined by the server device based on the suspicious link provided by the second behavior detector Name collection and dangerous malicious link collection, dangerous malicious website host name collection is a collection of malicious website host names filtered by server-side devices with malicious values higher than the first preset threshold, dangerous malicious link collection is a server-side screening risk a set of malicious links whose malicious value is higher than a second preset threshold under the host name of the malicious website other than the host name set of the malicious website; the second link detector configured to be based on the dangerous malicious website host acquired by the second acquirer Name collection and dangerous malicious link collection detected New suspicious links, and new suspicious links are transmitted to the server-side device for detection and update
  • a method for detecting a malicious link includes a link address of a malicious network resource in the Internet, including: detecting a malicious behavior of the network resource, and detecting the suspicious
  • the link is transmitted to the server device for further detection; the host device obtains the dangerous malicious website host name set and the dangerous malicious link set, and the dangerous malicious website host name set is that the malicious value filtered by the server device is higher than the first preset threshold.
  • the collection of malicious website host names, the dangerous malicious link collection is a collection of malicious links whose malicious values are higher than the second preset threshold under the host name of the malicious website other than the dangerous malicious website host name set by the server; Dangerous malicious website hostname collections and dangerous malicious link collections detect new suspicious links, and transmit new suspicious links to server-side devices for detection and update of related malicious values, new suspicious links embedded with other links hit dangerous malicious A collection of website hostnames or a collection of dangerous malicious links.
  • a network security management device for detecting a malicious link.
  • the malicious link includes a link address of a malicious network resource in the Internet, and includes: a first behavior detector configured to be at least for a client The suspicious link detected by the end device detects malicious behavior, detects whether it is a malicious link, and performs malicious behavior detection on other embedded links detected as malicious links, and detects other malicious links embedded in the malicious link; An evaluator configured to evaluate a malicious value for each malicious link according to at least an embedded relationship between the malicious links detected by the first behavior detector, and to correlate the new malicious link detected by the first behavior detector The malicious value of the malicious link is updated; the first filter is configured to filter out the dangerous malicious link set whose malicious value is higher than the second preset threshold according to the result estimated by the first behavior evaluator, and collect the dangerous malicious link set Information to the client device; the first acquirer, configured to receive A new suspicious link detected by the client device based on the set of dangerous malicious links is transmitted, and the new suspicious link is
  • a detecting apparatus for detecting a malicious link, the malicious link including a link address of a malicious network resource in the Internet, comprising: a second behavior detector configured to be suspicious of network resources The behavior is detected, and the detected suspicious link is transmitted to the server device for further detection; the second acquirer is configured to acquire the dangerous malicious link set determined by the server device based on the suspicious link provided by the second behavior detector, dangerously malicious
  • the link set is a set of malicious links that are filtered by the server side and whose malicious value is higher than the second preset threshold;
  • the second link detector is configured to detect a new suspicious link according to the dangerous malicious link set acquired by the second acquirer And transmit new suspicious links to the server-side device to detect and update related malicious values, and other suspicious links embedded in other links hit dangerous malicious link collections.
  • a network security management device for detecting a malicious link.
  • the malicious link includes a link address of a malicious network resource in the Internet, and includes: a first behavior detector configured to be at least for a client Suspicious links detected by the end device for malicious behavior detection, detecting whether it is a malicious link, and detecting a malicious link Other embedded links for malicious behavior detection, detecting other malicious links embedded in the malicious link;
  • the first behavior evaluator is configured to at least according to the embedded relationship between the malicious links detected by the first behavior detector Estimating the malicious value of the malicious website host name associated with each malicious link, and updating the malicious value of the related malicious website host name according to the new malicious link detected by the first behavior detector;
  • the first filter is configured to Determining, according to the result of the first behavior evaluator, a set of dangerous malicious website host names whose malicious value is higher than the first preset threshold, and notifying the client device of the information of the dangerous malicious website host name set; the first acquirer Configuring to obtain a new
  • a detecting apparatus for detecting a malicious link including a link address of various malicious network resources in the Internet, including: a second behavior detector configured to be a network resource The suspicious behavior is detected, and the detected suspicious link is transmitted to the server device for further detection; the second acquirer is configured to acquire the dangerous malicious website host determined by the server device based at least on the suspicious link provided by the second behavior detector.
  • the collection of dangerous hosts, the host name collection of the malicious website is a collection of malicious website hosts whose malicious values are higher than the first preset threshold; the second link detector is configured to be acquired according to the second acquirer.
  • the dangerous malicious website hostname collection detects new suspicious links, and transmits new suspicious links to the server-side device for detection and update of related malicious values, and other suspicious links embedded with other links hit the dangerous malicious website hostname set.
  • a system for detecting a malicious link including a server device and a client device: the server device includes any one of the foregoing network security management devices, and the client device detects any of the foregoing device.
  • a system for detecting a malicious link includes a server device and a client device; the server device includes a network security management device, and the client device includes a detection device;
  • the malicious link includes a link address of a malicious network resource in the Internet, where the detecting device includes: a second behavior detector configured to detect a suspicious behavior of the network resource, and transmit the detected suspicious link to the server end The device performs further detection; the second acquirer is configured to acquire the risk determined by the server device based on the suspicious link provided by the second behavior detector
  • the malicious malicious website host name set and the dangerous malicious link set, the dangerous malicious website host name set is a set of malicious website host names filtered by the server device that are higher than the first preset threshold, the dangerous malicious link
  • the set is a set of malicious links whose malicious value is higher than a second preset threshold under the host name of the malicious website other than the host name list of the dangerous malicious website filtered by the server; the second link detector is configured according to The dangerous malicious website host name set and the dangerous malicious link
  • the other embedded link of the new suspicious link hits the dangerous malicious website host name set or the dangerous malicious link set;
  • the network security management device includes: a first behavior detector configured to be at least for the client device Detection of suspicious links for malicious behavior detection, detection of malicious links, and The detecting is a malicious behavior detection for the other links embedded in the malicious link, detecting other malicious links embedded in the malicious link;
  • the first behavior evaluator is configured to detect at least according to the first behavior detector
  • the embedded relationship between each malicious link evaluates the malicious value for each malicious link, evaluates the malicious value of the malicious website host name associated with each malicious link, and detects the new malicious according to the first behavior detector
  • the link updates the malicious value of the related malicious link or the malicious website host name;
  • the first filter is configured to filter out the risk that the malicious value is higher than the first preset threshold according to the result estimated by the first behavior evaluator
  • the malicious link to be evaluated for the malicious value is the target malicious link
  • the other malicious link embedded in the target malicious link is the embedded malicious link of the target malicious link
  • the number of malicious external links of each embedded malicious link is specifically
  • the first behavior evaluator includes: a first identification module configured to identify all of the target malicious links according to the embedded relationship between the malicious links, the total number of all malicious links embedded in the malicious link as the embedded link Incorporating a malicious link and a number of malicious outer links each embedding a malicious link; a first evaluation module configured to be in accordance with each embedded malicious link of the target malicious link identified by the first identification module The latest malicious value, and the number of malicious external links for each embedded malicious link, evaluates the malicious value of the target malicious link.
  • the malicious website host whose malicious value is to be evaluated is the target malicious website host name
  • the malicious website host name of the other malicious link embedded in each malicious link of the target malicious website host name is the target malicious website host name.
  • the associated malicious website host name, the number of malicious external links of each associated malicious website host name is specifically the sum of the number of malicious external links of all malicious links under the host name of the associated malicious website
  • the first evaluator includes:
  • the identification module is configured to identify, according to the embedded relationship between the malicious links, all associated malicious website host names of the target malicious website host name, and the number of malicious external links of each associated malicious website host name; , configured to evaluate the malicious value of the target malicious website host name according to the latest malicious value of each associated malicious website host name of the target malicious website host name and the number of malicious outer links of each associated malicious website host name.
  • the first evaluation module is further configured to obtain a malicious value of each target malicious link by using multiple rounds of iterative manner, and set an initial malicious value for each target malicious link in the first round of processing; the second evaluation module is further configured to The malicious value of each target malicious website host name is obtained through multiple rounds of iteration, and the initial malicious value is set for each target malicious website host name in the first round of processing.
  • links embedded in malicious links or suspicious links include: Other links that are automatically executed when a malicious link or suspicious link is accessed.
  • new suspicious links embedded in other links hit dangerous malicious website hostname collections or dangerous malicious link collections include: new suspicious links embedded in other linked website hostnames, at least dangerous malicious website hostnames The host name of a website in the collection; or, other links embedded in the new suspicious link, at least one of the links in the dangerous malicious link collection.
  • the first behavior detector is specifically a hanging horse behavior detector
  • the malicious behavior detection is specifically a malicious behavior detection of a hanging horse, a malicious malicious specific link, and other malicious links embedded in the malicious link are specifically malicious.
  • Other malicious hanging horse links embedded in the horse link are specifically malicious.
  • a method for detecting a malicious link includes a link address of various malicious network resources in the Internet, including: performing malicious behavior on at least a suspicious link detected by the client device Detect, detect if it is a malicious link, and detect malicious behavior for other embedded links that are detected as malicious links, Detecting other malicious links embedded in the malicious link; at least according to the embedded relationship between the malicious links, evaluating the malicious value of each malicious link, and evaluating the malicious value of the malicious website host name associated with each malicious link, and according to the detection
  • the new malicious link updates the malicious value of the related malicious link or the malicious website host name; the malicious malicious value is higher than the first preset threshold, and the malicious name is high.
  • the detection device According to the network security management device, the detection device, the system and the method for detecting a malicious link according to the present invention, more suspicious links and malicious links can be detected quickly, thereby solving the problem that the prior art cannot quickly detect as many malicious as possible.
  • the technical problem of the link has the beneficial effect of being able to quickly detect a large number of malicious links.
  • FIG. 1 shows a schematic diagram of a system for detecting a malicious link according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram showing an inline relationship between malicious links according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram showing the association relationship between malicious website host names according to an embodiment of the present invention.
  • FIG. 4 shows a flow diagram of a method for detecting a malicious link, in accordance with one embodiment of the present invention
  • Figure 5 illustrates a flow chart of a detection method for detecting a malicious link in accordance with one embodiment of the present invention. detailed description
  • Embodiments of the present invention are applicable to computer systems/servers that can operate with numerous other general purpose or special purpose computing system environments or configurations.
  • Examples of well-known computing systems, environments, and/or configurations suitable for use with computer systems/servers include, but are not limited to: personal computer systems, server computer systems, thin clients, thick clients, handheld or laptop devices, based on Microprocessor systems, set-top boxes, programmable consumer electronics, networked personal computers, small computer systems, large computer systems, and distributed cloud computing technology environments including any of the above, and the like.
  • the computer system/server can be described in the general context of computer system executable instructions (such as program modules) executed by the computer system.
  • program modules may include routines, programs, target programs, components, logic, data structures, and the like, which perform particular tasks or implement particular abstract data types.
  • the computer system/server can be implemented in a distributed cloud computing environment where tasks are performed by remote processing devices that are linked through a communications network.
  • program modules can be located on a local or remote computing system storage medium including storage devices.
  • FIG. 1 there is shown a schematic diagram of a system for detecting a malicious link, the system including a server device 100 and a client device 200, wherein the server device includes at least a malicious link for detecting a malicious link, according to an embodiment of the present invention.
  • Network security management device 110 includes a first behavior detector 112, a first behavior evaluator 114, a first acquirer 116, and a first filter 118;
  • the client device includes at least a detection device 210 for detecting a malicious link.
  • the detecting device 210 includes a second behavior detector 212, a second acquirer 214, and a second link detector 216.
  • the second behavior detector 212 in the client side detection device 200 detects suspicious behavior of the network resources, including but not limited to web pages, video, audio, and the like in the Internet.
  • the client side pre-maintains a suspicious behavior signature library in which features of suspicious behavior (characteristics of suspicious program behavior) are recorded, including but not limited to calling certain system functions during access to a web page, Execution loads some specific code, allocates suspicious memory, saves certain files to suspicious locations, or generates memory overflows.
  • These suspicious behaviors can be detected by the client-side detection device 200 according to the past.
  • the eigenvalues of historical data are summarized. It can also be the encrypted feature value or program behavior obtained from the server side.
  • the specific content of the suspicious behavior can be continuously updated, and the types can be continuously enriched.
  • the server can use a decision tree similar to that.
  • a method such as a Yes algorithm, a neural network domain calculation, or a simple threshold analysis for machine learning, etc., various suspicious behaviors and various suspicious behaviors that are learned by the client side in various ways are used in the embodiment of the present invention. It is applicable, and the present invention is not limited thereto.
  • the second behavior detector 212 monitors and detects the current access process and behavior according to the known suspicious behavior feature library. Since the client side stores various private files of the user, and the running analysis capability of the client side is also limited, the second behavior detector 212 generally intercepts the suspicious behavior and generally intercepts the user's consent. The current operation will continue to prevent the hazard from actually occurring.
  • the client For example, if it is detected that a currently registered webpage link is calling a suspicious system function, then the client generally does not let the call continue, and thus it is impossible to know which programs are executed after the subsequent suspicious function is called or Which documents are downloaded, so the client cannot accurately determine whether the link of the webpage is really a malicious link, and can only be determined as a suspicious link, and then report the suspicious link to the network security management device 110 on the server side for further detection and confirmation.
  • the server and the client feedback are linked, and multiple server clusters are kept in parallel for task processing.
  • the first behavior detector 112 of the network security management device 110 After receiving the suspicious link information from the client side, the first behavior detector 112 of the network security management device 110 performs malicious behavior detection on the suspicious links to detect whether it is a malicious link. Specifically, because the server-side analysis capability is stronger, there is A variety of more advanced and authoritative testing methods to further confirm suspicious links. For example, without affecting the overall network environment security of the server, the entire access or download process of the suspicious link can be completed in a running environment such as a virtual machine, and the program execution is completed, for example, the call of the suspicious system function is completed, and the loading is completed. Suspicious code, allocation of suspicious memory space, etc., to detect what code was downloaded, what files were downloaded, what suspicious system functions were called, and even continued to execute the program during the link access or download.
  • the server can use the server to update the malicious feature database, black and white list, etc., which is more timely and comprehensive than the client, and can further confirm and confirm the suspicious link reported by the client. It should be noted that the server has more powerful and timely detection means and resources than the client side.
  • the primary purpose of the first behavior detector 112 is to detect a true malicious link from the suspicious link notified by the client side for subsequent operations.
  • the first behavior detector 112 After the first behavior detector 112 detects the malicious link, further malicious behavior detection is performed on the other links embedded in the malicious links, and other malicious links embedded in the malicious links are detected.
  • Other links embedded in the malicious link may be other links that are automatically executed during the process of accessing, executing the malicious link, or other links that are automatically redirected.
  • the first behavior detector 112 monitors the network port, and after accessing a malicious link, the data information provided by the network port is used to know which other links are automatically opened (or accessed) while accessing the malicious link. And these other links are the embedded links to the malicious link. In turn, the first behavior detector 112 also accesses and executes these embedded links to determine which of the embedded links are malicious links. Through the above operations, the first behavior detector 112 can detect a number of malicious links and the embedded relationship between these malicious links.
  • the first behavior detector 112 first detects that an A link is a malicious link.
  • a link hxxp: //www.cqcmc.cn/xxx/xxx/?li st_5. html .
  • the first behavior detector 12 detects whether the B link is a malicious link by using various detection means as described above, and if yes, it can be determined that the B link is a malicious link A.
  • Linked embedded malicious links By analogy, in this way, the first behavior detector 112 can detect a number of malicious links and their embedded malicious links, and thus the embedded relationship between the malicious links.
  • the first behavior evaluator 114 is within the respective malicious links provided by the first behavior detector 112. Embedding relationships, evaluating malicious values for each malicious link. Specifically, for convenience of description, a malicious link to be evaluated for a malicious value is referred to as a target malicious link, and other malicious links embedded in the target malicious link are referred to as embedded malicious links of the target malicious link, each embedded malicious The number of malicious links in the link is the total number of all malicious links with the embedded malicious link as an embedded link.
  • Figure 2 which shows a schematic diagram of a link relationship for evaluating malicious values for malicious links.
  • the malicious link A in the figure is the target malicious link of the malicious value to be evaluated, according to the first behavior detector 112
  • the malicious link A has three embedded malicious links, that is, the link B, the link C, and the link D are the first behavior.
  • Detector 112 detects the confirmed malicious link.
  • the link E is actually the embedded link of the malicious link A, but since the link E is a non-malicious link, it is not referred to when evaluating the malicious value of the target malicious link A; further, it is assumed that the access link A
  • the jump execution link F is automatically executed, but the link F is a link within the same website as the link A.
  • the domain names of the two links are the same, then when evaluating the malicious value of the target malicious link A, whether or not the link F is A malicious link does not consider the link F. That is, when evaluating the malicious value of a malicious link, only the embedded relationship between different websites is considered, and the embedded relationship between the links in the same website is not considered.
  • the other malicious links embedded in the target malicious link are limited to malicious links that are not the same website, in other words, the malicious links of the target malicious link embedded in the non-same website, the malicious links embedded in the malicious link of the target.
  • Other malicious links to the same website embedded in the target malicious link are not used to calculate the malicious value of the target malicious link, but can further analyze whether the embedded malicious link also embeds malicious links of other websites, that is, the target malicious Other malicious links on the same website embedded in the website as a new malicious link to analyze and comment Estimate its malicious value.
