WO2014180123A1 - 恶意网址的访问防御方法和相关装置 - Google Patents

恶意网址的访问防御方法和相关装置 Download PDF

Info

Publication number
WO2014180123A1
WO2014180123A1 PCT/CN2013/088441 CN2013088441W WO2014180123A1 WO 2014180123 A1 WO2014180123 A1 WO 2014180123A1 CN 2013088441 W CN2013088441 W CN 2013088441W WO 2014180123 A1 WO2014180123 A1 WO 2014180123A1
Authority
WO
WIPO (PCT)
Prior art keywords
site
domain name
name
security
malicious
Prior art date
Application number
PCT/CN2013/088441
Other languages
English (en)
French (fr)
Inventor
刘健
Original Assignee
腾讯科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 腾讯科技（深圳）有限公司 filed Critical 腾讯科技（深圳）有限公司
Publication of WO2014180123A1 publication Critical patent/WO2014180123A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Definitions

  • the present invention relates to the field of network security technologies, and in particular, to an access defense method for a malicious website, a related device, and a network system. Background technique
  • the embodiments of the present invention provide an access defense method and a related device and a network system for a malicious website, so as to be more flexible and effective against malicious websites.
  • a first aspect of the embodiments of the present invention provides a method for preventing a malicious web address from being accessed, which may include: receiving a security query request of a user including a uniform resource locator;
  • domain name security record N1 in the N domain name security records is matched with the domain name, and the domain name security record N1 indicates that the domain name is a malicious domain name, notify the user of the domain name. Is a malicious domain name.
  • a second aspect of the embodiments of the present invention provides a method for preventing and defending a malicious website, which may include: Receiving a security query request carrying a uniform resource locator from the user terminal; querying, in the stored M site security records, whether there is a record matching the site name included in the uniform resource locator, where An indication of whether the site name and the site name are malicious site names are recorded in each site security record in the M site security record, where the M is an integer greater than or equal to 1;
  • site security record M1 in the M domain name security records is found to match the site name, and the site security record M1 indicates that the site name is a malicious site name, notify the site The user terminal described in the user terminal is a malicious site name.
  • a third aspect of the embodiments of the present invention provides an access defense device for a malicious website, which may include: a receiving unit, configured to receive a security query request from a user terminal that carries a uniform resource locator;
  • a first query unit configured to query, in the N domain name security records, whether there is a record that matches a domain name included in the uniform resource locator, where each domain name in the N domain name security records
  • the security record records an indication of whether the domain name and the domain name are malicious domain names, where the N is an integer greater than or equal to 1;
  • a determining unit configured to: if the first query unit finds the domain name security record N1 in the N domain name security records, matches the domain name, and the domain name security record N1 indicates the domain name The malicious domain name is notified to the user terminal that the domain name is a malicious domain name.
  • a fourth aspect of the embodiments of the present invention provides an access defense device for a malicious website, which may include: a receiving unit, configured to receive a security query request including a uniform resource locator; and a second query unit, configured to be in the M
  • the site security record records whether there is a record matching the site name included in the uniform resource locator, where the site name and the site are recorded in each site security record in the M site security record. Whether the name is an indication of a malicious site name, where the M is an integer greater than or equal to 1;
  • a determining unit configured to: if the second query unit finds the site security record M1 in the M domain name security records, matches the site name, and the site security record M1 indicates The site name is a malicious site name, and the user terminal is notified that the site name is a malicious site name.
  • an access defense device such as a cloud security server After receiving the security query request from the user terminal carrying a URL; querying the stored N domain name security records whether there is a record matching a domain name included in a URL, the above N domain name security records
  • Each domain name security record records an indication of whether the domain name and the domain name are malicious domain names, and the above N is an integer greater than or equal to 1; if the domain name security record N1 in the above N domain name security records is found, If the domain name matches, and the domain name security record N1 indicates that the domain name is a malicious domain name, the user terminal is notified that the domain name is a malicious domain name.
  • the existing cloud security system is abandoned, it is only a single base unit with URL as the security judgment.
  • the domain name is also used as a granularity of security judgment. It has been proved that this can effectively combat such random transformation of malicious URLs, thus Good for users to defend against malicious websites.
  • the security information of the URL may not need to be recorded, and in theory, the hacker may generate a plurality of randomly changed URLs, so based on the present The mechanism of the invention can save a large amount of server storage space.
  • FIG. 1 is a schematic flowchart of a method for preventing and defending a malicious website according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of another method for preventing access of a malicious website according to an embodiment of the present invention
  • FIG. 3 is a schematic flow chart of another method for preventing and defending a malicious web address according to an embodiment of the present invention
  • Figure 4-a is a schematic diagram of a domain name security record provided by an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of a site security record according to an embodiment of the present invention.
  • Figure 4-c is a schematic diagram of a cloud security server according to an embodiment of the present invention.
  • FIG. 5-a is a schematic diagram of an access defense device for a malicious website according to an embodiment of the present invention
  • FIG. 5-b is a schematic diagram of another access defense device for a malicious website according to an embodiment of the present invention
  • FIG. 6-a is a schematic diagram of another access defense device for a malicious website according to an embodiment of the present invention
  • FIG. 6-b is a schematic diagram of another access defense device for a malicious website according to an embodiment of the present invention
  • a schematic diagram of another cloud security server provided by an embodiment of the invention
  • FIG. 8 is a schematic diagram of another cloud security server according to an embodiment of the present invention.
  • FIG. 9 is a schematic diagram of a network system according to an embodiment of the present invention.
  • FIG. 10 is a schematic diagram of a user terminal according to an embodiment of the present invention. detailed description
  • the embodiments of the present invention provide an access defense method and a related device and a network system for a malicious website, so as to be more flexible and effective against malicious websites.
  • An embodiment of the method for preventing the access of a malicious website may include: receiving a security query request from the user terminal carrying the first URL; querying in the N domain name security records There is a record matching the first domain name included in the first URL, wherein the domain name and the domain name are recorded in each domain name security record in the N domain name security records. Whether it is an indication of a malicious domain name, where N is an integer greater than or equal to 1; if the domain name security record N1 in the above N domain name security records is found, matching the first domain name, and the domain name security record is If the first domain name is a malicious domain name, the first domain name of the user terminal is notified to be a malicious domain name.
  • FIG. 1 is a schematic flowchart of a method for preventing and defending a malicious web address according to an embodiment of the present invention.
  • an access defense method for a malicious website provided by an embodiment of the present invention may include the following contents:
  • a user terminal installed with a browser browses a certain URL (referred to as a first URL for convenience of subsequent reference)
  • the user terminal first goes to, for example, a cloud security server.
  • the access defense device of the malicious website sends a security query request carrying the first URL to request the cloud server to verify the security of the first URL, wherein the user terminal can access the secure URL and can refuse to access the unknown or malicious URL.
  • a cloud security server-based cloud security system after a malicious URL first appears on the network, it usually takes only a few seconds to a few minutes to be captured and intercepted by the system, thus making it difficult for the massive user community to spread and harm the Internet. .
  • a domain name security record corresponding to the domain name is generated, where the domain name security record records the domain name and the domain name Whether the domain name is an indication of a malicious domain name.
  • the domain name security record may be further collected from the Internet (including a hotspot domain name, a non-hotspot domain name, and the like), and the domain name security records corresponding to the multiple domain names may be separately generated, where each domain name security is generated. The record records a domain name and an indication of whether the domain name is a malicious domain name.
  • domain name security record N1 in the N domain name security records is found to match the first domain name, and the domain name security record N1 indicates that the first domain name is a malicious domain name, notify the user terminal that the first The domain name is a malicious domain name.
  • the domain name security record N1 in the N domain name security records is found to match the first domain name, and the domain name security record N1 indicates that the first domain name is a secure domain name, the user terminal may be notified.
  • a domain name is a secure domain name.
  • the domain name security record N1 in the N domain name security records is found to match the first domain name, and the domain name security record N1 indicates that the first domain name is a secure domain name
  • the M site security record it is queried whether there is a record matching the first site name included in the first URL, wherein the site name and the site name are recorded in each site security record in the M site security records.
  • the site name is an indication of a malicious site name, where the M is an integer greater than or equal to 1; if the site security record M1 in the M domain name security record is found to match the first site name, and The above site security record M1 indicates that the first site name is a malicious site name, and the first site of the user terminal may be notified as a malicious site name.
  • a site security record corresponding to the site name is generated, where the site is recorded in the security record of the site.
  • the name and the indication of whether the site name is a malicious site name may be further actively collected from the Internet (including a hotspot site name, and may include a non-hotspot site name, etc.), and the site security records corresponding to the multiple site names may be separately generated, where each A site security record records an indication of whether the site name and the site name are malicious site names.
  • the site security record M1 in the M domain name security record is found to match the first site name, and the site security record M1 indicates that the first site name is secure
  • the site name may further check whether the first URL is a malicious URL. If the first URL is a malicious URL, the first URL of the user terminal may be notified as a malicious URL. If the first URL is a secure URL, The first URL of the user terminal is notified as a secure URL.
  • the first domain name when the first domain name satisfies the preset entire domain pull condition, the first domain name may be recorded as an indication of the malicious domain name in the site security record N1, and may be unsatisfied in the first domain name.
  • the preset entire domain interception condition when used, the first security domain name or the risk domain name is recorded in the site security record N1.
  • the preset entire domain pull condition may be specifically set according to actual security requirements.
  • the entire domain pull condition includes at least one of the following conditions: counting the first duration (eg, 2 minutes or other) Value) The number of times the malicious URL was accessed under the first domain name exceeded a predetermined first threshold (for example, 100 times or other values), counting the number of times the malicious URL is accessed under the first domain name in the second duration (for example, 2 minutes or other values), and the URLs of all the URLs under the first domain name are The ratio of the total number of visits exceeds the set second threshold (for example, 5% or other values), and the number of malicious URLs that are accessed under the first domain name within the third duration (for example, 5 minutes or other values) is exceeded.
  • a predetermined first threshold for example, 100 times or other values
  • counting the number of times the malicious URL is accessed under the first domain name in the second duration for example, 2 minutes or other values
  • the URLs of all the URLs under the first domain name are The ratio of the total number of visits exceeds the set second threshold (for example, 5% or other values)
  • a third threshold eg, 50 or other values
  • counting the number of malicious URLs accessed under the first domain name in a fourth duration eg, 2 minutes or other value
  • the ratio of the total number of all URLs exceeds a set fourth threshold (for example, 10% or other value)
  • the number of malicious sites under the first domain name exceeds a set ninth threshold (for example, 10 or other values)
  • the proportion of malicious sites under a domain name to the total number of sites under the first domain name exceeds a set tenth threshold (for example, 10% or other values).
  • the first site name of the malicious site name may be recorded in the site security record M1, and the first site name is not When the preset entire station interception condition is satisfied, an indication that the first site is named a secure site name or a risk site name is recorded in the above site security record M1.
  • the preset entire station interception condition may be specifically set according to actual security requirements.
  • the entire station interception condition includes at least one of the following conditions: counting the fifth duration (for example, 2 minutes or other values) The number of times the malicious URL is accessed in the first site name exceeds the set fifth threshold (for example, 100 times or other values), and the malicious URL in the first site name is counted in the sixth duration (for example, 2 minutes or other value).
  • part or all of the first duration, the second duration, the third duration, the fourth duration, the fifth duration, the sixth duration, the seventh duration, and the eighth duration may be equal, of course
  • the duration may also be unequal.
  • the user terminal of the embodiment of the present invention may be a personal computer, a mobile phone, a personal digital processing device, or another type of user terminal capable of accessing a webpage by using a URL.
  • the embodiment of the present invention does not perform a specific product form of the user terminal. Specially limited.
  • the cloud security server receives the security query request carrying the first URL from the user terminal; and queries whether the N domain name security record has the first URL included in the first URL.
  • a record matching the domain name each domain name security record in the above-mentioned N domain name security records records an indication of whether the domain name and the domain name are malicious domain names, and the above N is an integer greater than or equal to 1;
  • the domain name security record N1 in the N domain name security record matches the first domain name, and the domain name security record N1 indicates that the first domain name is a malicious domain name, and the first domain name of the user terminal is notified as a malicious domain name.
  • the domain name is also used as a granularity of security judgment. It has been proved that this can effectively combat such random transformation of malicious URLs, thereby Good for users to defend against malicious websites.
  • the domain name security record indicates that the domain name of the URL belongs to a malicious domain name
  • the security information of the URL may not need to be recorded, and in theory, the hacker may generate a plurality of randomly changed URLs, and thus based on the present
  • the mechanism of the inventive embodiment can save a large amount of server storage space.
  • the method for preventing the access of the malicious website includes: receiving a security query request from the user terminal carrying the first URL; and querying in the M site security record There is a record matching the first site name included in the first URL, wherein each site security record in the above M site security records records an indication of whether the site name and the site name are malicious site names, wherein The above M is an integer greater than or equal to 1; if it is found that the site security record M1 among the M domain name security records matches the first site name, and the site security record M1 indicates the first site name
  • the malicious site name informs the user terminal that the first site name is a malicious site name.