  • other malicious links embedded in the target malicious link are not necessarily limited to embedded malicious links that are not the same website, that is, the embedded malicious links of the same website also participate in the calculation.
  • the malicious value of the target malicious link In this case, various malicious links embedded in the target malicious link, including those in the same website, may also contain embedded malicious links in the same website that are malicious links of the target. . Therefore, the above two solutions are all within the protection scope of the present invention, and different solutions may be implemented according to different application scenarios.
  • the first behavior evaluator 114 When evaluating the malicious value of each target malicious link, it is mainly performed by the first behavior evaluator 114.
  • the first behavior evaluator 114 can include a first identification module and a first evaluation module.
  • the first identification module identifies all embedded malicious links of the target malicious link and the number of malicious outer links of each embedded malicious link according to the embedded relationship between the malicious links provided by the first behavior detector 112. Still taking FIG. 2 as an example, the first identification module first identifies, according to the information provided by the first detector 112, all embedded malicious links of the target malicious link A are malicious links 13, C, Do, and then count each embedded. The number of malicious links to a malicious link. As can be seen from Figure 2, the malicious link B is not only the embedded malicious link of the malicious link A, but also the malicious link of the malicious link G, H, and I, so that the malicious external link of the embedded malicious link B of A can be known.
  • the number is 4; for the same reason, the number of malicious outer links that know A's embedded malicious link C is 3 (the malicious outer links are links, J, K respectively), and the number of malicious outer links of A's embedded malicious link D is 1 ( The malicious outer chain only has a link A).
  • the first identification module notifies the first evaluation module that the statistical information is based on the latest malicious value of each embedded malicious link of the target malicious link, and the number of malicious external links of each embedded malicious link. Evaluate the malicious value of a targeted malicious link.
  • the first evaluation module may include: a first ratio sub-module, configured to obtain a ratio of a latest malicious value of each embedded malicious link of the target malicious link to a number of malicious outer links of the embedded malicious link; a first accumulating submodule, configured to accumulate a ratio of a latest malicious value of each embedded malicious link of the target malicious link to a corresponding malicious outer chain number, to obtain a first accumulated value; and a first weighting submodule, configured to The first accumulated value is multiplied by the first weight and added to the second weight to obtain a malicious value of the target malicious link.
  • a first ratio sub-module configured to obtain a ratio of a latest malicious value of each embedded malicious link of the target malicious link to a number of malicious outer links of the embedded malicious link
  • PR () indicates the malicious value of the related malicious link (also called the rank value)
  • links () indicates the number of malicious links of the related malicious link
  • a corresponds to the aforementioned first weight
  • b corresponds to the aforementioned Two weights.
  • An initial value can be assigned to the malicious value of all malicious links at the beginning. It should be noted that the initial value, the weight a, and the weight b may be set according to actual application scenario requirements or experience, and the embodiment of the present invention is not limited thereto. In most cases, the sum of the weights a and b can be limited to 1. Of course, in some cases, it is not even possible to set the values of the actual meanings for the weights a and b. Assume that in one embodiment, a is set to 0.15, b is set to 0.85, and the initial malicious value of each malicious link is set to 1.
  • links (B) 4
  • links (C) 3
  • the malicious value of malicious link A is 1.4958.
  • the malicious value of other malicious links in the first round can also be evaluated, such as malicious link B, Malicious values of C, D, G, etc.
  • the first evaluation module can obtain the malicious value of each target malicious link through multiple rounds of iterative manner, and set an initial malicious value for each target malicious link in the first round of processing, and the malicious value of the related malicious link brought in each subsequent round of processing is The result calculated in the last round; after multiple rounds of iteration, the malicious value of each target malicious link tends to be constant when the amount of malicious link data and the embedded relationship between malicious links are not updated. That is, you can get a malicious value that is closer to the actual.
  • the first behavior detector 112 detects a new malicious link, the first behavior evaluator can recalculate the malicious value of the related malicious link in a timely or periodic manner, that is, update. The higher the malicious value, the more likely the malicious link is to be a source link. This malicious link may infect many other links or websites
  • the first behavior evaluator 114 evaluates the malicious value for each malicious link based on the embedded relationship between the malicious links detected by the first behavior detector 112. In another embodiment of the present invention, the first behavior evaluator 114 may also evaluate the malicious value of the malicious website host name associated with each malicious link according to the embedded relationship between the malicious links. And updating the malicious value of the related malicious link or the malicious website host name according to the new malicious link detected by the first behavior detector 112.
  • the first behavior evaluator 114 can include a second identification module and a second evaluation module.
  • the host name of the malicious website to be evaluated for the malicious value is the host name of the target malicious website, and the host name of the malicious website to which the malicious link embedded in each malicious link of the target malicious website host belongs is associated with the host name of the target malicious website. Associate the malicious website hostname.
  • FIG. 3 is a schematic diagram of the association relationship between host names of malicious websites according to an embodiment of the present invention.
  • the first behavior evaluator 114 detects that the first behavior detector 112 detects that there are 4 malicious links under the host name aaa of the website, for example, www.aaa.com/a, www.aaa.com/b, www.aa. Com/c and www.aaa.com/d, where www.aaa.com/a has an embedded malicious link www.bbb.com/h, www.aaa.com/c also has an embedded malicious link www. Ccc. com/ g, www. aaa. com/b and www. aaa. com/ d No embedded malicious links.
  • the malicious embedded link www.bbb.com/h belongs to the website host name is bbb
  • the embedded malicious link www.ccc.com/g belongs to the website host name is ccc, which can be seen, with the target malicious
  • the host name of the associated malicious website with the host name aaa of the website is "bbb" and "ccc" respectively.
  • the number of malicious external links of each associated malicious website host name is specifically the sum of the number of malicious external links of all malicious links under the host name of the associated malicious website. For example, suppose there are three malicious links under the hostname of the "bbb" website, namely ww.bbb.com/h, ww.bbb.com/i, and ww.bbb.com/k. Among them, w ww. bbb. com / h are malicious links G ( www. aa. com / a ), malicious links H embedded embedded malicious links, that is, the number of malicious links of w ww. bbb.
  • the number of malicious links in www.bbb.com/i is 3; ww. bbb.
  • the number of malicious external links of the associated malicious website host name ccc associated with the malicious website host name aaa can be counted, for example, 2.
  • the second identification module can identify all associated malicious website host names of each target malicious website host name and the number of malicious external links of each associated malicious website host name according to the embedded relationship between the malicious links. Then, the second evaluation module, the root The malicious value of the target malicious website host name is evaluated according to the latest malicious value of the associated malicious website host name of the target malicious website host name and the number of malicious external links of each associated malicious website host name.
  • the second evaluation module may include: a second ratio sub-module, configured to obtain the latest malicious value of each associated malicious website host name of the target malicious website host name and the associated malicious website host name The ratio of the number of malicious outer links; the second accumulating submodule, configured to accumulate the ratios of the latest malicious values of the associated malicious website host names of the target malicious website host name and the corresponding malicious outer chain numbers to obtain a second accumulated value And a second weighting submodule, configured to multiply the second accumulated value by the third weight and add the fourth weight to obtain a malicious value of the host name of the target malicious website.
  • a second ratio sub-module configured to obtain the latest malicious value of each associated malicious website host name of the target malicious website host name and the associated malicious website host name The ratio of the number of malicious outer links
  • the second accumulating submodule configured to accumulate the ratios of the latest malicious values of the associated malicious website host names of the target malicious website host name and the corresponding malicious outer chain numbers to obtain a second accumulated value
  • PR (a) A+ B * ( PR(b)/links(b) + PR (c) /links (c) + PR (d) /links (d) + )
  • PR () indicates the malicious value of the host name of the related malicious website (also called the rank value)
  • links () indicates the number of malicious links of the host name of the related malicious website
  • A is equivalent to the aforementioned third weight
  • B is equivalent In the aforementioned fourth weight.
  • the initial value of the malicious value of all malicious website host names can be assigned at the beginning. It should be noted that the initial value, the weight A, and the weight B can be set to different values according to actual application scenario requirements or experience, and the embodiment of the present invention is not limited thereto. In most cases, the sum of the weights A and B can be limited to 1. Of course, in some cases it is even possible not to set the actual value of the weights A and B. Assume that in one embodiment, A is set to 0.15, B is set to 0.85, and the initial malicious value of each malicious website hostname is set to 1.
  • the malicious value of the host name aaa of the malicious website is 0.745.
  • the malicious value of the host name of other malicious websites in the first round can also be evaluated. , such as malicious website host name bbb, ccc, etc. Meaning. If there is a malicious link under the host name of the general website, it can be called the host name of the malicious website, and then its malicious value can be evaluated. In the case that the amount of malicious link data and the embedded relationship between malicious links are not updated, the malicious value of the host name of each target malicious website tends to be constant after multiple iterations of calculation, that is, one can be obtained. Relatively close to the actual malicious value.
  • the first behavior evaluator can recalculate the malicious value of the relevant malicious website host name in time or periodically, that is, update. The higher the malicious value, the more likely the hostname of the malicious website is to be a hang-up website and may infect many other websites or links.
  • the first behavior evaluator 114 may only evaluate malicious values for malicious links, or may only evaluate malicious values for malicious website host names, and may also evaluate malicious links and malicious website host names at the same time. All are within the scope of protection of the present invention. After the first behavior evaluator 114 evaluates the malicious values of the malicious links and/or the malicious website host names, the first filter filters the related sets based on the results evaluated by the first behavior evaluator 114.
  • the first filter 118 filters out the malicious value higher than the first value.
  • the first filter 118 takes the 700 website host names as Dangerous malicious website host name collection, and then among the malicious links under the remaining 300 malicious website host names, select those malicious links whose malicious value is higher than the second preset threshold, and then these malicious links constitute a dangerous malicious link set.
  • the first filter 118 filters out the malicious value higher than the third value.
  • a malicious link with preset thresholds which in turn constitutes a malicious malicious link set.
  • the first filter 118 filters out the malicious value.
  • the malicious link of the fourth preset threshold, and then the filtered malicious website host names constitute a set of dangerous malicious website host names.
  • the specific numbers of the first, second, third and fourth preset thresholds above may be comprehensively considered according to various factors such as experience, actual demand indicator, and the like. These four values may be the same or different, and the embodiments of the present invention have no limitation on these. It can be seen that, in essence, the various sets filtered by the first filter 1 18 are derived from the analysis of the suspicious links reported by the client-side second behavior detector 212.
  • the information of the dangerous malicious website host name set and/or the dangerous malicious link set is notified to the second acquirer 214 of the client device 100. Further, the second acquirer 214 notifies the second link detector 216 of the obtained dangerous malicious website host name set and/or the dangerous malicious link set, and the second link detector 216 according to the dangerous malicious website host name set and/or dangerous malicious link.
  • the collection detects new suspicious links.
  • the second link detector 216 detects what other embedded links (hereinafter referred to as inline links) of the subsequent new links are specifically monitored by the monitoring network port, and combines these embedded links with the dangerous malicious website host name and/or Or the content in the dangerous malicious link collection is compared, if the hit is detected, the new link is determined as a new suspicious link.
  • inline links embedded links
  • the second link detector 216 on the client side detects that the embedded link with a new link A includes the links B, C, and D, and thus the embedded links 13, C, D and the dangerous malicious link set delivered by the server end.
  • the link information comparison detects that there is also information of the link A in the dangerous malicious link set, and the second link detector 216 determines the link A as a new suspicious link.
  • the second link detector 216 detects a new link £, the embedded link is www. aaa.com.cn/XXX, and then the host name "aaa" of the www.aa.com.cn/XXX is connected to the server The information in the host name collection of the dangerous malicious website is sent.
  • Link E is determined to be a new suspicious link.
  • the host name of the other suspended link of the new suspicious link at least one of the host names of the host list of dangerous malicious websites; or other embedded links of the new suspicious link, At least one link in a collection of dangerous malicious links.
  • malware links or malicious website host names in malicious malicious malicious link collections and malicious malicious website host names are relatively malicious, that is, they are likely to be the real source of infection, such as the real source of the horse.
  • Linking or hanging the host name of the Mayuan website, not just the infected person a source of infection usually infects many websites, because In this way, the source of the infection is found through some websites, and then the infected website can detect more infected websites. In this way, the number of websites detecting the suspicious links by the client device 200 is expanded, and the detection is suspicious. The efficiency of the link, so it can quickly collect a large number of malicious links or malicious website information, thus providing better protection for network security.
  • the second link detector 216 After the second link detector 216 detects a new suspicious link based on the set of dangerous malicious website host names and/or the dangerous malicious link set, it sends it to the first acquirer 116 of the server device 100, and the first acquirer 116 The acquired new suspicious link information is transmitted to the first behavior detector 112 for malicious behavior detection. If the first behavior detector 112 confirms that it is a malicious link, the first behavior evaluator 114 is notified, and the first behavior evaluator 114 Detecting the original malicious database used to calculate the malicious link or the malicious website host name does not contain the malicious link.
  • the first behavior evaluator 114 can re Calculate the malicious value of the relevant malicious link and/or the host name of the malicious website, so as to continuously correct the malicious value of the host name or malicious link of the related malicious website according to the increase of the data amount, so that the malicious value is closer to the real situation, and can be more Accurately reflect the malicious link or malicious website host through malicious values Is the source of the infection or the infected person?
  • the so-called infected person means that the website itself has no problem, but the malicious attack by the source of the infection is infected with the virus, such as the normal website of the horse, rather than the real website. .
  • the solution provided by the foregoing embodiments can be used for detecting a plurality of malicious links or malicious websites, for example, detecting a horse, correspondingly, the first behavior detector is specifically a horse-hanging behavior detector, and the malicious behavior detection is specifically a horse hanging.
  • Malicious behavior detection, malicious links specifically malicious horse links, other malicious links embedded in malicious links are specifically malicious malicious links linked by malicious links.
  • it can also be other virus detection similar to the hanging horse.
  • the various technical solutions of the present invention can be basically adopted.
  • FIG. 4 there is shown a method for detecting a malicious link, including a link address of various malicious network resources in the Internet, in accordance with one embodiment of the present invention. This method can be implemented on the server side.
  • step S410 at least the malicious link detected by the suspicious link detected by the client device is detected, whether the malicious link is detected, and the malicious behavior detection is performed on other embedded links detected as malicious links. Detecting malicious links Other malicious links embedded, and then proceed to step S420.
  • step S420 the malicious value is evaluated for each malicious link and/or the malicious value of the malicious website host name associated with each malicious link is evaluated according to at least the embedded relationship between the malicious links, and the new malicious link is detected according to the detected malicious link.
  • the malicious value of the related malicious link or the malicious website host name is updated; then, the process proceeds to step S430.
  • the dangerous malicious link set whose malicious value is higher than the first preset threshold and the malicious host value of the malicious website is higher than the second preset threshold, or only the malicious malicious link set is selected.
  • a malicious malicious website host name set with a malicious value higher than a third preset threshold, or only a dangerous malicious link set whose malicious value is higher than a fourth preset threshold, and then a dangerous malicious website host name set and/or dangerous malicious The information of the link collection is notified to the client device. This step allows you to find malicious links or malicious link host names that are likely to be the source of the infection, so that the client can detect other infected links or websites based on these most likely sources of virus infection. Thereafter, the process proceeds to step S440.
  • step S440 a new suspicious link detected by the client device based on the dangerous malicious website host name set and/or the dangerous malicious link set is acquired, and the new suspicious link is detected for malicious behavior, and the new suspicious link is embedded. Other links hit dangerous malicious website hostname collections or dangerous malicious link collections.
  • the server can obtain more suspicious links, and then detect more malicious link information.
  • step S410 can be performed by the first behavior detector 112 in the foregoing embodiments
  • step S420 can be performed by the first behavior evaluator 114
  • step S430 can be performed by the first filter 118
  • step S440 can be performed.
  • the first acquirer 116 and the first behavior detector 112 perform together.
  • step S510 the malicious behavior of the network resource is first detected, and the detected suspicious link is transmitted to the server device for further detection, and then proceeds to step S520, where the slave server is accessed in step S520.
  • the device obtains a collection of dangerous malicious website hostnames and/or dangerous malicious links.
  • the dangerous malicious website host name set is a set of malicious website link names that are filtered by the server device and whose malicious value is higher than the first preset threshold, and the dangerous malicious link set is filtered by the server.
  • the set of dangerous malicious website host names is a set of malicious website host names filtered by the server device that are higher than the third preset threshold.
  • the dangerous malicious link set is a malicious link set that is filtered by the server device and whose malicious value is higher than a fourth preset threshold.
  • the first, second, third, and fourth preset thresholds may be set according to actual needs or experience, and may be the same or different.
  • step S530 detecting a new suspicious link according to the dangerous malicious website host name set and/or the dangerous malicious link set, and the other suspicious link embedded other links hit the dangerous malicious website host name set or the dangerous malicious link set, and then Transfer new suspicious links to server-side devices for detection and update of related malicious values, such as malicious values of related malicious links, or malicious values of related malicious website host names.
  • related malicious values such as malicious values of related malicious links, or malicious values of related malicious website host names.
  • the real virus infection source generally not only infects one or two websites, but also often infects many websites, which will become many embedded links of the original normal websites, so the embedded relationship between these viruses and other websites and links can be obtained through these viruses. Detect more infected websites or malicious links, which increases the detection efficiency and quantity of suspicious links.
  • step S510 can be performed by the second behavior detector 212 in the foregoing embodiments
  • step S520 can be performed by the second acquirer 214
  • step S530 can be performed by the second link detector 118.
  • the specific implementation of each step refer to the description of the related components in the foregoing, and details are not described herein again.
  • modules in the devices of the embodiments can be adaptively changed and placed in one or more devices different from the embodiment.
  • the modules or units or components of the embodiments may be combined into one module or unit or component, and further they may be divided into a plurality of sub-modules or sub-units or sub-components.
  • any combination of the features disclosed in the specification, including the accompanying claims, the abstract and the drawings, and any methods so disclosed, or All processes or units of the device are combined.
  • Each feature disclosed in the specification (including the accompanying claims, the abstract and the drawings) may be replaced by alternative features that provide the same, equivalent, or similar purpose, unless stated otherwise.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some of the means for detecting malicious links or some or all of the components of the detection device in accordance with embodiments of the present invention. Or all features.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • Such a program implementing the invention may be stored on a computer readable medium or may have the form of one or more signals Style. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种用于检测恶意链接的设备、方法及系统。其中，设备包括：第二行为检测器，被配置为对网络资源的可疑行为进行检测，将检测出的可疑链接传输至服务器端设备进行进一步检测；第二获取器，被配置为获取服务器端设备基于第二行为检测器提供的可疑链接确定的危险恶意网站主机名集合和危险恶意链接集合；第二链接检测器，被配置为根据第二获取器获取的危险恶意网站主机名集合和危险恶意链接集合检测出新的可疑链接，并将新的可疑链接传输至服务器端设备进行检测及更新相关恶意值，新的可疑链接的内嵌的其他链接命中危险恶意网站主机名集合或危险恶意链接集合。