  • FIG. 2 is a schematic flowchart of a method for preventing access to a malicious website according to another embodiment of the present invention.
  • an access defense method for a malicious website provided by another embodiment of the present invention may include the following contents:
  • a security query request from the user terminal that carries the first URL.
  • a user terminal such as a browser browses a certain URL (referred to as a first URL for convenience of subsequent reference)
  • the user terminal first accesses a malicious website such as a cloud security server.
  • the defense device sends a security query request carrying the first URL to request the cloud server to verify the security of the first URL, and the user terminal can access the secure URL, and can refuse to access the unknown or malicious URL.
  • a malicious URL is usually captured and intercepted by the system in a few seconds to a few minutes after it first appears on the network, thus spreading the mass of users who are vulnerable to the Internet. .
  • the site security record M1 in the M domain name security record is found, matches the first site name, and the site security record M1 indicates that the first site name is a malicious site name, notify the user terminal.
  • the first site is called a malicious site name.
  • a site security record corresponding to the site name is generated, where the site is recorded in the security record of the site.
  • the name and the indication of whether the site name is a malicious site name may be further actively collected from the Internet (including a hotspot site name, and may include a non-hotspot site name, etc.), and the site security records corresponding to the multiple site names may be separately generated, where each A site security record records an indication of whether the site name and the site name are malicious site names.
  • the first site name when the first site name satisfies the preset entire station interception condition, the first site name of the malicious site name is recorded in the site security record M1, and the first site name is not When the preset entire station interception condition is satisfied, an indication that the first site is named a secure site name or a risk site name is recorded in the above site security record M1.
  • the preset entire station interception condition may be specifically set according to actual security requirements.
  • the entire station interception condition includes at least one of the following conditions: counting the malicious URL under the first site name in the fifth time period.
  • the number of times of access exceeds the set fifth threshold, and the number of times of accessing the malicious URL under the first site name in the sixth time period is counted, and the proportion of the total number of visited URLs of all URLs under the first site name exceeds the setting.
  • the sixth threshold counted in the seventh
  • the number of malicious URLs accessed under the first site name in the duration exceeds the set seventh threshold
  • the number of malicious URLs accessed under the first site name in the eighth time period is counted, accounting for the first site.
  • the ratio of the total number of all URLs visited under the name exceeds the set eighth threshold.
  • the site security record M1 among the M domain name security records is found, the first site name is matched, and the site security record M1 indicates that the first site is named a secure site.
  • the name may further query, in the N domain name security records, whether there is a record matching the first domain name included in the first URL, where each domain name security record in the N domain name security record records If the domain name and the domain name are malicious domain names, the above N is an integer greater than or equal to 1.
  • the domain name security record N1 in the N domain name security records is found, the first domain name is matched, and the domain name is The security record N1 indicates that the first domain name is a malicious domain name, and the first domain name of the user terminal may be notified as a malicious domain name.
  • the first domain name when the first domain name satisfies the preset entire domain pull condition, the first domain name may be recorded as an indication of the malicious domain name in the site security record N1, and may be unsatisfied in the first domain name.
  • the preset entire domain interception condition when used, the first security domain name or the risk domain name is recorded in the site security record N1.
  • the preset entire domain pull condition may be specifically set according to actual security requirements.
  • the entire domain pull condition includes at least one of the following conditions: counting the maliciousness of the first domain name in the first time period The number of times the URL is accessed exceeds the set first threshold, and the number of times the malicious URL is accessed in the first domain name in the second time period is counted, and the proportion of the total number of visited URLs of all the URLs under the first domain name exceeds the set value.
  • the second threshold, the number of malicious URLs that are accessed under the first domain name in the third time period exceeds the set third threshold, and the number of malicious URLs that are accessed under the first domain name in the fourth time period is counted.
  • the proportion of the total number of all URLs accessed under the first domain name exceeds a set fourth threshold, the number of malicious sites under the first domain name exceeds a set ninth threshold, and the malicious sites under the first domain name The proportion of the total number of sites under the first domain name exceeds the set tenth threshold.
  • part or all of the first duration, the second duration, the third duration, the fourth duration, the fifth duration, the sixth duration, the seventh duration, and the eighth duration may be equal, of course
  • the duration may also be unequal.
  • the first domain name is matched, and the domain name security record N1 indicates the first domain name. If the first URL is a malicious URL, the first URL is a malicious URL, and if the first URL is a secure URL, the first URL is a malicious URL.
  • the first URL of the user terminal may be notified as a secure URL.
  • the cloud security server first queries the M site security record to check whether it is included in the first URL.
  • the first site name matches the record, wherein each site security record in the M site security record records an indication of whether the site name and the site name are malicious site names, wherein the M is greater than or equal to An integer of 1; if it is found that the site security record M1 in the M domain name security record matches the first site name, and the site security record M1 indicates that the first site name is a malicious site name, the notification is
  • the first site of the above user terminal is named a malicious site name.
  • FIG. 3 is a schematic flowchart of a method for preventing and defending a malicious website according to another embodiment of the present invention.
  • an access defense method for a malicious website provided by another embodiment of the present invention may include the following contents:
  • the cloud security server receives a security query request carrying a URL-1 from the user terminal, ql;
  • the cloud security server After the cloud security server receives the security query request q1 carrying the URL-1, the cloud security server queries, in the N domain name security records, whether there is a record matching the domain name z1 included in the URL-1;
  • step 303 If yes, go to step 303; if no, go to step 305;
  • the security record of each of the N domain name security records records an indication of whether the domain name and the domain name are malicious domain names, where the foregoing N is an integer greater than or equal to 1.
  • Each domain name security record may be as shown in FIG. 4-a, and may include a domain name field and a security indication field, where the domain name field records the domain name, and the security indication field records that the domain name is a malicious domain name. Instructions.
  • step 305 is performed;
  • the cloud security server If the domain name security record N1 indicates that the first domain name is a malicious domain name, the cloud security server notifies the first domain name of the user terminal that the malicious domain name is a malicious domain name.
  • the cloud security server queries, in the M site security record, whether there is a record matching the first site name included in the URL-1.
  • step 306 If yes, go to step 306; if no, go to step 308;
  • each site in the foregoing M site security records records an indication of whether the site name and the site name are malicious site names, where the M is an integer greater than or equal to 1; wherein, each site The security record may be as shown in FIG. 4-b, and may include a site name field and a security indication field, where the site name field records the site name, and the security indication field records that the site name is an indication of the malicious site name.
  • step 308 is performed;
  • the cloud security server may notify the user terminal that the first site name is a malicious site name.
  • the cloud security server can check whether the URL-1 is a secure URL.
  • step 309 If yes, go to step 309; if no, go to step 310;
  • the cloud security server notifies the user terminal that the URL-1 is a secure URL.