Description

一种用于检测恶意链接的设备、 方法及系统 技术领域
本发明涉及网络安全技术领域， 具体涉及一种用于检测恶意链接 的网络安全管理设备、 检测设备、 方法及系统。 背景技术
随着互联网的发展， 各种计算机恶意程序的攻击方式变得越来越 层出不穷。 比如类似挂马类的恶意程序攻击手段多种多样， 比如， 包 括 SQL ( Structured Query Language , 结构化查询语言） 注入， 网站 敏感文件扫描， 服务器漏洞， 网站程序 Oday等各种方法获得网站管理 员账号， 然后登陆网站后台， 通过数据库备份 /恢复或者上传漏洞获得 一个 webshel l (web入侵的脚本攻击工具） 。 利用获得的 webshel l修 改网站页面的内容， 向页面中加入恶意转向代码。 也可以直接通过弱 口令获得服务器或者网站 FTP ( Fi le Transfer Protocal , 文件传输协 议） ， 然后直接对网站页面直接进行修改。 当访问被加入恶意代码的 页面时， 就会自动的访问被转向的地址或者下载木马病毒。
在整个挂马检测的防御体系中，关于恶意 URL( Universal Resource Locator, 统一资源定位符） 的收集就是一个非常重要的环节， 如何能 够更快速更全面收集到恶意 URL，将决定杀毒软件查杀挂马网站是否及 时， 是否有效。
现有的一种检测挂马网站方案是， 反挂马蜘蛛从一些漏洞扫描后 收集的高危网站作为种子开始抓取， 通过对新发现的页面做链接分析， 从中获取新的 URL， 然后对新的 URL进行下载， 下载后的内容提交给挂 马识别系统。 对于基于种子进行抓取的检测系统， 由于种子页面仅仅 是高危网站， 但未必是被挂马的网站， 所以无法快速的检测挂马网站， 同时覆盖率也就不够全面。
现有的另一种方案是， 检测系统通过客户端软件来探测发现高危 网站， 发现后将数据反馈到蜘蛛系统， 由蜘蛛系统进行下载并递交后 续分析系统。 对于这种基于客户端探测的检测系统， 由于黑客入侵后 嵌入的恶意攻击代码可以随时停止， 所以经常无法检测到有恶意行为， 也就无法将被攻击的网址回传到服务端检测系统， 在检测手法上比较 被动。 因此， 这种方案也无法快速发现检测到尽量多的挂马网站， 并 且也无法检测到尽量多的挂马网站。 发明内容
鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至 少部分地解决上述问题的用于检测恶意链接的网络安全管理设备、 检 测设备、 系统和相应的用于检测恶意链接的方法。
依据本发明的一个方面， 提供了一种用于检测恶意链接的网络安 全管理设备， 恶意链接是互联网中恶意的网络资源的链接地址， 包括: 第一行为检测器， 被配置为至少对客户端设备检测出的可疑链接进行 恶意行为检测， 检测是否为恶意链接， 以及对检测为恶意链接的内嵌 的其他链接进行恶意行为检测， 检测出恶意链接的内嵌的其他恶意链 接； 第一行为评估器， 被配置为至少根据第一行为检测器检测出的各 恶意链接之间的内嵌关系， 对各恶意链接评估恶意值， 并对各恶意链 接相关的恶意网站主机名评估恶意值， 以及根据第一行为检测器检测 出的新的恶意链接对相关恶意链接或恶意网站主机名的恶意值进行更 新； 第一筛选器， 被配置为根据第一行为评估器评估出的结果， 筛选 出恶意值高于第一预置阈值的危险恶意网站主机名集合和其余恶意网 站主机名下、 恶意值高于第二预置阈值的危险恶意链接集合， 并将危 险恶意网站主机名集合和危险恶意链接集合的信息通知至客户端设 备； 第一获取器， 被配置为获取客户端设备基于危险恶意网站主机名 集合和危险恶意链接集合检测出的新的可疑链接， 并将新的可疑链接 传输至第一行为检测器进行检测， 新的可疑链接的内嵌的其他链接命 中危险恶意网站主机名集合或危险恶意链接集合。
可选的， 待评估恶意值的恶意链接为目标恶意链接， 目标恶意链 接的内嵌的其他恶意链接为目标恶意链接的内嵌恶意链接， 每个内嵌 恶意链接的恶意外链数目具体是以该内嵌恶意链接作为内嵌的链接的 所有恶意链接的总数， 第一行为评估器包括： 第一识别模块， 被配置 为根据各恶意链接之间的内嵌关系， 识别出目标恶意链接的所有内嵌 恶意链接以及每个内嵌恶意链接的恶意外链数目； 第一评估模块， 被 配置为根据第一识别模块识别出的目标恶意链接的各内嵌恶意链接的 最新恶意值， 和每个内嵌恶意链接的恶意外链数目， 评估目标恶意链 接的恶意值。
可选的， 待评估恶意值的恶意网站主机名为目标恶意网站主机名， 目标恶意网站主机名下各恶意链接的内嵌的其他恶意链接所属的恶意 网站主机名， 是与目标恶意网站主机名具有关联关系的关联恶意网站 主机名， 每个关联恶意网站主机名的恶意外链数目具体是该关联恶意 网站主机名下所有恶意链接的恶意外链数目之和， 第一评估器包括： 第二识别模块， 被配置为根据各恶意链接之间的内嵌关系， 识别出目 标恶意网站主机名的所有关联恶意网站主机名， 以及每个关联恶意网 站主机名的恶意外链数目； 第二评估模块， 被配置为根据目标恶意网 站主机名的各关联恶意网站主机名的最新恶意值， 以及每个关联恶意 网站主机名的恶意外链数目， 评估目标恶意网站主机名的恶意值。
可选的， 第一评估模块还被配置为通过多轮迭代方式获得各目标 恶意链接的恶意值， 在第一轮处理时为各目标恶意链接设置初始恶意 值； 第二评估模块还被配置为通过多轮迭代方式获得各目标恶意网站 主机名的恶意值， 在第一轮处理时为各目标恶意网站主机名设置初始 恶意值。
可选的， 恶意链接或可疑链接的内嵌的其他链接包括： 访问恶意 链接或可疑链接时被自动执行的其他链接。
可选的， 新的可疑链接的内嵌的其他链接命中危险恶意网站主机 名集合或危险恶意链接集合包括： 新的可疑链接的内嵌的其他链接的 网站主机名， 至少是危险恶意网站主机名集合中的一个网站主机名； 或者， 新的可疑链接的内嵌的其他链接， 至少是危险恶意链接集合 中的一个链接。
可选的， 第一行为检测器具体是挂马行为检测器， 的恶意行为检 测具体是挂马恶意行为检测， 恶意链接具体恶意挂马链接， 恶意链接 的内嵌的其他恶意链接具体为恶意挂马链接的内嵌的其他恶意挂马链 接。
根据本发明的另一方面， 提供了一种用于检测恶意链接的方法， 恶意链接包括互联网中各种恶意的网络资源的链接地址， 包括： 至少 对客户端设备检测出的可疑链接进行恶意行为检测， 检测是否为恶意 链接， 以及对检测为恶意链接的内嵌的其他链接进行恶意行为检测， 检测出恶意链接的内嵌的其他恶意链接； 至少根据各恶意链接之间的 内嵌关系， 对各恶意链接评估恶意值， 并对各恶意链接相关的恶意网 站主机名评估恶意值， 以及根据检测出的新的恶意链接对相关恶意链 接或恶意网站主机名的恶意值进行更新； 筛选出恶意值高于第一预置 阈值的危险恶意网站主机名集合和其余恶意网站主机名下、 恶意值高 于第二预置阈值的危险恶意链接集合， 并将危险恶意网站主机名集合 和危险恶意链接集合的信息通知至客户端设备； 获取客户端设备基于 危险恶意网站主机名集合和危险恶意链接集合检测出的新的可疑链 接， 并将新的可疑链接进行恶意行为检测， 新的可疑链接的内嵌的其 他链接命中危险恶意网站主机名集合或危险恶意链接集合。
根据本发明的又一方面， 提供了一种用于检测恶意链接的检测设 备， 恶意链接包括互联网中恶意的网络资源的链接地址， 该检测设备 包括： 第二行为检测器， 被配置为对网络资源的可疑行为进行检测， 将检测出的可疑链接传输至服务器端设备进行进一步检测； 第二获取 器， 被配置为获取服务器端设备基于第二行为检测器提供的可疑链接 确定的危险恶意网站主机名集合和危险恶意链接集合， 危险恶意网站 主机名集合是服务器端设备筛选出的恶意值高于第一预置阈值的各恶 意网站主机名的集合， 危险恶意链接集合是服务器端筛选出的危险恶 意网站主机名集合以外的其余恶意网站主机名下、 恶意值高于第二预 置阈值的各恶意链接的集合； 第二链接检测器， 被配置为根据第二获 取器获取的危险恶意网站主机名集合和危险恶意链接集合检测出新的 可疑链接， 并将新的可疑链接传输至服务器端设备进行检测及更新相 关恶意值， 新的可疑链接的内嵌的其他链接命中危险恶意网站主机名 集合或危险恶意链接集合。
根据本发明的又一方面， 提供了一种用于检测恶意链接的检测方 法， 恶意链接包括互联网中恶意的网络资源的链接地址， 包括： 对网 络资源的恶意行为进行检测， 将检测出的可疑链接传输至服务器端设 备进行进一步检测； 从服务器端设备获取危险恶意网站主机名集合和 危险恶意链接集合， 危险恶意网站主机名集合是服务器端设备筛选出 的恶意值高于第一预置阈值的各恶意网站主机名的集合， 危险恶意链 接集合是服务器端筛选出的危险恶意网站主机名集合以外的其余恶意 网站主机名下、 恶意值高于第二预置阈值的各恶意链接的集合； 根据 危险恶意网站主机名集合和危险恶意链接集合检测出新的可疑链接， 并将新的可疑链接传输至服务器端设备进行检测及更新相关恶意值， 新的可疑链接的内嵌的其他链接命中危险恶意网站主机名集合或危险 恶意链接集合。
根据本发明的又一方面， 提供了一种用于检测恶意链接的网络安 全管理设备， 恶意链接包括互联网中恶意的网络资源的链接地址， 包 括： 第一行为检测器， 被配置为至少对客户端设备检测出的可疑链接 进行恶意行为检测， 检测是否为恶意链接， 以及对检测为恶意链接的 内嵌的其他链接进行恶意行为检测， 检测出恶意链接的内嵌的其他恶 意链接； 第一行为评估器， 被配置为至少根据第一行为检测器检测出 的各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值， 以及根据 第一行为检测器检测出的新的恶意链接对相关恶意链接的恶意值进行 更新； 第一筛选器， 被配置为根据第一行为评估器评估出的结果， 筛 选出恶意值高于第二预置阈值的危险恶意链接集合， 并将危险恶意链 接集合的信息通知至客户端设备； 第一获取器， 被配置为获取客户端 设备基于危险恶意链接集合检测出的新的可疑链接， 并将新的可疑链 接传输至第一行为检测器进行检测， 新的可疑链接的内嵌的其他链接 命中危险恶意链接集合。
根据本发明的又一方面， 提供了一种用于检测恶意链接的检测设 备， 恶意链接包括互联网中恶意的网络资源的链接地址， 包括： 第二 行为检测器， 被配置为对网络资源的可疑行为进行检测， 将检测出的 可疑链接传输至服务器端设备进行进一步检测； 第二获取器， 被配置 为获取服务器端设备基于第二行为检测器提供的可疑链接确定的危险 恶意链接集合， 危险恶意链接集合是服务器端筛选出的恶意值高于第 二预置阈值的各恶意链接的集合； 第二链接检测器， 被配置为根据第 二获取器获取的危险恶意链接集合检测出新的可疑链接， 并将新的可 疑链接传输至服务器端设备进行检测及更新相关恶意值， 新的可疑链 接的内嵌的其他链接命中危险恶意链接集合。
根据本发明的又一方面， 提供了一种用于检测恶意链接的网络安 全管理设备， 恶意链接包括互联网中恶意的网络资源的链接地址， 包 括： 第一行为检测器， 被配置为至少对客户端设备检测出的可疑链接 进行恶意行为检测， 检测是否为恶意链接， 以及对检测为恶意链接的 内嵌的其他链接进行恶意行为检测， 检测出恶意链接的内嵌的其他恶 意链接； 第一行为评估器， 被配置为至少根据第一行为检测器检测出 的各恶意链接之间的内嵌关系， 对各恶意链接相关的恶意网站主机名 评估恶意值， 以及根据第一行为检测器检测出的新的恶意链接对相关 的恶意网站主机名的恶意值进行更新； 第一筛选器， 被配置为根据第 一行为评估器评估出的结果， 筛选出恶意值高于第一预置阈值的危险 恶意网站主机名集合， 并将危险恶意网站主机名集合的信息通知至客 户端设备； 第一获取器， 被配置为获取客户端设备基于危险恶意网站 主机名集合检测出的新的可疑链接， 并将新的可疑链接传输至第一行 为检测器进行检测， 新的可疑链接的内嵌的其他链接命中危险恶意网 站主机名集合。
根据本发明的又一方面， 提供了一种用于检测恶意链接的检测设 备， 恶意链接包括互联网中各种恶意的网络资源的链接地址， 包括： 第二行为检测器， 被配置为对网络资源的可疑行为进行检测， 将检测 出的可疑链接传输至服务器端设备进行进一步检测； 第二获取器， 被 配置为获取服务器端设备至少基于第二行为检测器提供的可疑链接确 定的危险恶意网站主机名集合， 危险恶意网站主机名集合是服务器端 设备筛选出的恶意值高于第一预置阈值的各恶意网站主机名的集合； 第二链接检测器， 被配置为根据第二获取器获取的危险恶意网站主机 名集合检测出新的可疑链接， 并将新的可疑链接传输至服务器端设备 进行检测及更新相关恶意值， 新的可疑链接的内嵌的其他链接命中危 险恶意网站主机名集合。
根据本发明的又一方面， 提供了一种用于检测恶意链接的系统， 包括服务器端设备和客户端设备：服务器端设备包括前述任一的网络 安全管理设备， 客户端设备前述任一的检测设备。
依据本发明的又一个方面， 提供了一种用于检测恶意链接的系统， 包括服务器端设备和客户端设备； 所述服务器端设备包括网络安全管 理设备， 所述客户端设备包括检测设备； 所述恶意链接包括互联网中 恶意的网络资源的链接地址， 其中， 所述检测设备包括： 第二行为检 测器， 被配置为对网络资源的可疑行为进行检测， 将检测出的可疑链 接传输至服务器端设备进行进一步检测； 第二获取器， 被配置为获取 所述服务器端设备基于所述第二行为检测器提供的可疑链接确定的危 险恶意网站主机名集合和危险恶意链接集合， 所述危险恶意网站主机 名集合是服务器端设备筛选出的恶意值高于第一预置阈值的各恶意网 站主机名的集合， 所述危险恶意链接集合是服务器端筛选出的所述危 险恶意网站主机名集合以外的其余恶意网站主机名下、 恶意值高于第 二预置阈值的各恶意链接的集合； 第二链接检测器， 被配置为根据所 述第二获取器获取的危险恶意网站主机名集合和危险恶意链接集合检 测出新的可疑链接， 并将所述新的可疑链接传输至所述服务器端设备 进行检测及更新相关恶意值， 所述新的可疑链接的内嵌的其他链接命 中所述危险恶意网站主机名集合或所述危险恶意链接集合； 所述网络 安全管理设备包括： 第一行为检测器， 被配置为至少对客户端设备检 测出的可疑链接进行恶意行为检测， 检测是否为恶意链接， 以及对所 述检测为恶意链接的内嵌的其他链接进行恶意行为检测， 检测出所述 恶意链接的内嵌的其他恶意链接； 第一行为评估器， 被配置为至少根 据所述第一行为检测器检测出的各恶意链接之间的内嵌关系， 对各恶 意链接评估恶意值， 并对各恶意链接相关的恶意网站主机名评估恶意 值， 以及根据所述第一行为检测器检测出的新的恶意链接对相关恶意 链接或恶意网站主机名的恶意值进行更新； 第一筛选器， 被配置为根 据所述第一行为评估器评估出的结果， 筛选出恶意值高于第一预置阈 值的危险恶意网站主机名集合和其余恶意网站主机名下、 恶意值高于 第二预置阈值的危险恶意链接集合， 并将所述危险恶意网站主机名集 合和危险恶意链接集合的信息通知至所述客户端设备； 第一获取器， 被配置为获取客户端设备基于所述危险恶意网站主机名集合和所述危 险恶意链接集合检测出的新的可疑链接， 并将所述新的可疑链接传输 至所述第一行为检测器进行检测， 所述新的可疑链接的内嵌的其他链 接命中所述危险恶意网站主机名集合或所述危险恶意链接集合。
可选的， 待评估恶意值的恶意链接为目标恶意链接， 目标恶意链 接的内嵌的其他恶意链接为目标恶意链接的内嵌恶意链接， 每个内嵌 恶意链接的恶意外链数目具体是以该内嵌恶意链接作为内嵌的链接的 所有恶意链接的总数， 第一行为评估器包括： 第一识别模块， 被配置 为根据各恶意链接之间的内嵌关系， 识别出目标恶意链接的所有内嵌 恶意链接以及每个内嵌恶意链接的恶意外链数目； 第一评估模块， 被 配置为根据第一识别模块识别出的目标恶意链接的各内嵌恶意链接的 最新恶意值， 和每个内嵌恶意链接的恶意外链数目， 评估目标恶意链 接的恶意值。
可选的， 待评估恶意值的恶意网站主机名为目标恶意网站主机名， 目标恶意网站主机名下各恶意链接的内嵌的其他恶意链接所属的恶意 网站主机名， 是与目标恶意网站主机名具有关联关系的关联恶意网站 主机名， 每个关联恶意网站主机名的恶意外链数目具体是该关联恶意 网站主机名下所有恶意链接的恶意外链数目之和， 第一评估器包括： 第二识别模块， 被配置为根据各恶意链接之间的内嵌关系， 识别出目 标恶意网站主机名的所有关联恶意网站主机名， 以及每个关联恶意网 站主机名的恶意外链数目； 第二评估模块， 被配置为根据目标恶意网 站主机名的各关联恶意网站主机名的最新恶意值， 以及每个关联恶意 网站主机名的恶意外链数目， 评估目标恶意网站主机名的恶意值。
可选的， 第一评估模块还被配置为通过多轮迭代方式获得各目标 恶意链接的恶意值， 在第一轮处理时为各目标恶意链接设置初始恶意 值； 第二评估模块还被配置为通过多轮迭代方式获得各目标恶意网站 主机名的恶意值， 在第一轮处理时为各目标恶意网站主机名设置初始 恶意值。
可选的， 恶意链接或可疑链接的内嵌的其他链接包括： 访问恶意 链接或可疑链接时被自动执行的其他链接。
可选的， 新的可疑链接的内嵌的其他链接命中危险恶意网站主机 名集合或危险恶意链接集合包括： 新的可疑链接的内嵌的其他链接的 网站主机名， 至少是危险恶意网站主机名集合中的一个网站主机名； 或者， 新的可疑链接的内嵌的其他链接， 至少是危险恶意链接集合 中的一个链接。
可选的， 第一行为检测器具体是挂马行为检测器， 的恶意行为检 测具体是挂马恶意行为检测， 恶意链接具体恶意挂马链接， 恶意链接 的内嵌的其他恶意链接具体为恶意挂马链接的内嵌的其他恶意挂马链 接。
根据本发明的另一方面， 提供了一种用于检测恶意链接的方法， 恶意链接包括互联网中各种恶意的网络资源的链接地址， 包括： 至少 对客户端设备检测出的可疑链接进行恶意行为检测， 检测是否为恶意 链接， 以及对检测为恶意链接的内嵌的其他链接进行恶意行为检测， 检测出恶意链接的内嵌的其他恶意链接； 至少根据各恶意链接之间的 内嵌关系， 对各恶意链接评估恶意值， 并对各恶意链接相关的恶意网 站主机名评估恶意值， 以及根据检测出的新的恶意链接对相关恶意链 接或恶意网站主机名的恶意值进行更新； 筛选出恶意值高于第一预置 阈值的危险恶意网站主机名集合和其余恶意网站主机名下、 恶意值高 于第二预置阈值的危险恶意链接集合， 并将危险恶意网站主机名集合 和危险恶意链接集合的信息通知至客户端设备； 获取客户端设备基于 危险恶意网站主机名集合和危险恶意链接集合检测出的新的可疑链 接， 并将新的可疑链接进行恶意行为检测， 新的可疑链接的内嵌的其 他链接命中危险恶意网站主机名集合或危险恶意链接集合； 其中， 所 述恶意链接或可疑链接的内嵌的其他链接包括： 访问所述恶意链接或 可疑链接时被自动执行的其他链接。
根据本发明的用于检测恶意链接的系统及方法， 可以快速检测到 更多的可疑链接、 恶意链接， 由此解决了现有技术无法快速检测到尽 量多的恶意链接的技术问题， 取得了能够快速检测到大量恶意链接的 有益效果。
根据本发明的用于检测恶意链接的网络安全管理设备、 检测设备、 系统及方法， 可以快速检测到更多的可疑链接、 恶意链接， 由此解决 了现有技术无法快速检测到尽量多的恶意链接的技术问题， 取得了能 够快速检测到大量恶意链接的有益效果。
上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发 明的技术手段， 而可依照说明书的内容予以实施， 并且为了让本发明 的上述和其它目的、 特征和优点能够更明显易懂， 以下特举本发明的 具体实施方式。 附图说明
通过阅读下文优选实施方式的详细描述， 各种其他的优点和益处 对于本领域普通技术人员将变得清楚明了。 附图仅用于示出优选实施 方式的目的， 而并不认为是对本发明的限制。 而且在整个附图中， 用 相同的参考符号表示相同的部件。 在附图中：
图 1 示出了根据本发明一个实施例的用于检测恶意链接的系统示 意图； 图 2 示出了根据本发明一个实施例的恶意链接之间内嵌关系的示 意图；
图 3 示出了根据本发明一个实施例的恶意网站主机名之间关联关 系的示意图；
图 4 示出了根据本发明一个实施例的用于检测恶意链接的方法流 程图； 以及
图 5 示出了根据本发明一个实施例的用于检测恶意链接的检测方 法流程图。 具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。 虽然附图 中显示了本公开的示例性实施例， 然而应当理解， 可以以各种形式实 现本公开而不应被这里阐述的实施例所限制。 相反， 提供这些实施例 是为了能够更透彻地理解本公开， 并且能够将本公开的范围完整的传 达给本领域的技术人员。
1、 本发明实施例可以应用于计算机系统 /服务器，其可与众多其 它通用或专用计算系统环境或配置一起操作。 适于与计算机系统 /服务 器一起使用的众所周知的计算系统、 环境和 /或配置的例子包括但不限 于： 个人计算机系统、 服务器计算机系统、 瘦客户机、 厚客户机、 手 持或膝上设备、 基于微处理器的系统、 机顶盒、 可编程消费电子产品、 网络个人电脑、 小型计算机系统、 大型计算机系统和包括上述任何系 统的分布式云计算技术环境， 等等。
计算机系统 /服务器可以在由计算机系统执行的计算机系统可执 行指令 （诸如程序模块） 的一般语境下描述。 通常， 程序模块可以包 括例程、 程序、 目标程序、 组件、 逻辑、 数据结构等等， 它们执行特 定的任务或者实现特定的抽象数据类型。 计算机系统 /服务器可以在分 布式云计算环境中实施， 分布式云计算环境中， 任务是由通过通信网 络链接的远程处理设备执行的。 在分布式云计算环境中， 程序模块可 以位于包括存储设备的本地或远程计算系统存储介质上。
请参阅图 1，其示出了根据本发明一个实施例的用于检测恶意链接 的系统示意图，该系统包括服务器端设备 100和客户端设备 200，其中， 服务器端设备至少包括用于检测恶意链接的网络安全管理设备 110，具 体而言， 网络安全管理设备 110包括第一行为检测器 112、第一行为评 估器 114、 第一获取器 116以及第一筛选器 118 ; 客户端设备至少包括 用于检测恶意链接的检测设备 210， 具体而言， 检测设备 210包括第二 行为检测器 212、 第二获取器 214以及第二链接检测器 216。
首先， 客户端侧检测设备 200中的第二行为检测器 212对网络资 源的可疑行为进行检测， 网络资源包括但不限于互联网中的网页、 视 频及音频等。 客户端侧预先维护一个可疑行为特征库， 在该特征库中 记录有一些可疑行为的特征 （可疑的程序行为的特征） 包括但不限于 在访问某个网页过程中调用某些特定的系统函数、 执行加载了某些特 定代码、 分配了可疑的内存， 将某些文件存放到可疑的位置、 或者是 产生了内存溢出等， 这些可疑行为可以是客户端侧的检测设备 200 根 据以往的加密后的历史数据的特征值总结的， 也可以是从服务器侧获 取的加密后的特征值或程序行为， 可疑行为的具体内容可以不断更新， 种类也可以不断丰富， 服务端可以利用类似于决策树， 贝叶斯算法， 神经网域计算等方法， 或者使用简单的阈值分析进行机器学习等， 对 客户端侧通过各种方式获知的各种可疑行为以及各种可疑行为的检测 手段在本发明实施例中都是适用的， 本发明对此并没有限制。
当客户端侧访问某些链接地址的网络资源时，第二行为检测器 212 就会根据已知的可疑行为特征库对当前的访问过程、 行为进行监控检 测。 由于客户端侧保存有用户的各种私人文件， 而且客户端侧的运行 分析能力也有限， 因此第二行为检测器 212 在检测到可疑行为后， 一 般在征得用户的同意后予以拦截， 不会再继续执行当前的操作， 防止 危害真正发生。 比如， 如果检测到当前登录的某网页链接在调用某种 可疑的系统函数， 那么客户端一般不会再让该调用继续下去， 进而也 就无法知道后续调用完可疑函数之后还执行了哪些程序或者下载了哪 些文档， 因此客户端无法准确判断该网页链接是否真的是恶意链接， 仅能确定为可疑链接， 然后将该可疑链接上报至服务器端的网络安全 管理设备 110 做进一步检测确认。 服务器端与客户端反馈联动， 并且 保持多个服务器集群并联进行任务处理。
网络安全管理设备 110的第一行为检测器 112接收到来自客户端 侧的可疑链接信息后， 对这些可疑链接进行恶意行为检测， 检测是否 为恶意链接。 具体而言， 由于服务器端的运行分析能力更强， 因此有 多种更先进、 权威的检测手段以便对可疑链接做进一步确认。 比如， 在不影响服务器端整体网络环境安全的情况下， 可以在基于虚拟机等 运行环境中完成对可疑链接的整个访问或下载过程， 让程序执行完毕， 比如完成可疑系统函数的调用， 加载完可疑代码、 分配可疑的内存空 间等， 从而检测在该链接访问或下载的整个过程中， 究竟下载了哪些 代码、 下载了哪些文件、 调用可疑系统函数做了什么事情， 甚至还可 以继续执行该程序下载的各种代码、 运行各种下载的文件等等， 进而 通过这些检测以及网络侧更强大的特征库， 可以更准确的确定该链接 是否为真正的恶意链接。 再比如， 利用服务器端比客户端更新更及时、 全面的恶意特征数据库、 黑白名单等也可以对客户端上报的可疑链接 做进一步判断确认。 需要说明的是， 服务器端拥有比客户端侧更强大、 更及时的检测手段和资源，
因此现有和将来各种服务器端用以确认某个可疑链接是否为恶意 链接的技术， 都适用于本发明， 因此本发明对此并没有限制。
客户端侧告知的可疑链接经过服务器侧的第一行为检测器 112 进 一步检测后， 可能检测到全部是真正的恶意链接， 但也有可能检测到 有一部分并不是真正的恶意链接。 因此第一行为检测器 112 的主要目 的是从客户端侧告知的可疑链接中检测出真正的恶意链接， 以便后续 操作。
在第一行为检测器 112 检测出恶意链接之后， 进一步对这些恶意 链接的内嵌的其他链接进行恶意行为检测， 检测出这些恶意链接的内 嵌的其他恶意链接。 恶意链接的内嵌的其他链接， 可以是访问、 执行 该恶意链接的过程中自动执行的其他链接， 或者说自动跳转访问的其 他链接。 具体而言， 第一行为检测器 112 会监控网络端口， 在访问某 个恶意链接后， 会通过网络端口提供的数据信息获知访问该恶意链接 的同时自动打开 （或称访问） 了哪些其他的链接， 进而这些其他的链 接就是该恶意链接的内嵌的链接。 进而第一行为检测器 112 还会对这 些内嵌的链接访问、 执行一遍， 以便判断这些内嵌的链接中哪些是恶 意的链接。 通过上述的操作， 第一行为检测器 112 就可以检测出若干 恶意链接， 以及这些恶意链接之间的内嵌关系。
例如， 第一行为检测器 112首先检测某 A链接是恶意链接，
A链接： hxxp： //www. cqcmc. cn/xxx/xxx/?l i st_5. html , 同时通过监控网络端口的访问记录检测在访问该恶意链接 A 时会 自动访问 B链接或者说自动下载 B链接中的内容，
B链接： hxxp： / / vma. jkub. com : xx/3/maay. htm,
由此可以确定 B链接是 A链接的内嵌的链接， 进而第一行为检测 器 12再通过前述的各种检测手段检测 B链接是否为恶意链接，如果是， 则可以确定 B链接是恶意链接 A链接的内嵌的恶意链接。 以此类推， 通过这种方式， 第一行为检测器 112 可以检测出若干恶意链接以及他 们内嵌的恶意链接， 进而也就知道了各恶意链接之间的内嵌关系。