  • the cloud security server If the URL-1 is detected as a malicious URL, the cloud security server notifies the user terminal of the URL-1. Named a malicious URL.
  • the security of the domain name is checked first, and the security of the site is checked, and the security check sequence of the URL is checked.
  • the cloud security server after receiving the security query request carrying the URL from the user terminal, the cloud security server first detects whether the first domain name included in the URL is malicious, and first detects the site name included in the URL. Whether it is malicious, finally check if the URL is malicious. Since the existing cloud security system is abandoned as a single basic unit with URL as the security decision, the domain name and the site name are also used as a granularity of security judgment. It has been proved that this can effectively combat such random transformed malicious URLs. To better protect users against malicious websites.
  • the security information of the URL may not need to be recorded, and in theory, the hacker may generate a plurality of randomly changed URLs, and thus based on
  • the mechanism of the embodiment of the invention can save a large amount of server storage space.
  • the URL that a user accesses through a user terminal usually consists of the following parts:
  • the protocol name defaults to http, so users can leave it blank.
  • qq.com is a first-level domain name
  • the first-level domain name may contain many site names, such as news.qq.com, book.qq.com, mail.qq.com, etc.
  • the port number defaults to 80, so users can leave it blank.
  • the path 2012/shenzhen/top.html indicates the user access to the page path under this site, such as the top.html file in the shenzhen subdirectory under the 2012 directory;
  • FIG. 4c is a cloud security server according to an embodiment of the present invention, which may include: a cluster analysis module 410, a cloud query module 420, and a cloud authentication module 430.
  • a cluster analysis module 410 may include: a cluster analysis module 410, a cloud query module 420, and a cloud authentication module 430.
  • the following describes an example of implementing an access defense method for a malicious website by using a cloud security server based on the architecture shown in FIG. 4-c.
  • the cloud query module 420 can receive a security query request from the user terminal, where the security query request carries the URL that the user terminal will access.
  • the cluster analysis module 410 can perform real-time statistics on the query status and detection status of each site by using a site or a domain name. When the set condition is met, the entire station or the entire domain is marked as malicious and the record can be sent to the cloud authentication module 420.
  • the cloud authentication module 420 is configured to first query whether the first-level domain name corresponding to the URL that the user terminal accesses is malicious, and notify the user terminal if malicious; otherwise, continue to query whether the site corresponding to the URL is malicious, and notify the malicious party if malicious User terminal; When the first-level domain name and the site are not malicious, the security status of the URL is further queried.
  • the cluster analysis module 410 records the query result of each user terminal, and the recorded content is similar to the triplet ⁇ query time, query URL, query result>, indicating that the user accesses a secure/malicious/unknown web address at a certain time;
  • the class analysis module 410 records the detection result of each cloud authentication module, and the recorded content can be similar to the triplet ⁇ detection time, detection URL, detection result>, indicating that a certain URL is detected as safe/malicious at a certain time.
  • the cluster analysis module 410 can count the detection and query status of the URLs at each site, for example, how many times the user accesses a secure/malicious/unknown URL under a certain site in the past period of time, and detects the security under a certain site in the past period of time. / How many times are malicious URLs?
  • the cluster analysis module 410 determines whether the site satisfies the preset entire station interception condition.
  • the cluster analysis module 410 may record the indication that the first site is a malicious site name in the site security record M1 when the first site satisfies the preset entire domain interception condition, and may not meet the preset entire site at the first site.
  • the station intercepts the condition an indication of the first site name of the secure site name or the risk site name is recorded in the site security record M1.
  • the preset global domain interception conditions can be based on actual security requirements.
  • the specific setting, for example, the whole station interception condition includes at least one of the following conditions: a). The number of times the malicious URL is accessed under a certain site within a certain time period exceeds a set threshold n1,
  • the URL under a certain site is queried 100 times by the cloud security server, 80 of which return a malicious URL.
  • a total of 20 URLs under a.test.com are detected, 15 of which are In order to identify the malicious URL, the whole station interception conditions a), b), c), and d) are all satisfied, and the cluster analysis module 510 can maliciously mark the site name, so as to perform the whole station interception.
  • other scenarios can be deduced by analogy.
  • the cluster analysis module 410 determines whether the domain name satisfies the preset entire domain interception condition.
  • the clustering analysis module 410 may record an indication that the first domain name is a malicious domain name in the domain name security record N1 when the first domain name satisfies the preset entire domain interception condition, and may not satisfy the preset entire domain in the first domain name.
  • an indication that the first domain name is a secure domain name or a risk domain name is recorded in the domain name security record N1.
  • the preset entire domain interception condition may be specifically set according to actual security requirements.
  • the entire domain interception condition includes at least one of the following conditions:
  • the proportion of malicious URLs visited by a certain domain name in the t2 duration is greater than the set threshold n6.
  • the number of malicious URLs that are detected under a domain name exceeds the set threshold n7, d) within the length of t2.
  • the number of malicious URLs that are accessed under a domain name is the total number of URLs visited.
  • the ratio exceeds the set threshold n8,
  • the cluster analysis module 510 can maliciously mark the first-level domain name test.com. In order to do the subsequent domain pull, other scenarios and so on.
  • an embodiment of the present invention provides an access defense device 500 for a malicious website, which may include: a receiving unit 510, a first query unit 520, and a determining unit 530.
  • the receiving unit 510 is configured to receive a security query request from the user terminal that carries the first URL.
  • the first query unit 520 is configured to query, in the N domain name security records, whether there is a record matching the first domain name included in the first URL, where each domain name security record in the N domain name security records is The record records the domain name and whether the domain name is an indication of a malicious domain name, where the above N is an integer greater than or equal to 1.
  • the determining unit 530 is configured to: if the first query unit 520 finds the domain name security record N1 in the N domain name security records, matches the first domain name, and the domain name security record N1 indicates that the first domain name is malicious.
  • the domain name is used to notify the first domain name of the user terminal that the malicious domain name is a malicious domain name.
  • the access defense device 500 of the malicious website may further include:
  • the second query unit 540 is configured to: if the domain name security record N1 in the N domain name security records is matched, and the domain name security record N1 indicates that the first domain name is a secure domain name, Querying, in the M-site security record, whether there is a record matching the first site name included in the first URL, where the site name and the site record are recorded in each site security record in the M-site security record. Whether the site name is an indication of a malicious site name, where the above M is an integer greater than or equal to 1.
  • the determining unit 530 is further configured to: if the second query unit 550 finds the site security record M1 among the M domain name security records, matches the first site name, and the site security record M1 indicates the first The site name is a malicious site name, and the user terminal is notified that the first site is named malicious. Site name.