在一个实施例中， 第一行为检测器 112 在检测出各恶意链接以及 他们之间的内嵌关系之后， 第一行为评估器 114 根据第一行为检测器 112提供的各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值。具 体而言， 为叙述方便， 将待评估恶意值的恶意链接称为目标恶意链接， 将目标恶意链接的内嵌的其他恶意链接称为该目标恶意链接的内嵌恶 意链接， 每个内嵌恶意链接的恶意外链数目是以该内嵌恶意链接作为 内嵌的链接的所有恶意链接的总数。
例如图 2， 其示出了对恶意链接评估恶意值的链接关系示意图。假 设图中的恶意链接 A 为待评估恶意值的目标恶意链接， 根据第一行为 检测器 112获知恶意链接 A有 3个内嵌恶意链接， 即链接 B、链接 C以 及链接 D是经第一行为检测器 112检测确认的恶意链接。 从图中还可 以看出， 实际上链接 E也是恶意链接 A的内嵌链接， 但是由于链接 E 是非恶意链接， 因此在评估目标恶意链接 A的恶意值时不予以参考； 此外， 假设访问链接 A时会自动执行跳转执行链接 F， 但是链接 F 是与链接 A属于同一网站内的链接， 比如这两个链接的域名相同， 那 么在评估目标恶意链接 A的恶意值时， 无论链接 F是否为恶意链接， 都不考虑链接 F，即在评估恶意链接的恶意值时只考虑不同网站之间的 内嵌关系， 不考虑同一网站内各链接之间的内嵌关系。 即将目标恶意 链接的内嵌的其他恶意链接限定为非同一网站的恶意链接， 换而言之， 目标恶意链接的内嵌的非同一网站的恶意链接， 为该目标恶意链接的 内嵌恶意链接。 对于目标恶意链接内嵌的同一网站的其他恶意链接虽 然不用于计算目标恶意链接的恶意值， 但是还可以进一步分析该内嵌 恶意链接是否还内嵌了其他网站的恶意链接， 即可以把目标恶意网站 内嵌的同一网站的其他恶意链接当做一个新的恶意链接去分析， 并评 估其恶意值。 应当注意的是， 也不完全排除在某种特殊应用场景下， 目标恶意链接的内嵌的其他恶意链接不必限定为非同一网站的内嵌恶 意链接， 即同一网站的内嵌恶意链接也参与计算目标恶意链接的恶意 值， 此种情况下， 目标恶意链接的内嵌的各种恶意链接， 包括非同一 网站内的， 也可能包含同一网站内的， 均为该目标恶意链接的内嵌恶 意链接。 因此， 以上两种方案都在本发明的保护范围内， 根据实际应 用场景的不同可以采用不同的方案予以实现。
在评估每个目标恶意链接的恶意值时， 主要通过第一行为评估器 114执行。具体而言， 第一行为评估器 114可以包括第一识别模块和第 一评估模块。
首先， 第一识别模块根据第一行为检测器 112 提供的各恶意链接 之间的内嵌关系， 识别出目标恶意链接的所有内嵌恶意链接以及每个 内嵌恶意链接的恶意外链数目。 仍然以图 2 为例， 第一识别模块先根 据第一检测器 112提供的信息， 识别出目标恶意链接 A的所有内嵌恶 意链接分别是恶意链接13、 C、 Do 进而再统计每个内嵌恶意链接的恶意 外链数目。 从图 2可以看出， 恶意链接 B除了是恶意链接 A的内嵌恶 意链接外， 还是恶意链接 G、 H、 I 的内嵌恶意链接， 由此可知 A的内 嵌恶意链接 B的恶意外链数目是 4; 同理， 知道 A的内嵌恶意链接 C的 恶意外链数目是 3 (恶意外链分别是链接 、 J、 K) ， A的内嵌恶意链 接 D的恶意外链数目是 1 (恶意外链只有链接 A) 。
然后， 第一识别模块将统计出的上述信息告知第一评估模块， 第 一评估模块根据目标恶意链接的各内嵌恶意链接的最新恶意值， 和每 个内嵌恶意链接的恶意外链数目， 评估目标恶意链接的恶意值。 在一 个实施例中， 第一评估模块可以包括： 第一比值子模块， 用于获得目 标恶意链接的每个内嵌恶意链接的最新恶意值与该内嵌恶意链接的恶 意外链数目的比值； 第一累加子模块， 用于将目标恶意链接的各内嵌 恶意链接的最新恶意值与对应的恶意外链数目的比值进行累加， 获得 第一累加值； 以及第一加权子模块， 用于将所述第一累加值乘以第一 权值后与第二权值相加， 得到目标恶意链接的恶意值。 仍然以图 2 为 例进行详细说明。
在一个实施例中， 在评估目标恶意链接 A 的恶意值时可以采用下 述公式进行评估： PR (A) = a+ b * ( PR(B)/links(B) + PR (C) /links (C) + PR (D) /links (D) + )
其中， PR () 表示相关恶意链接的恶意值 （也可称为 rank值） ， links () 表示相关恶意链接的恶意外链数目， a相当于前述的第一权 值， b相当于前述的第二权值。起始时可以给所有恶意链接的恶意值赋 一初始值。 应当注意， 该初始值、 权值 a和权值 b ， 均可以根据实际 应用场景需求或经验设置不同的数值， 本发明实施例对此并没有限制。 多数情况下， 可以限制权值 a和 b之和等于 1。 当然在某些情况下甚至 也可以不给权值 a和 b设置实际意义的值。假设在一个实施例中， 将 a 设置为 0.15， b设置为 0.85，各恶意链接的初始恶意值设置为 1。
通过前面第一识别模块的描述可知， 在图 2 对应的实施例中， links (B) =4, links(C)=3， links(D)=l， 在第一轮计算各恶意链接的 恶意值时，相关恶意链接的恶意值均使用初始值，如 PR(B)=1，PR(C)=1， PR(D)=1， 进而
PR (A) = 0.15+ 0.85 * (1/4 + 1/3 + 1/1)=1.4958
于是， 在第一轮计算各目标恶意链接时， 恶意链接 A 的恶意值即 为 1.4958， 同理， 按照同样的方法， 还可以评估出第一轮其他恶意链 接的恶意值， 如恶意链接 B、 C、 D、 G等的恶意值。
第一评估模块可以通过多轮迭代方式获得各目标恶意链接的恶意 值， 在第一轮处理时为各目标恶意链接设置初始恶意值， 后续每轮处 理时带入的相关恶意链接恶意值都是上轮计算出的结果； 当经过多轮 迭代之后， 在恶意链接数据量、 以及各恶意链接之间的内嵌关系没有 发生更新的情况下， 每个目标恶意链接的恶意值会趋于恒定， 即能够 得出一个比较接近于实际的恶意值。 当有第一行为检测器 112 检测出 新的恶意链接之后， 第一行为评估器就可以及时或者定期重新计算相 关恶意链接的恶意值， 即进行更新。 恶意值越高说明该恶意链接越有 可能是一个挂马源链接。 该恶意链接可能会感染很多其他的链接或网 站
在上一个实施例中，第一行为评估器 114根据第一行为检测器 112 检测出的各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值。 在 本发明的另一个实施例中， 第一行为评估器 114 还可以根据各恶意链 接之间的内嵌关系， 对各恶意链接相关的恶意网站主机名评估恶意值， 以及根据第一行为检测器 112 检测出的新的恶意链接对相关恶意链接 或恶意网站主机名的恶意值进行更新。
具体而言， 第一行为评估器 114 可以包括第二识别模块和第二评 估模块。
待评估恶意值的恶意网站主机名为目标恶意网站主机名， 目标恶 意网站主机名下各恶意链接的内嵌的其他恶意链接所属的恶意网站主 机名， 是与目标恶意网站主机名具有关联关系的关联恶意网站主机名。 如何确定某个恶意链接的内嵌的其他恶意链接可以参看前述实施例中 的相关描述， 此处不再赘述。
请参阅图 3，其为根据本发明一个实施例的各恶意网站主机名之间 的关联关系示意图。 第一行为评估器 114检测到第一行为检测器 112 检测出某网站主机名 aaa下存在 4个恶意链接， 比如， www. aaa. com/a, www. aaa. com/b 、 www. aaa. com/ c 以及 www. aaa. com/ d， 其中 ， www. aaa. com/ a有个内嵌恶意链接 www. bbb. com/h , www. aaa. com/ c也 有个内嵌恶意链接 www. ccc. com/ g, www. aaa. com/b禾口 www. aaa. com/ d 无内嵌恶意链接。进一步分析 URL可知， 恶意内嵌链接 www. bbb. com/h 所属的网站主机名是 bbb，内嵌恶意链接 www. ccc. com/g所属的网站主 机名是 ccc， 由此可知， 与目标恶意网站主机名 aaa具有关联关系的关 联恶意网站主机名分别是 " bbb "和 " ccc " 。
每个关联恶意网站主机名的恶意外链数目具体是该关联恶意网站 主机名下所有恶意链接的恶意外链数目之和。 例如，假设 " bbb " 网站 主机名下共有 3个恶意链接， 分别是 ww. bbb. com/h, ww. bbb. com/i以 及 ww. bbb. com/k。 其中， w ww. bbb. com/h 又分别是恶意链接 G ( www. aaa. com/a ) 、 恶意链接 H的内嵌恶意链接， 即说明 w ww. bbb. com/h的恶意外链数目是 2 ; 同理， www. bbb. com/i的恶意外链 数目是 3 ; ww. bbb. com/k的恶意外链数目是 0， 那么 " bbb " 网站主机 名的恶意外链数目就是 2+3+0=5。根据相同的方式可以统计出与恶意网 站主机名 aaa相关联的关联恶意网站主机名 ccc的恶意外链数目， 比 如为 2。
第二识别模块可以通过上述方式根据各恶意链接之间的内嵌关 系， 识别出各目标恶意网站主机名的所有关联恶意网站主机名， 以及 每个关联恶意网站主机名的恶意外链数目。 然后， 第二评估模块， 根 据目标恶意网站主机名的各关联恶意网站主机名的最新恶意值， 以及 每个关联恶意网站主机名的恶意外链数目， 评估所述目标恶意网站主 机名的恶意值。
例如， 在一个实施例中， 第二评估模块可以包括： 第二比值子模 块， 用于获得所述目标恶意网站主机名的每个关联恶意网站主机名的 最新恶意值与该关联恶意网站主机名的恶意外链数目的比值； 第二累 加子模块， 用于将目标恶意网站主机名的各关联恶意网站主机名的最 新恶意值与对应的恶意外链数目的各比值累加， 获得第二累加值； 第 二加权子模块， 用于将第二累加值乘以第三权值后与第四权值相加， 得到目标恶意网站主机名的恶意值。 下面仍然以图 3 中评估恶意网站 主机名 aaa为例进行详细说明。
在评估恶意网站主机名 A的恶意值时可以采用下述公式：
PR (a) = A+ B * ( PR(b)/links(b) + PR (c) /links (c) + PR (d) /links (d) + )
其中， PR () 表示相关恶意网站主机名的恶意值 （也可称为 rank 值） ， links () 表示相关恶意网站主机名的恶意外链数目， A相当于 前述的第三权值， B相当于前述的第四权值。起始时可以给所有恶意网 站主机名的恶意值赋一初始值。应当注意，该初始值、权值 A和权值 B， 均可以根据实际应用场景需求或经验设置不同的数值， 本发明实施例 对此并没有限制。 多数情况下， 可以限制权值 A和 B之和等于 1。 当然 在某些情况下甚至也可以不给权值 A和 B设置实际意义的值。 假设在 一个实施例中， 将 A设置为 0.15， B设置为 0.85，各恶意网站主机名的 初始恶意值设置为 1。
通过前面第二识别模块的描述可知， 在图 3 对应的实施例中， 恶 意网站主机名 aaa总共有两个关联恶意网站主机名，分别是 bbb和 ccc， 而 links(bbb)=5， links(ccc)=2, 在第一轮计算各恶意链接的恶意值 时， 关联恶意网站主机名的恶意值均使用初始值， 如 PR(bbb)=l， PR(ccc)=l， 进而
PR (aaa) = 0.15+ 0.85 * (1/5 + 1/2) =0.745
于是， 在第一轮计算各目标恶意网站主机名时， 恶意网站主机名 aaa的恶意值即为 0.745， 同理， 按照同样的方法， 还可以评估出第一 轮其他恶意网站主机名的恶意值， 如恶意网站主机名 bbb、 ccc等的恶 意值。 一般网站主机名下具有恶意链接的， 就可以称其为恶意网站主 机名， 进而可以评估它的恶意值。 在恶意链接数据量、 以及各恶意链 接之间的内嵌关系没有发生更新的情况下， 每个目标恶意网站主机名 的恶意值在经过多轮迭代计算后会趋于恒定， 即能够得出一个比较接 近于实际的恶意值。 当有第一行为检测器 112 检测出新的恶意链接之 后， 第一行为评估器就可以及时或者定期重新计算相关恶意网站主机 名的恶意值， 即进行更新。 恶意值越高说明该恶意网站主机名越有可 能是一个挂马网站， 可能会感染很多其他的网站或链接。
应当注意的是， 第一行为评估器 114 可以仅对恶意链接评估恶意 值， 也可以仅对恶意网站主机名评估恶意值， 还可以同时对恶意链接 和恶意网站主机名进行评估， 这几种方案均在本发明的保护范围内。 在第一行为评估器 114评估出各恶意链接和 /或各恶意网站主机名的恶 意值之后， 第一筛选器根据第一行为评估器 114 评估出的结果， 筛选 相关的集合。
在一个实施例中， 如果第一评估器 114 既评估出了各恶意链接的 恶意值， 又评估出了各恶意网站主机名的恶意值， 那么第一筛选器 118 筛选出恶意值高于第一预置阈值的危险恶意网站主机名集合， 以及其 余恶意网站主机名下、 恶意值高于第二预置阈值的危险恶意链接集合。 例如， 假设第一评估器评估出了 1000个恶意网站主机名的恶意值， 其 中恶意值在第一预置阈值以上的有 700个， 那么第一筛选器 118就将 这 700个网站主机名作为危险恶意网站主机名集合， 然后在剩余的这 300个恶意网站主机名下的所有恶意链接中，挑选恶意值高于第二预置 阈值的那些恶意链接， 进而这些恶意链接组成危险恶意链接集合。
在又一个实施例中， 如果第一评估器 114仅评估出了各恶意链接 的恶意值， 没有评估各恶意网站主机名的恶意值， 那么第一筛选器 118 会筛选出恶意值高于第三预置阈值的恶意链接， 进而将这些筛选出的 恶意链接组成危险恶意链接集合。
同理， 在又一个实施例中， 如果第一评估器 114仅评估出了各恶 意网站主机名的恶意值， 没有评估各恶意链接的恶意值， 那么第一筛 选器 118会筛选出恶意值高于第四预置阈值的恶意链接， 进而将这些 筛选出的恶意网站主机名组成危险恶意网站主机名集合。
应当注意的是， 以上第一、 第二、 第三及第四预置阈值的具体数 值设置， 可以根据经验、 实际需求指标等多种因素综合考虑， 这四个 值可能相同， 也可能不同， 本发明实施例对这些均没有限制。 可以看 出， 本质上第一筛选器 1 18 筛选出的各种集合是源于客户端侧第二行 为检测器 212上报的可疑链接进行分析处理后所得。
在第一筛选器 1 18 筛选出相应的集合后， 将危险恶意网站主机名 集合和 /或危险恶意链接集合的信息通知至客户端设备 100的第二获取 器 214。 进而， 第二获取器 214将获得的危险恶意网站主机名集合和 / 或危险恶意链接集合告知第二链接检测器 216，第二链接检测器 216根 据危险恶意网站主机名集合和 /或危险恶意链接集合检测出新的可疑 链接。 具体而言， 第二链接检测器 216 通过监控网络端口检测后续一 些新链接的内嵌的其他链接 （简称内嵌链接） 具体是什么， 并且将这 些内嵌链接与危险恶意网站主机名集合和 /或危险恶意链接集合中的 内容进行对比， 如果检测命中， 则将该新链接确定为新的可疑链接。
例如， 客户端侧的第二链接检测器 216检测有一新链接 A 的内嵌 链接包括链接 B、 C和 D， 于是将内嵌链接13、 C、 D与服务器端下发的 危险恶意链接集合中的链接信息对比， 检测危险恶意链接集合中也有 链接 A的信息， 于是第二链接检测器 216便将链接 A确定为新的可疑 链接。 再例如， 第二链接检测器 216检测到一新链接£， 其内嵌链接是 www. aaa. com. cn/XXX, 于是将 www. aaa. com. cn/XXX 的主机名 " aaa " 与服务器端下发的危险恶意网站主机名集合中的信息对比， 假如危险 网站主机名集合中包含 " aaa "这个网站主机名， 则表明新链接 E的内 嵌链接命中危险网站主机名集合， 于是将新链接 E确定为新的可疑链 接。 换而言之， 所述新的可疑链接的内嵌的其他链接的网站主机名， 至少是危险恶意网站主机名集合中的一个网站主机名； 或者， 新的 可疑链接的内嵌的其他链接， 至少是危险恶意链接集合中的一个链接。
由此可以看出， 即便客户端设备 200 无法通过其他的手段检测出 链接 A和 E具有前述的各种可疑行为， 但是， 通过服务器端提供的危 险恶意链接集合和 /或危险恶意网站主机名集合， 也可以将这两个链接 确定为可疑链接。 前面提过， 危险恶意链接集合和危险恶意网站主机 名集合中的恶意链接或恶意网站主机名都是恶意值比较高的， 也就是 它们很可能是真正的感染源， 比如是真正的挂马源链接或挂马源网站 主机名， 而不仅仅是被感染者， 一个感染源通常会感染很多网站， 因 此， 通过部分网站找出感染源， 然后再通过这个感染源就可以检测更 多其他的被感染网站， 通过这种方式， 扩大了客户端设备 200检测可 疑链接的网站数量， 也提高了检测可疑链接的效率， 因此能够很快收 集到大量的恶意链接或恶意网站的信息， 从而为网络安全提供更好的 保障。
在第二链接检测器 216将基于危险恶意网站主机名集合和 /或危险 恶意链接集合检测出新的可疑链接之后， 发送至服务器端设备 100 的 第一获取器 116，进而第一获取器 116将获取到的新的可疑链接信息传 输至第一行为检测器 112进行恶意行为检测，如果第一行为检测器 112 确认为是恶意链接， 则告知第一行为评估器 114， 第一行为评估器 114 如果检测原有用于计算恶意链接或恶意网站主机名的数据库中没有这 条恶意链接， 该条恶意链接的加入导致原有恶意链接之间的内嵌发生 了变化， 那么第一行为评估器 114可以重新计算相关恶意链接和 /或恶 意网站主机名的恶意值， 从而可以根据数据量的增加不断修正相关恶 意网站主机名或恶意链接的恶意值， 从而使他们的恶意值更贴近真实 的情况， 能够更准确的通过恶意值反映出该恶意链接或恶意网站主机 名是感染源还是被感染者， 所谓的被感染者是指本身网站自身没有问 题， 只是受到感染源的恶意攻击被感染了病毒， 比如是被挂马的正常 网站， 而非真正的挂马源网站。
前面各实施例提供的方案可以用于多种恶意链接或恶意网站的检 测， 比如可以是挂马检测， 相应的， 第一行为检测器具体是挂马行为 检测器， 恶意行为检测具体是挂马恶意行为检测， 恶意链接具体恶意 挂马链接， 恶意链接的内嵌的其他恶意链接具体为恶意挂马链接的内 嵌的其他恶意挂马链接。 当然， 还可以是其他与挂马类似的病毒检测， 只要是具有一个病毒感染源通常会感染一批正常网站的病毒传播特 征， 基本都可以采用本发明的各种技术方案。
请参阅图 4，其示出了根据本发明一个实施例的用于检测恶意链接 的方法， 恶意链接包括互联网中各种恶意的网络资源的链接地址。 该 方法可以在服务器端予以实现。
该方法始于步骤 S410, 在步骤 S410中， 至少对客户端设备检测 出的可疑链接进行恶意行为检测， 检测是否为恶意链接， 以及对检测 为恶意链接的内嵌的其他链接进行恶意行为检测， 检测出恶意链接的 内嵌的其他恶意链接， 然后进入步骤 S420。
在步骤 S420中， 至少根据各恶意链接之间的内嵌关系， 对各恶意 链接评估恶意值和 /或对各恶意链接相关的恶意网站主机名评估恶意 值， 以及根据检测出的新的恶意链接对相关恶意链接或恶意网站主机 名的恶意值进行更新； 然后进入步骤 S430。
在 S430中， 筛选出恶意值高于第一预置阈值的危险恶意网站主机 名集合和其余恶意网站主机名下、 恶意值高于第二预置阈值的危险恶 意链接集合， 或者， 仅筛选出恶意值高于第三预置阈值的危险恶意网 站主机名集合， 再或者仅筛选出恶意值高于第四预置阈值的危险恶意 链接集合， 然后将危险恶意网站主机名集合和 /或危险恶意链接集合的 信息通知至客户端设备。 通过该步骤， 可以找出比较可能是感染源的 恶意链接或恶意链接主机名， 以便让客户端根据这些最可能的病毒感 染源再去检测其他的被感染链接或网站。 此后， 进入步骤 S440。
在步骤 S440中， 获取客户端设备基于危险恶意网站主机名集合和 /或危险恶意链接集合检测出的新的可疑链接， 并将新的可疑链接进行 恶意行为检测， 新的可疑链接的内嵌的其他链接命中危险恶意网站主 机名集合或危险恶意链接集合。 通过该步骤， 服务器端可以获得更多 的可疑链接， 进而经过检测后可以获得更多的恶意链接信息。
以上的步骤 S410可以通过前述各实施例中的第一行为检测器 112 予以执行，步骤 S420可以通过第一行为评估器 114予以执行，步骤 S430 可以通过第一筛选器 118予以执行，步骤 S440可以通过第一获取器 116 和第一行为检测器 112 共同执行。 各步骤的具体实现可以参看前面相 关部件的描述， 此处不再赘述。
以上检测恶意链接的方法主要是从服务端角度描述的， 下面从客 户端角度描述。请参阅图 5， 其示出了根据本发明一个实施例的用于检 测恶意链接的检测方法。
该方法始于步骤 S510 , 在步骤 S510中， 首先对网络资源的恶意行 为进行检测， 将检测出的可疑链接传输至服务器端设备进行进一步检 测， 然后进入步骤 S520 , 在步骤 S520中， 从服务器端设备获取危险恶 意网站主机名集合和 /或危险恶意链接集合。 在一个实施例中， 危险恶 意网站主机名集合是服务器端设备筛选出的恶意值高于第一预置阈值 的各恶意网站主机名的集合， 危险恶意链接集合是服务器端筛选出的 危险恶意网站主机名集合以外的其余恶意网站主机名下、 恶意值高于 第二预置阈值的各恶意链接的集合。 在另一个实施例中， 危险恶意网 站主机名集合是服务器端设备筛选出的恶意值高于第三预置阈值的各 恶意网站主机名的集合。 在又一个实施例中， 危险恶意链接集合是服 务器端设备筛选出的恶意值高于第四预置阈值的恶意链接集合。 其中， 第一、 第二、 第三及第四预置阈值可以根据实际需要或经验设置， 可 以相同也可以不同， 本发明实施例对此没有限制。
然后进入步骤 S530,根据危险恶意网站主机名集合和 /或危险恶意 链接集合检测出新的可疑链接， 新的可疑链接的内嵌的其他链接命中 危险恶意网站主机名集合或危险恶意链接集合， 进而将新的可疑链接 传输至服务器端设备进行检测及更新相关恶意值， 例如相关的恶意链 接的恶意值， 或相关的恶意网站主机名的恶意值。 由于危险恶意网站 主机名集合或危险恶意链接集合中的链接或网站主机名都是恶意值较 高的， 即很可能是真正的病毒感染源， 比如是真正的挂马源链接或网 站， 而这些真正的病毒感染源一般不仅感染一两个网站， 往往会感染 很多网站， 即会成为很多原本正常网站的内嵌链接， 因此可以通过这 些病毒感染源与其他网站、 链接之间的内嵌关系， 检测更多被感染的 网站或恶意链接， 从而扩大了可疑链接的检测效率和数量。
以上的步骤 S510可以通过前述各实施例中的第二行为检测器 212 予以执行， 步骤 S520可以通过第二获取器 214予以执行， 步骤 S530 可以通过第二链接检测器 118 予以执行。 各步骤的具体实现可以参看 前面相关部件的描述， 此处不再赘述。
在此提供的算法和显示不与任何特定计算机、 虚拟系统或者其它 设备固有相关。 各种通用系统也可以与基于在此的示教一起使用。 根 据上面的描述， 构造这类系统所要求的结构是显而易见的。 此外， 本 发明也不针对任何特定编程语言。 应当明白， 可以利用各种编程语言 实现在此描述的本发明的内容， 并且上面对特定语言所做的描述是为 了披露本发明的最佳实施方式。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理 解， 本发明的实施例可以在没有这些具体细节的情况下实践。 在一些 实例中， 并未详细示出公知的方法、 结构和技术， 以便不模糊对本说 明书的理解。 类似地， 应当理解， 为了精简本公开并帮助理解各个发明方面中 的一个或多个， 在上面对本发明的示例性实施例的描述中， 本发明的 各个特征有时被一起分组到单个实施例、 图、 或者对其的描述中。 然 而， 并不应将该公开的方法解释成反映如下意图： 即所要求保护的本 发明要求比在每个权利要求中所明确记载的特征更多的特征。 更确切 地说， 如下面的权利要求书所反映的那样， 发明方面在于少于前面公 开的单个实施例的所有特征。 因此， 遵循具体实施方式的权利要求书 由此明确地并入该具体实施方式， 其中每个权利要求本身都作为本发 明的单独实施例。
本领域那些技术人员可以理解， 可以对实施例中的设备中的模块 进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个 设备中。 可以把实施例中的模块或单元或组件组合成一个模块或单元 或组件， 以及此外可以把它们分成多个子模块或子单元或子组件。 除 了这样的特征和 /或过程或者单元中的至少一些是相互排斥之外， 可以 采用任何组合对本说明书 （包括伴随的权利要求、 摘要和附图） 中公 开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进 行组合。 除非另外明确陈述， 本说明书 （包括伴随的权利要求、 摘要 和附图） 中公开的每个特征可以由提供相同、 等同或相似目的的替代 特征来代替。
此外， 本领域的技术人员能够理解， 尽管在此所述的一些实施例 包括其它实施例中所包括的某些特征而不是其它特征， 但是不同实施 例的特征的组合意味着处于本发明的范围之内并且形成不同的实施 例。 例如， 在下面的权利要求书中， 所要求保护的实施例的任意之一 都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现， 或者以在一个或者多 个处理器上运行的软件模块实现， 或者以它们的组合实现。 本领域的 技术人员应当理解， 可以在实践中使用微处理器或者数字信号处理器 ( DSP )来实现根据本发明实施例的用于检测恶意链接的设备或检测设 备中的一些或者全部部件的一些或者全部功能。 本发明还可以实现为 用于执行这里所描述的方法的一部分或者全部的设备或者装置程序 (例如， 计算机程序和计算机程序产品） 。 这样的实现本发明的程序 可以存储在计算机可读介质上， 或者可以具有一个或者多个信号的形 式。 这样的信号可以从因特网网站上下载得到， 或者在载体信号上提 供， 或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行 限制， 并且本领域技术人员在不脱离所附权利要求的范围的情况下可 设计出替换实施例。 在权利要求中， 不应将位于括号之间的任何参考 符号构造成对权利要求的限制。 单词 "包含" 不排除存在未列在权利 要求中的元件或步骤。 位于元件之前的单词 "一" 或 "一个" 不排除 存在多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件 以及借助于适当编程的计算机来实现。 在列举了若干装置的单元权利 要求中， 这些装置中的若干个可以是通过同一个硬件项来具体体现。 单词第一、 第二、 以及第三等的使用不表示任何顺序。 可将这些单词 解释为名称。