  • the second query unit 540 finds that the site security record M1 among the M domain name security records matches the first site name, and the site security record M1 indicates the first If the site name is a secure site name, the determining unit 530 may further check whether the first URL is a malicious URL. If the first URL is a malicious URL, the first URL of the user terminal may be notified as a malicious URL. If the URL is a secure URL, the user terminal may be notified that the first URL is a secure URL.
  • the access defense device 500 of the malicious website may further include:
  • the recording unit 550 is configured to: when the first domain name meets the preset entire domain interception condition, record an indication that the first domain name is a malicious domain name in the site security record N1; and/or, the first site name satisfies the preset In the whole station interception condition, an indication that the first site is named a malicious site name is recorded in the above site security record M1.
  • the recording unit 550 may record an indication that the first domain name is a malicious domain name in the site security record N1 when the first domain name satisfies a preset entire domain pull condition, and may be in the first When the domain name does not meet the preset entire domain interception condition, the first security domain name or the risk domain name is recorded in the site security record N1.
  • the preset global domain interception condition may be specifically set according to actual security requirements.
  • the entire domain interception condition includes at least one of the following conditions: counting the first duration (for example, 2 minutes or other values) The number of times the malicious URL is accessed in the first domain name exceeds the set first threshold (for example, 100 times or other values), and the number of malicious URLs in the first domain name in the second duration (for example, 2 minutes or other values) is counted. The number of accesses, the proportion of the total number of visited URLs of all the URLs under the first domain name exceeds the set second threshold (for example, 5% or other values), and the third time period (for example, 5 minutes or other values) is counted.
  • the number of malicious URLs accessed under a domain name exceeds a set third threshold (for example, 50 or other values), and the maliciousness of being accessed under the first domain name in a fourth duration (for example, 2 minutes or other value) is counted.
  • the number of URLs, the proportion of the total number of URLs accessed under the first domain name exceeds a set fourth threshold (for example, 10% or other value), and the number of malicious sites under the first domain name exceeds the set value.
  • Ninth threshold (E.g., 10 or other value)
  • the number of malicious site in the first domain name based on the total number of sites at a first domain to a tenth ratio exceeds the set threshold value (e.g., 10% or Other values).
  • the recording unit 550 may record an indication of the first site name as a malicious site name in the site security record M1 when the first site name satisfies the preset entire site interception condition, When a site name does not meet the preset entire station interception condition, an indication that the first site is named a secure site name or a risk site name is recorded in the above site security record M1.
  • the preset entire station interception condition may be specifically set according to actual security requirements.
  • the whole station interception condition includes at least one of the following conditions: counting the fifth time duration (such as 2 minutes or other values) The number of times the malicious URL is accessed in a site name exceeds a set fifth threshold (for example, 100 times or other values), and the number of malicious URLs in the first site name in the sixth time length (for example, 2 minutes or other values) is counted.
  • counting the fifth time duration such as 2 minutes or other values
  • the number of times the malicious URL is accessed in a site name exceeds a set fifth threshold for example, 100 times or other values
  • the number of malicious URLs in the first site name in the sixth time length for example, 2 minutes or other values
  • part or all of the first duration, the second duration, the third duration, the fourth duration, the fifth duration, the sixth duration, the seventh duration, and the eighth duration may be equal, of course
  • the duration may also be unequal.
  • an embodiment of the present invention provides an access defense device 600 for another malicious website, which may include: a receiving unit 610, a second query unit 620, and a determining unit 630.
  • the receiving unit 610 is configured to receive a security query request from the user terminal that carries the first URL.
  • the second query unit 620 is configured to query, in the M site security records, whether there is a record matching the first site name included in the first URL, where each site in the M site security record is secure.
  • the sexual record records the indication of whether the site name and the site name are malicious site names, where The above M is an integer greater than or equal to 1.
  • the determining unit 630 is configured to: if the second query unit 620 finds the site security record M1 among the M domain name security records, matches the first site name, and the site security record M1 indicates the first site Named as a malicious site name, the first site of the user terminal is notified to be a malicious site name.
  • the second query unit 620 finds that the site security record M1 among the M domain name security records matches the first site name, and the site security record M1 indicates the first If the site name is a secure site name, the determining unit 630 may further check whether the first URL is a malicious URL. If the first URL is a malicious URL, the first URL of the user terminal may be notified as a malicious URL. If the URL is a secure URL, the user terminal may be notified that the first URL is a secure URL.
  • the access defense device 600 of the malicious website may further include:
  • the recording unit 640 is configured to: when the first domain name meets the preset entire domain interception condition, record an indication that the first domain name is a malicious domain name in the site security record N1; and/or, the first site name satisfies the preset In the whole station interception condition, an indication that the first site is named a malicious site name is recorded in the above site security record M1.
  • the recording unit 640 may record an indication that the first domain name is a malicious domain name in the site security record N1 when the first domain name satisfies a preset entire domain pull condition, and may be in the first When the domain name does not meet the preset entire domain interception condition, the first security domain name or the risk domain name is recorded in the site security record N1.
  • the preset global domain interception condition may be specifically set according to actual security requirements.
  • the entire domain interception condition includes at least one of the following conditions: counting the first duration (for example, 2 minutes or other values) The number of times the malicious URL is accessed in the first domain name exceeds the set first threshold (for example, 100 times or other values), and the number of malicious URLs in the first domain name in the second duration (for example, 2 minutes or other values) is counted. The number of accesses, the proportion of the total number of visited URLs of all the URLs under the first domain name exceeds the set second threshold (for example, 5% or other values), and the third time period (for example, 5 minutes or other values) is counted.
  • the number of malicious URLs accessed under a domain name exceeds a set third threshold (eg, 50 or other values), and is counted in a fourth duration (eg, 2 minutes or The value of the number of malicious URLs that are accessed under the first domain name, and the proportion of the total number of URLs accessed under the first domain name exceeds a set fourth threshold (for example, 10% or other values), The number of malicious sites under a domain name exceeds the set ninth threshold (for example, 10 or other values), and the number of malicious sites under the first domain name accounts for the total number of sites under the first domain name exceeds the set tenth. Threshold (eg 10% or other value).
  • a set third threshold eg, 50 or other values
  • a fourth duration eg, 2 minutes or
  • the value of the number of malicious URLs that are accessed under the first domain name, and the proportion of the total number of URLs accessed under the first domain name exceeds a set fourth threshold for example, 10% or other values
  • the recording unit 640 may record, in the foregoing site security record M1, an indication of the first site name as a malicious site name when the first site name satisfies the preset entire station interception condition, When a site name does not meet the preset entire station interception condition, an indication that the first site is named a secure site name or a risk site name is recorded in the above site security record M1.
  • the preset entire station interception condition may be specifically set according to actual security requirements.
  • the whole station interception condition includes at least one of the following conditions: counting the fifth time duration (such as 2 minutes or other values) The number of times the malicious URL is accessed in a site name exceeds a set fifth threshold (for example, 100 times or other values), and the number of malicious URLs in the first site name in the sixth time length (for example, 2 minutes or other values) is counted.
  • counting the fifth time duration such as 2 minutes or other values
  • the number of times the malicious URL is accessed in a site name exceeds a set fifth threshold for example, 100 times or other values
  • the number of malicious URLs in the first site name in the sixth time length for example, 2 minutes or other values
  • an embodiment of the present invention provides a cloud security server 700, which may include:
  • Processor 710, memory 720, input device 730, and output device 740 may be one or more, and one processor in Fig. 7 is taken as an example.
  • the processor 710, the memory 720, the input device 730, and the output device 740 may be connected by a bus or other means, wherein the bus connection is taken as an example in FIG.
  • the memory 720 can be used to store software programs and modules, and the processor 710 is stored in storage by running The software program and modules of the device 720 perform various functional applications and data processing of the cloud security server 700.
  • the memory 720 may mainly include a storage program area and a storage data area, wherein the storage program area may store an operating system, an application required for at least one function (such as a sound playing function, an image playing function, etc.), and the like; the storage data area may be stored according to Data created by the use of the mobile phone (such as audio data, phone book, etc.).
  • memory 720 can include high speed random access memory, and can also include non-volatile memory, such as at least one magnetic disk storage device, flash memory device, or other volatile solid state storage device.
  • Input device 730 can be used to receive input numeric or character information, as well as generate key signal inputs related to user settings and function control of cloud security server 700.
  • the processor 710 performs the following steps:
  • N domain name security is The security record of each domain name in the record records the domain name and whether the domain name is a malicious domain name.
  • the foregoing N is an integer greater than or equal to 1. If the domain name security in the N domain name security records is found, The record N1 is matched with the first domain name, and the domain name security record N1 indicates that the first domain name is a malicious domain name, and the first domain name of the user terminal is notified as a malicious domain name.
  • the processor 710 may generate a domain name security record corresponding to the domain name when the URL under a certain domain name is first accessed, where the domain name security record records the certain The domain name and whether the domain name is an indication of a malicious domain name.
  • the domain name security records may be further collected from the Internet (including the hotspot domain name, the non-hotspot domain name, and the like), and the domain name security records corresponding to the multiple domain names may be separately generated, where each domain name security is generated.
  • the record records a domain name and an indication of whether the domain name is a malicious domain name.
  • the processor 710 may notify the foregoing.
  • the first domain name of the user terminal is a secure domain name.
  • the processor 710 finds the domain name security record N1 in the N domain name security records, matches the first domain name, and the domain name security record N1 indicates that the first domain name is The secure domain name is queried in the M site security record to check if there is a first URL. a record matching the first site name, wherein each site security record in the M site security record records an indication of whether the site name and the site name are malicious site names, where the M is greater than Or an integer equal to 1; if it is found that the site security record M1 among the M domain name security records matches the first site name, and the site security record M1 indicates that the first site name is a malicious site Name, the user terminal can be notified that the first site name is a malicious site name.
  • the processor 710 may generate a site security record corresponding to the site name when the URL under a certain site name is first accessed, where the site security record records the An indication of whether a site name and the site name are malicious site names.
  • the site name may be further actively collected from the Internet (including a hotspot site name, may also include a non-hotspot site name, etc.), and the site security records corresponding to the multiple site names may be separately generated, where each A site security record records an indication of whether the site name and the site name are malicious site names.
  • the processor 710 finds that the site security record M1 among the M domain name security records matches the first site name, and the site security record M1 indicates the first site.
  • the name of the secure site is further checked whether the first URL is a malicious URL. If the first URL is a malicious URL, the first URL of the user terminal is notified to be a malicious URL, and if the first URL is a secure URL. , the user terminal can be notified that the first URL is a secure URL.
  • the processor 710 may record, in the foregoing site security record N1, an indication that the first domain name is a malicious domain name, where the first domain name meets the preset entire domain interception condition, and may be in the first domain name.
  • the preset entire domain interception condition is not met, the first security domain name or the risk domain name is recorded in the site security record N1.
  • the preset entire domain pull condition may be specifically set according to actual security requirements.
  • the whole domain pull condition includes at least one of the following conditions: Statistics are in the first duration (for example, 2 minutes or other) Value) The number of times the malicious URL is accessed under the first domain name exceeds the set first threshold (for example, 100 times or other values), and the malicious URL of the first domain name is counted in the second duration (for example, 2 minutes or other value) The number of times visited, the proportion of the total number of visited URLs of all URLs under the first domain name exceeds the set second threshold (for example, 5% or other values), and the third time period (for example, 5 minutes or other values) is counted.
  • Statistics are in the first duration (for example, 2 minutes or other) Value)
  • the number of times the malicious URL is accessed under the first domain name exceeds the set first threshold for example, 100 times or other values
  • the malicious URL of the first domain name is counted in the second duration (for example, 2 minutes or other value)
  • the number of malicious URLs accessed under the first domain name exceeds a set third threshold (for example, 50 or other values), and is counted to be accessed under the first domain name within a fourth duration (for example, 2 minutes or other values).
  • the number of malicious URLs which account for the total number of URLs accessed under the first domain name.
  • the ratio of the number exceeds the set fourth threshold (for example, 10% or other value)
  • the number of malicious sites under the first domain name exceeds the set ninth threshold (for example, 10 or other values)
  • the proportion of the number of malicious sites to the total number of sites under the first domain name exceeds a set tenth threshold (for example, 10% or other values).
  • the processor 710 may record, in the site security record M1, an indication of the first site name as a malicious site name when the first site name satisfies the preset entire station interception condition, at the first site.
  • the processor 710 may record, in the site security record M1, an indication of the first site name as a malicious site name when the first site name satisfies the preset entire station interception condition, at the first site.
  • the first site name of the secure site name or the risk site name is recorded in the above site security record M1.
  • the preset entire station interception condition may be specifically set according to actual security requirements.
  • the entire station interception condition includes at least one of the following conditions: counting the fifth duration (for example, 2 minutes or other values)
  • the number of malicious URLs accessed under the first site name exceeds the set seventh threshold (such as 10 or other values), and the first site name is counted in the eighth duration (for example, 10 minutes or other values)
  • the number of malicious URLs that are accessed, the proportion of the total number of all URLs accessed under the first site name exceeds a set eighth threshold (eg, 10% or other value).