Claims

权 利 要 求
1、 一种用于检测恶意链接的网络安全管理设备， 所述恶意链接是 互联网中恶意的网络资源的链接地址， 包括：
第一行为检测器， 被配置为至少对客户端设备检测出的可疑链接 进行恶意行为检测， 检测是否为恶意链接， 以及对所述检测为恶意链 接的内嵌的其他链接进行恶意行为检测， 检测出所述恶意链接的内嵌 的其他恶意链接；
第一行为评估器， 被配置为至少根据所述第一行为检测器检测出 的各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值， 并对各恶 意链接相关的恶意网站主机名评估恶意值， 以及根据所述第一行为检 测器检测出的新的恶意链接对相关恶意链接或恶意网站主机名的恶意 值进行更新；
第一筛选器， 被配置为根据所述第一行为评估器评估出的结果， 筛选出恶意值高于第一预置阈值的危险恶意网站主机名集合和其余恶 意网站主机名下、 恶意值高于第二预置阈值的危险恶意链接集合， 并 将所述危险恶意网站主机名集合和危险恶意链接集合的信息通知至所 述客户端设备；
第一获取器， 被配置为获取客户端设备基于所述危险恶意网站主 机名集合和所述危险恶意链接集合检测出的新的可疑链接， 并将所述 新的可疑链接传输至所述第一行为检测器进行检测， 所述新的可疑链 接的内嵌的其他链接命中所述危险恶意网站主机名集合或所述危险恶 意链接集合。
2、 根据权利要求 1所述的设备， 所述待评估恶意值的恶意链接为 目标恶意链接， 所述目标恶意链接的内嵌的其他恶意链接为所述目标 恶意链接的内嵌恶意链接， 所述每个内嵌恶意链接的恶意外链数目具 体是以该内嵌恶意链接作为内嵌的链接的所有恶意链接的总数， 所述 第一行为评估器包括：
第一识别模块， 被配置为根据各恶意链接之间的内嵌关系， 识别 出所述目标恶意链接的所有内嵌恶意链接以及每个内嵌恶意链接的恶 意外链数目；
第一评估模块， 被配置为根据所述第一识别模块识别出的目标恶 意链接的各内嵌恶意链接的最新恶意值， 和每个内嵌恶意链接的恶意 外链数目， 评估所述目标恶意链接的恶意值。
3、 根据权利要求 1或 2所述的设备， 所述待评估恶意值的恶意网 站主机名为目标恶意网站主机名， 所述目标恶意网站主机名下各恶意 链接的内嵌的其他恶意链接所属的恶意网站主机名， 是与所述目标恶 意网站主机名具有关联关系的关联恶意网站主机名， 所述每个关联恶 意网站主机名的恶意外链数目具体是该关联恶意网站主机名下所有恶 意链接的恶意外链数目之和， 所述第一评估器包括：
第二识别模块， 被配置为根据各恶意链接之间的内嵌关系， 识别 出所述目标恶意网站主机名的所有关联恶意网站主机名， 以及每个关 联恶意网站主机名的恶意外链数目；
第二评估模块， 被配置为根据所述目标恶意网站主机名的各关联 恶意网站主机名的最新恶意值， 以及每个关联恶意网站主机名的恶意 外链数目， 评估所述目标恶意网站主机名的恶意值。
4、 根据权利要求 2或 3所述的设备，
所述第一评估模块还被配置为通过多轮迭代方式获得各目标恶意 链接的恶意值， 在第一轮处理时为各目标恶意链接设置初始恶意值； 所述第二评估模块还被配置为通过多轮迭代方式获得各目标恶意 网站主机名的恶意值， 在第一轮处理时为各目标恶意网站主机名设置 初始恶意值。
5、 根据权利要求 1至 4中任一项所述的设备， 所述恶意链接或可 疑链接的内嵌的其他链接包括： 访问所述恶意链接或可疑链接时被自 动执行的其他链接。
6、 根据权利要求 1至 5中任一项所述的设备， 所述新的可疑链接 的内嵌的其他链接命中所述危险恶意网站主机名集合或所述危险恶意 链接集合包括：
所述新的可疑链接的内嵌的其他链接的网站主机名， 至少是所述 危险恶意网站主机名集合中的一个网站主机名；
或者，
所述新的可疑链接的内嵌的其他链接， 至少是所述危险恶意链接 集合中的一个链接。
7、 一种用于检测恶意链接的方法， 所述恶意链接包括互联网中各 种恶意的网络资源的链接地址， 包括：
至少对客户端设备检测出的可疑链接进行恶意行为检测， 检测是 否为恶意链接， 以及对所述检测为恶意链接的内嵌的其他链接进行恶 意行为检测， 检测出所述恶意链接的内嵌的其他恶意链接；
至少根据各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值， 并对各恶意链接相关的恶意网站主机名评估恶意值， 以及根据检测出 的新的恶意链接对相关恶意链接或恶意网站主机名的恶意值进行更 λ 筛选出恶意值高于第一预置阈值的危险恶意网站主机名集合和其 余恶意网站主机名下、 恶意值高于第二预置阈值的危险恶意链接集合， 并将所述危险恶意网站主机名集合和危险恶意链接集合的信息通知至 所述客户端设备；
获取客户端设备基于所述危险恶意网站主机名集合和所述危险恶 意链接集合检测出的新的可疑链接， 并将所述新的可疑链接进行恶意 行为检测， 所述新的可疑链接的内嵌的其他链接命中所述危险恶意网 站主机名集合或所述危险恶意链接集合。
8、 根据权利要求 7所述的方法， 所述待评估恶意值的恶意链接为 目标恶意链接， 所述目标恶意链接的内嵌的其他恶意链接为所述目标 恶意链接的内嵌恶意链接， 所述每个内嵌恶意链接的恶意外链数目具 体是以该内嵌恶意链接作为内嵌的链接的所有恶意链接的总数， 所述 根据各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值包括：
根据各恶意链接之间的内嵌关系， 识别出所述目标恶意链接的所 有内嵌恶意链接以及每个内嵌恶意链接的恶意外链数目；
根据所述目标恶意链接的各内嵌恶意链接的最新恶意值， 和每个 内嵌恶意链接的恶意外链数目， 评估所述目标恶意链接的恶意值。
9、 根据权利要求 7或 8所述的方法， 所述待评估恶意值的恶意网 站主机名为目标恶意网站主机名， 所述目标恶意网站主机名下各恶意 链接的内嵌的其他恶意链接所属的恶意网站主机名， 是与所述目标恶 意网站主机名具有关联关系的关联恶意网站主机名， 所述每个关联恶 意网站主机名的恶意外链数目具体是该关联恶意网站主机名下所有恶 意链接的恶意外链数目之和， 所述根据各恶意链接之间的内嵌关系， 对各恶意链接相关的恶意网站主机名评估恶意值包括： 根据各恶意链接之间的内嵌关系， 识别出所述目标恶意网站主机 名的所有关联恶意网站主机名， 以及每个关联恶意网站主机名的恶意 外链数目；
根据所述目标恶意网站主机名的各关联恶意网站主机名的最新恶 意值， 以及每个关联恶意网站主机名的恶意外链数目， 评估所述目标 恶意网站主机名的恶意值。
10、 根据权利要求 7至 9中任一项所述的方法， 所述恶意链接或 可疑链接的内嵌的其他链接包括： 访问所述恶意链接或可疑链接时被 自动执行的其他链接。
11、 一种用于检测恶意链接的检测设备， 所述恶意链接包括互联 网中恶意的网络资源的链接地址， 该检测设备包括：
第二行为检测器， 被配置为对网络资源的可疑行为进行检测， 将 检测出的可疑链接传输至服务器端设备进行进一步检测；
第二获取器， 被配置为获取所述服务器端设备基于所述第二行为 检测器提供的可疑链接确定的危险恶意网站主机名集合和危险恶意链 接集合， 所述危险恶意网站主机名集合是服务器端设备筛选出的恶意 值高于第一预置阈值的各恶意网站主机名的集合， 所述危险恶意链接 集合是服务器端筛选出的所述危险恶意网站主机名集合以外的其余恶 意网站主机名下、 恶意值高于第二预置阈值的各恶意链接的集合； 第二链接检测器， 被配置为根据所述第二获取器获取的危险恶意 网站主机名集合和危险恶意链接集合检测出新的可疑链接， 并将所述 新的可疑链接传输至所述服务器端设备进行检测及更新相关恶意值， 所述新的可疑链接的内嵌的其他链接命中所述危险恶意网站主机名集 合或所述危险恶意链接集合。
12、 一种用于检测恶意链接的检测方法， 所述恶意链接包括互联 网中恶意的网络资源的链接地址， 包括：
对网络资源的恶意行为进行检测， 将检测出的可疑链接传输至服 务器端设备进行进一步检测；
从所述服务器端设备获取危险恶意网站主机名集合和危险恶意链 接集合， 所述危险恶意网站主机名集合是服务器端设备筛选出的恶意 值高于第一预置阈值的各恶意网站主机名的集合， 所述危险恶意链接 集合是服务器端筛选出的所述危险恶意网站主机名集合以外的其余恶 意网站主机名下、 恶意值高于第二预置阈值的各恶意链接的集合； 根据所述危险恶意网站主机名集合和危险恶意链接集合检测出新 的可疑链接， 并将所述新的可疑链接传输至所述服务器端设备进行检 测及更新相关恶意值， 所述新的可疑链接的内嵌的其他链接命中所述 危险恶意网站主机名集合或所述危险恶意链接集合。
13、 一种用于检测恶意链接的网络安全管理设备， 所述恶意链接 包括互联网中恶意的网络资源的链接地址， 包括：
第一行为检测器， 被配置为至少对客户端设备检测出的可疑链接 进行恶意行为检测， 检测是否为恶意链接， 以及对所述检测为恶意链 接的内嵌的其他链接进行恶意行为检测， 检测出所述恶意链接的内嵌 的其他恶意链接；
第一行为评估器， 被配置为至少根据所述第一行为检测器检测出 的各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值， 以及根据 所述第一行为检测器检测出的新的恶意链接对相关恶意链接的恶意值 进行更新；
第一筛选器， 被配置为根据所述第一行为评估器评估出的结果， 筛选出恶意值高于第二预置阈值的危险恶意链接集合， 并将所述危险 恶意链接集合的信息通知至所述客户端设备；
第一获取器， 被配置为获取客户端设备基于所述危险恶意链接集 合检测出的新的可疑链接， 并将所述新的可疑链接传输至所述第一行 为检测器进行检测， 所述新的可疑链接的内嵌的其他链接命中所述危 险恶意链接集合。
14、 一种用于检测恶意链接的检测设备， 所述恶意链接包括互联 网中恶意的网络资源的链接地址， 包括：
第二行为检测器， 被配置为对网络资源的可疑行为进行检测， 将 检测出的可疑链接传输至服务器端设备进行进一步检测；
第二获取器， 被配置为获取所述服务器端设备基于所述第二行为 检测器提供的可疑链接确定的危险恶意链接集合， 所述危险恶意链接 集合是服务器端筛选出的恶意值高于第二预置阈值的各恶意链接的集 合；
第二链接检测器， 被配置为根据所述第二获取器获取的危险恶意 链接集合检测出新的可疑链接， 并将所述新的可疑链接传输至所述服 务器端设备进行检测及更新相关恶意值， 所述新的可疑链接的内嵌的 其他链接命中所述危险恶意链接集合。
15、 一种用于检测恶意链接的网络安全管理设备， 所述恶意链接 包括互联网中恶意的网络资源的链接地址， 包括：
第一行为检测器， 被配置为至少对客户端设备检测出的可疑链接 进行恶意行为检测， 检测是否为恶意链接， 以及对所述检测为恶意链 接的内嵌的其他链接进行恶意行为检测， 检测出所述恶意链接的内嵌 的其他恶意链接；
第一行为评估器， 被配置为至少根据所述第一行为检测器检测出 的各恶意链接之间的内嵌关系， 对各恶意链接相关的恶意网站主机名 评估恶意值， 以及根据所述第一行为检测器检测出的新的恶意链接对 相关的恶意网站主机名的恶意值进行更新；
第一筛选器， 被配置为根据所述第一行为评估器评估出的结果， 筛选出恶意值高于第一预置阈值的危险恶意网站主机名集合， 并将所 述危险恶意网站主机名集合的信息通知至所述客户端设备；
第一获取器， 被配置为获取客户端设备基于所述危险恶意网站主 机名集合检测出的新的可疑链接， 并将所述新的可疑链接传输至所述 第一行为检测器进行检测， 所述新的可疑链接的内嵌的其他链接命中 所述危险恶意网站主机名集合。
16、 一种用于检测恶意链接的检测设备， 所述恶意链接包括互联 网中各种恶意的网络资源的链接地址， 包括：
第二行为检测器， 被配置为对网络资源的可疑行为进行检测， 将 检测出的可疑链接传输至服务器端设备进行进一步检测；
第二获取器， 被配置为获取所述服务器端设备至少基于所述第二 行为检测器提供的可疑链接确定的危险恶意网站主机名集合， 所述危 险恶意网站主机名集合是服务器端设备筛选出的恶意值高于第一预置 阈值的各恶意网站主机名的集合；
第二链接检测器， 被配置为根据所述第二获取器获取的危险恶意 网站主机名集合检测出新的可疑链接， 并将所述新的可疑链接传输至 所述服务器端设备进行检测及更新相关恶意值， 所述新的可疑链接的 内嵌的其他链接命中所述危险恶意网站主机名集合。
17、 一种用于检测恶意链接的系统， 包括服务器端设备和客户端 设备：
所述服务器端设备包括如权利要求 13所述的网络安全管理设备， 所述客户端设备包括如权利要求 14所述的检测设备；
或者，
所述服务器端设备包括如权利要求 15所述的网络安全管理设备， 所述客户端设备包括如权利要求 16所述的检测设备。
18、 一种用于检测恶意链接的系统， 包括服务器端设备和客户端 设备；
所述服务器端设备包括网络安全管理设备， 所述客户端设备包括 检测设备； 所述恶意链接包括互联网中恶意的网络资源的链接地址， 其中，
所述检测设备包括：
第二行为检测器， 被配置为对网络资源的可疑行为进行检测， 将 检测出的可疑链接传输至服务器端设备进行进一步检测；
第二获取器， 被配置为获取所述服务器端设备基于所述第二行为 检测器提供的可疑链接确定的危险恶意网站主机名集合和危险恶意链 接集合， 所述危险恶意网站主机名集合是服务器端设备筛选出的恶意 值高于第一预置阈值的各恶意网站主机名的集合， 所述危险恶意链接 集合是服务器端筛选出的所述危险恶意网站主机名集合以外的其余恶 意网站主机名下、 恶意值高于第二预置阈值的各恶意链接的集合； 第二链接检测器， 被配置为根据所述第二获取器获取的危险恶意 网站主机名集合和危险恶意链接集合检测出新的可疑链接， 并将所述 新的可疑链接传输至所述服务器端设备进行检测及更新相关恶意值， 所述新的可疑链接的内嵌的其他链接命中所述危险恶意网站主机名集 合或所述危险恶意链接集合；
所述网络安全管理设备包括：
第一行为检测器， 被配置为至少对客户端设备检测出的可疑链接 进行恶意行为检测， 检测是否为恶意链接， 以及对所述检测为恶意链 接的内嵌的其他链接进行恶意行为检测， 检测出所述恶意链接的内嵌 的其他恶意链接；
第一行为评估器， 被配置为至少根据所述第一行为检测器检测出 的各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值， 并对各恶 意链接相关的恶意网站主机名评估恶意值， 以及根据所述第一行为检 测器检测出的新的恶意链接对相关恶意链接或恶意网站主机名的恶意 值进行更新；
第一筛选器， 被配置为根据所述第一行为评估器评估出的结果， 筛选出恶意值高于第一预置阈值的危险恶意网站主机名集合和其余恶 意网站主机名下、 恶意值高于第二预置阈值的危险恶意链接集合， 并 将所述危险恶意网站主机名集合和危险恶意链接集合的信息通知至所 述客户端设备；
第一获取器， 被配置为获取客户端设备基于所述危险恶意网站主 机名集合和所述危险恶意链接集合检测出的新的可疑链接， 并将所述 新的可疑链接传输至所述第一行为检测器进行检测， 所述新的可疑链 接的内嵌的其他链接命中所述危险恶意网站主机名集合或所述危险恶 意链接集合。
19、 根据权利要求 18所述的系统， 所述待评估恶意值的恶意链接 为目标恶意链接， 所述目标恶意链接的内嵌的其他恶意链接为所述目 标恶意链接的内嵌恶意链接， 所述每个内嵌恶意链接的恶意外链数目 具体是以该内嵌恶意链接作为内嵌的链接的所有恶意链接的总数， 所 述第一行为评估器包括：
第一识别模块， 被配置为根据各恶意链接之间的内嵌关系， 识别 出所述目标恶意链接的所有内嵌恶意链接以及每个内嵌恶意链接的恶 意外链数目；
第一评估模块， 被配置为根据所述第一识别模块识别出的目标恶 意链接的各内嵌恶意链接的最新恶意值， 和每个内嵌恶意链接的恶意 外链数目， 评估所述目标恶意链接的恶意值。
20、 根据权利要求 18或 19所述的系统， 所述待评估恶意值的恶 意网站主机名为目标恶意网站主机名， 所述目标恶意网站主机名下各 恶意链接的内嵌的其他恶意链接所属的恶意网站主机名， 是与所述目 标恶意网站主机名具有关联关系的关联恶意网站主机名， 所述每个关 联恶意网站主机名的恶意外链数目具体是该关联恶意网站主机名下所 有恶意链接的恶意外链数目之和， 所述第一评估器包括：
第二识别模块， 被配置为根据各恶意链接之间的内嵌关系， 识别 出所述目标恶意网站主机名的所有关联恶意网站主机名， 以及每个关 联恶意网站主机名的恶意外链数目；
第二评估模块， 被配置为根据所述目标恶意网站主机名的各关联 恶意网站主机名的最新恶意值， 以及每个关联恶意网站主机名的恶意 外链数目， 评估所述目标恶意网站主机名的恶意值。
21、 根据权利要求 19或 20所述的系统，
所述第一评估模块还被配置为通过多轮迭代方式获得各目标恶意 链接的恶意值， 在第一轮处理时为各目标恶意链接设置初始恶意值； 所述第二评估模块还被配置为通过多轮迭代方式获得各目标恶意 网站主机名的恶意值， 在第一轮处理时为各目标恶意网站主机名设置 初始恶意值。
22、 根据权利要求 18至 21 中任一项所述的系统， 所述恶意链接 或可疑链接的内嵌的其他链接包括： 访问所述恶意链接或可疑链接时 被自动执行的其他链接。
23、 根据权利要求 18至 22 中任一项所述的系统， 所述新的可疑 链接的内嵌的其他链接命中所述危险恶意网站主机名集合或所述危险 恶意链接集合包括：
所述新的可疑链接的内嵌的其他链接的网站主机名， 至少是所述 危险恶意网站主机名集合中的一个网站主机名；
或者，
所述新的可疑链接的内嵌的其他链接， 至少是所述危险恶意链接 集合中的一个链接。
24、 根据权利要求 18至 23 中任一项所述的系统， 所述第一行为 检测器具体是挂马行为检测器， 所述的恶意行为检测具体是挂马恶意 行为检测， 所述恶意链接具体恶意挂马链接， 所述恶意链接的内嵌的 其他恶意链接具体为恶意挂马链接的内嵌的其他恶意挂马链接。
25、 一种用于检测恶意链接的方法， 所述恶意链接包括互联网中 各种恶意的网络资源的链接地址， 包括：
至少对客户端设备检测出的可疑链接进行恶意行为检测， 检测是 否为恶意链接， 以及对所述检测为恶意链接的内嵌的其他链接进行恶 意行为检测， 检测出所述恶意链接的内嵌的其他恶意链接；
至少根据各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值， 并对各恶意链接相关的恶意网站主机名评估恶意值， 以及根据检测出 的新的恶意链接对相关恶意链接或恶意网站主机名的恶意值进行更 λ 筛选出恶意值高于第一预置阈值的危险恶意网站主机名集合和其 余恶意网站主机名下、 恶意值高于第二预置阈值的危险恶意链接集合， 并将所述危险恶意网站主机名集合和危险恶意链接集合的信息通知至 所述客户端设备；
获取客户端设备基于所述危险恶意网站主机名集合和所述危险恶 意链接集合检测出的新的可疑链接， 并将所述新的可疑链接进行恶意 行为检测， 所述新的可疑链接的内嵌的其他链接命中所述危险恶意网 站主机名集合或所述危险恶意链接集合；
其中， 所述恶意链接或可疑链接的内嵌的其他链接包括： 访问所 述恶意链接或可疑链接时被自动执行的其他链接。
26、 根据权利要求 25所述的方法， 所述待评估恶意值的恶意链接 为目标恶意链接， 所述目标恶意链接的内嵌的其他恶意链接为所述目 标恶意链接的内嵌恶意链接， 所述每个内嵌恶意链接的恶意外链数目 具体是以该内嵌恶意链接作为内嵌的链接的所有恶意链接的总数， 所 述根据各恶意链接之间的内嵌关系， 对各恶意链接评估恶意值包括： 根据各恶意链接之间的内嵌关系， 识别出所述目标恶意链接的所 有内嵌恶意链接以及每个内嵌恶意链接的恶意外链数目；
根据所述目标恶意链接的各内嵌恶意链接的最新恶意值， 和每个 内嵌恶意链接的恶意外链数目， 评估所述目标恶意链接的恶意值。
27、 根据权利要求 25或 26所述的方法， 所述待评估恶意值的恶 意网站主机名为目标恶意网站主机名， 所述目标恶意网站主机名下各 恶意链接的内嵌的其他恶意链接所属的恶意网站主机名， 是与所述目 标恶意网站主机名具有关联关系的关联恶意网站主机名， 所述每个关 联恶意网站主机名的恶意外链数目具体是该关联恶意网站主机名下所 有恶意链接的恶意外链数目之和， 所述根据各恶意链接之间的内嵌关 系， 对各恶意链接相关的恶意网站主机名评估恶意值包括：
根据各恶意链接之间的内嵌关系， 识别出所述目标恶意网站主机 名的所有关联恶意网站主机名， 以及每个关联恶意网站主机名的恶意 外链数目；
根据所述目标恶意网站主机名的各关联恶意网站主机名的最新恶 意值， 以及每个关联恶意网站主机名的恶意外链数目， 评估所述目标 恶意网站主机名的恶意值。
28、 一种计算机程序， 包括计算机可读代码， 当所述计算机可读 代码在服务器上运行时， 导致所述服务器执行根据权利要求 7-10、 12、 25-27中的任一个用于检测恶意链接的方法。
29、一种计算机可读介质，其中存储了如权利要求 7-10、 12、 25-27 中的任一个用于检测恶意链接的方法。
PCT/CN2013/090104 2012-12-20 2013-12-20 一种用于检测恶意链接的设备、方法及系统 WO2014094653A1 (zh)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
CN201210559136.7A CN103023905B (zh) 2012-12-20 2012-12-20 一种用于检测恶意链接的设备、方法及系统
CN201210560165.5A CN103036896B (zh) 2012-12-20 2012-12-20 用于检测恶意链接的方法及系统
CN201210560165.5 2012-12-20
CN201210559136.7 2012-12-20