  • an embodiment of the present invention provides a cloud security server 800, which may include:
  • Processor 810, memory 820, input device 830, and output device 840 may be one or more, and one processor in Fig. 8 is taken as an example.
  • the processor 810, the memory 820, the input device 830, and the output device 840 may be connected by a bus or other means, wherein the bus connection is taken as an example in FIG.
  • the memory 820 can be used to store software programs and modules, and the processor 810 executes various functional applications and data processing of the cloud security server 800 by running software programs and modules stored in the memory 820.
  • the memory 820 may mainly include a storage program area and a storage data area, where the program area is stored
  • the operating system, at least one function required application can be stored; the storage data area can store data (such as audio data, phone book, etc.) created according to the use of the mobile phone.
  • memory 820 can include high speed random access memory, and can also include non-volatile memory, such as at least one magnetic disk storage device, flash memory device, or other volatile solid state storage device.
  • Input device 830 can be used to receive input numeric or character information, as well as generate key signal inputs related to user settings and function control of cloud security server 800.
  • the processor 810 performs the following steps:
  • Each site security record in the record records an indication of whether the site name and the site name are malicious site names, where the above M is an integer greater than or equal to 1; if the site among the M domain name security records is found
  • the security record M1 matches the first site name, and the site security record M1 indicates that the first site name is a malicious site name, and the first site of the user terminal is notified to be a malicious site name.
  • the processor 810 may record, in the foregoing site security record M1, an indication of the first site name as a malicious site name when the first site name satisfies the preset entire station interception condition, in the first When the site name does not meet the preset entire site interception condition, the first site name of the secure site name or the risk site name is recorded in the above site security record M1.
  • the preset entire station interception condition may be specifically set according to actual security requirements.
  • the entire station interception condition includes at least one of the following conditions: counting the malicious URL under the first site name in the fifth time period.
  • the number of times of access exceeds the set fifth threshold, and the number of times of accessing the malicious URL under the first site name in the sixth time period is counted, and the proportion of the total number of visited URLs of all URLs under the first site name exceeds the setting.
  • the sixth threshold is calculated, and the number of malicious URLs accessed under the first site name in the seventh time period is counted to exceed the set seventh threshold, and the first site name is accessed within the eighth time period.
  • the number of malicious URLs, the proportion of the total number of all URLs accessed under the first site name exceeds the set eighth threshold.
  • the processor 810 finds the site security record M1 among the M domain name security records, matches the first site name, and the site security record M1 indicates the first site name.
  • the first domain name of the terminal is a malicious domain name.
  • the embodiment of the invention further provides a communication system, including a user terminal and a cloud security server 800 or a cloud security server 700 or a cloud security server 400.
  • the embodiment of the present invention further provides a communication system, including a user terminal and an access defense device 500 of a malicious website or an access defense device 600 of a malicious website.
  • a communication system including: a user terminal 900 and a cloud security server 1000;
  • the user terminal 900 is configured to send, to the cloud security server 1000, a security query request that carries the first URL.
  • the cloud security server 1000 is configured to receive a security query request from the user terminal 900 that carries the first URL, and query, in the N domain name security records, whether there is a record that matches the first domain name included in the first URL,
  • the N-type domain name security record records an indication of whether the domain name and the domain name are malicious domain names, wherein the N is an integer greater than or equal to 1;
  • the domain name security record N1 in the security record matches the first domain name, and the domain name security record N1 indicates that the first domain name is a malicious domain name, and the first domain name of the user terminal is notified as a malicious domain name.
  • FIG. 10 is a block diagram showing a partial structure of a mobile phone related to a terminal provided by an embodiment of the present invention. Referring to FIG.
  • the mobile phone includes: a radio frequency (RF) circuit 910, a memory 920, an input unit 630, a wireless fidelity (WiFi) module 970, a display unit 940, a sensor 950, an audio circuit 960, and a processor 980. , and power supply 990 and other components.
  • RF radio frequency
  • WiFi wireless fidelity
  • the structure of the mobile phone shown in FIG. 7 does not constitute a limitation on the mobile phone, and may include more or less components than those illustrated, or combine some components, or different component arrangements.
  • the RF circuit 910 can be used for receiving and transmitting signals during the transmission or reception of information or during a call. Specifically, after receiving the downlink information of the base station, the processing is processed by the processor 980. In addition, the data for designing the uplink is transmitted to the base station.
  • RF circuits include, but are not limited to, an antenna, at least one amplifier, a transceiver, a coupler, a Low Noise Amplifier (LNA), a duplexer, and the like.
  • RF circuitry 910 can also communicate with the network and other devices via wireless communication.
  • the above wireless communication may use any communication standard or protocol, including but not limited to Global System of Mobile communication (GSM), General Packet Radio Service (GPRS), and code division multiple access ( Code Division Multiple Access (CDMA), Wideband Code Division Multiple Access (WCDMA), Long Term Evolution (LTE), e-mail, Short Messaging Service (SMS), etc.
  • GSM Global System of Mobile communication
  • GPRS General Packet Radio Service
  • CDMA Code Division Multiple Access
  • WCDMA Wideband Code Division Multiple Access
  • LTE Long Term Evolution
  • SMS Short Messaging Service
  • the memory 920 can be used to store software programs and modules, and the processor 980 executes various functional applications and data processing of the mobile phone by running software programs and modules stored in the memory 920.
  • the memory 920 may mainly include a storage program area and a storage data area, wherein the storage program area may store an operating system, an application required for at least one function (such as a sound playing function, an image playing function, etc.), and the like; the storage data area may be stored according to Data created by the use of the mobile phone (such as audio data, phone book, etc.).
  • memory 920 can include high speed random access memory, and can also include non-volatile memory, such as at least one magnetic disk storage device, flash memory device, or other volatile solid state storage device.
  • the input unit 930 can be configured to receive input numeric or character information, and generate the same with the mobile phone 900. User settings and key signal inputs related to function control.
  • the input unit 930 may include a touch panel 931 and other input devices 932.
  • the touch panel 931 also referred to as a touch screen, can collect touch operations on or near the user (such as a user using a finger, a stylus, or the like on the touch panel 931 or near the touch panel 931. Operation), and drive the corresponding connecting device according to a preset program.
  • the touch panel 931 can include two parts: a touch detection device and a touch controller.
  • the touch detection device detects the touch orientation of the user, and detects a signal brought by the touch operation, and transmits the signal to the touch controller; the touch controller receives the touch information from the touch detection device, converts the touch information into contact coordinates, and sends the touch information.
  • the processor 980 is provided and can receive commands from the processor 980 and execute them.
  • the touch panel 931 can be implemented in various types such as resistive, capacitive, infrared, and surface acoustic waves.