Publications (1)

Publication Number Publication Date
WO2014094653A1 true WO2014094653A1 (zh) 2014-06-26

Family

ID=50977608

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/090104 WO2014094653A1 (zh) 2012-12-20 2013-12-20 一种用于检测恶意链接的设备、方法及系统

Country Status (1)

Country Link
WO (1) WO2014094653A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10855725B2 (en) 2016-06-02 2020-12-01 Microsoft Technology Licensing, Llc Hardware-based virtualized security isolation

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102043865A (zh) * 2011-01-17 2011-05-04 博视联（苏州）信息科技有限公司 基于c/s架构的恶意网页过滤系统及其过滤方法
CN102663000A (zh) * 2012-03-15 2012-09-12 北京百度网讯科技有限公司 恶意网址数据库的建立方法、恶意网址的识别方法和装置
CN103023905A (zh) * 2012-12-20 2013-04-03 北京奇虎科技有限公司 一种用于检测恶意链接的设备、方法及系统
CN103036896A (zh) * 2012-12-20 2013-04-10 北京奇虎科技有限公司 用于检测恶意链接的方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102043865A (zh) * 2011-01-17 2011-05-04 博视联（苏州）信息科技有限公司 基于c/s架构的恶意网页过滤系统及其过滤方法
CN102663000A (zh) * 2012-03-15 2012-09-12 北京百度网讯科技有限公司 恶意网址数据库的建立方法、恶意网址的识别方法和装置
CN103023905A (zh) * 2012-12-20 2013-04-03 北京奇虎科技有限公司 一种用于检测恶意链接的设备、方法及系统
CN103036896A (zh) * 2012-12-20 2013-04-10 北京奇虎科技有限公司 用于检测恶意链接的方法及系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10855725B2 (en) 2016-06-02 2020-12-01 Microsoft Technology Licensing, Llc Hardware-based virtualized security isolation

Similar Documents

Publication Publication Date Title
US10237283B2 (en) Malware domain detection using passive DNS
US8839435B1 (en) Event-based attack detection
US10200384B1 (en) Distributed systems and methods for automatically detecting unknown bots and botnets
US8572740B2 (en) Method and system for detection of previously unknown malware
US8646038B2 (en) Automated service for blocking malware hosts
EP2755157B1 (en) Detecting undesirable content
JP2019082989A5 (zh)
CN108664793B (zh) 一种检测漏洞的方法和装置
CN103023905B (zh) 一种用于检测恶意链接的设备、方法及系统
US11258812B2 (en) Automatic characterization of malicious data flows
US11863571B2 (en) Context profiling for malware detection
CN110730175A (zh) 一种基于威胁情报的僵尸网络检测方法及检测系统
CN103384888A (zh) 用于恶意软件的检测和扫描的系统和方法
US20180302430A1 (en) SYSTEM AND METHOD FOR DETECTING CREATION OF MALICIOUS new USER ACCOUNTS BY AN ATTACKER
CA2996966A1 (en) Process launch, monitoring and execution control
CN108369541B (zh) 用于安全威胁的威胁风险评分的系统和方法
US10178109B1 (en) Discovery of groupings of security alert types and corresponding complex multipart attacks, from analysis of massive security telemetry
JP2016146114A (ja) ブラックリストの管理方法
US11159538B2 (en) Context for malware forensics and detection
CN103036896B (zh) 用于检测恶意链接的方法及系统
Maroofi et al. Are you human? resilience of phishing detection to evasion techniques based on human verification
US9871810B1 (en) Using tunable metrics for iterative discovery of groups of alert types identifying complex multipart attacks with different properties
US9111092B2 (en) Security event management apparatus, systems, and methods
Kumar et al. A zero-day resistant malware detection method for securing cloud using SVM and sandboxing techniques
Shabtai et al. Monitoring, analysis, and filtering system for purifying network traffic of known and unknown malicious content

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13865721

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13865721

Country of ref document: EP

Kind code of ref document: A1