  • the input unit 930 may also include other input devices 932.
  • other input devices 932 may include, but are not limited to, one or more of a physical keyboard, function keys (such as volume control buttons, switch buttons, etc.), trackballs, mice, joysticks, and the like.
  • the display unit 940 can be used to display information input by the user or information provided to the user and various menus of the mobile phone.
  • the display unit 940 can include a display panel 941.
  • the display panel 941 can be configured in the form of a liquid crystal display (LCD), an organic light-emitting diode (OLED), or the like.
  • the touch panel 931 can cover the display panel 941. When the touch panel 931 detects a touch operation on or near the touch panel 931, it transmits to the processor 980 to determine the type of the touch event, and then the processor 980 according to the touch event. The type provides a corresponding visual output on display panel 941.
  • touch panel 931 and the display panel 941 are used as two independent components to implement the input and input functions of the mobile phone in FIG. 7, in some embodiments, the touch panel 931 and the display panel 941 may be integrated. Realize the input and output functions of the phone.
  • the mobile phone 900 can also include at least one type of sensor 950, such as a light sensor, a motion sensor, and other sensors.
  • the light sensor may include an ambient light sensor and a proximity sensor, wherein the ambient light sensor may adjust the brightness of the display panel 941 according to the brightness of the ambient light, and the proximity sensor may close the display panel 941 and/or when the mobile phone moves to the ear. Or backlight.
  • the accelerometer sensor can detect the magnitude of acceleration in all directions (usually three axes). When it is stationary, it can detect the magnitude and direction of gravity.
  • gesture of the mobile phone such as horizontal and vertical screen switching, related Game, magnetometer attitude calibration), vibration recognition related functions (such as pedometer, tapping), etc.;
  • Other sensors such as gyroscopes, barometers, hygrometers, thermometers, and infrared sensors that can be configured in the machine are not described here.
  • An audio circuit 960, a speaker 961, and a microphone 962 provide an audio interface between the user and the handset.
  • the audio circuit 960 can transmit the converted electrical data of the received audio data to the speaker 961, and convert it into a sound signal output by the speaker 961.
  • the microphone 962 converts the collected sound signal into an electrical signal, and the audio circuit 960 After receiving, it is converted into audio data, and then processed by the audio data output processor 980, sent to the other mobile phone via the RF circuit 910, or outputted to the memory 920 for further processing.
  • WiFi is a short-range wireless transmission technology.
  • the WiFi module 970 can help users send and receive emails, browse web pages and access streaming media. It provides users with wireless broadband Internet access.
  • FIG. 7 shows the WiFi module 970, it can be understood that it does not belong to the essential configuration of the mobile phone 900, and can be omitted as needed within the scope of not changing the essence of the invention.
  • the processor 980 is the control center of the handset, which connects various portions of the entire handset using various interfaces and lines, by executing or executing software programs and/or modules stored in the memory 920, and invoking data stored in the memory 920, The phone's various functions and processing data, so that the overall monitoring of the phone.
  • the processor 980 may include one or more processing units.
  • the processor 980 may integrate an application processor and a modem processor, where the application processor mainly processes an operating system, a user interface, an application, and the like.
  • the modem processor primarily handles wireless communications. It will be appreciated that the above described modem processor may also not be integrated into processor 980.
  • the handset 900 also includes a power source 990 (e.g., a battery) that powers the various components.
  • a power source 990 e.g., a battery
  • the power source can be logically coupled to the processor 980 through a power management system to manage charging, discharging, and power management functions through the power management system.
  • the mobile phone 900 may further include a camera, a Bluetooth module, and the like, and details are not described herein.
  • the processor 980 included in the terminal further has the following functions: Sending a security query request carrying the first URL to the cloud security server 1000.
  • the embodiment of the present invention further provides a computer storage medium, wherein the computer storage medium may store a program, and the program includes some or all of the steps of the access defense method of the malicious website described in the foregoing method embodiment.
  • the computer storage medium may store a program
  • the program includes some or all of the steps of the access defense method of the malicious website described in the foregoing method embodiment.
  • the disclosed apparatus can be implemented in other ways.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or may be Integration into another system, or some features can be ignored, or not executed.
  • the coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be electrical or otherwise.
  • the units described as separate components may or may not be physically separate, and the components displayed as the units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the objectives of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software functional unit.
  • the integrated unit if implemented in the form of a software functional unit and sold or used as a standalone product, may be stored in a computer readable storage medium.
  • the technical solution of the present invention may contribute to the prior art or all or part of the technical solution may be embodied in the form of a software product stored in a storage medium.
  • a number of instructions are included to cause a computer device (which may be a personal computer, server or network device, etc.) to perform all or part of the steps of the methods described in various embodiments of the present invention.
  • the storage medium includes: a U disk, a Read-Only Memory (ROM), a Random Access Memory (RAM), a removable hard disk, a magnetic disk, or an optical disk, and the like, which can store program codes.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明实施例公开了恶意网址的访问防御方法和相关装置。其中一种恶意网址的访问防御方法，可包括：接收来自用户终端的携带有一统一资源定位符的安全性查询请求；在N条域名安全性记录中查询是否有与统一资源定位符中包含的域名相匹配的记录，其中，N条域名安全性记录中的每条域名安全性记录中记录了域名和该域名是否为恶意域名的指示，其中，N为大于或等于1的整数；若查找到N条域名安全性记录中的域名安全性记录N1，与域名相匹配，且域名安全性记录N1指示出域名为恶意域名，则通知用户终端域名为恶意域名。本发明实施例提供的技术方案有利于更为灵活有效的防御恶意网址。

Description

恶意网址的访问防御方法和相关装置
本申请要求于 2013 年 5 月 07 日提交中国专利局、 申请号为 201310164648.8、 发明名称为"恶意网址的访问防御方法和相关装置"的中国专 利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及网络安全技术领域，具体涉及恶意网址的访问防御方法和相关 装置及网络系统。 背景技术
伴随着互联网技术的发展， 计算机病毒的种类也变得越来越多。
互联网技术的快速发展给人们生活带来越来越多的便利。人们通过互联网 可以方便的分享和下载各类资料、 获取各类重要信息、 在线支付账单等。 与此 同时， 互联网安全形势也不容乐观， 木马病毒伪装成正常文件肆意传播， 钓鱼 网站模仿正常网站盗取用户帐号密码愈演愈烈。 发明内容
本发明实施例提供恶意网址的访问防御方法和相关装置及网络系统，以期 更为灵活有效的防御恶意网址。
本发明实施例第一方面提供一种恶意网址的访问防御方法， 可包括： 接收用户的包括一统一资源定位符的安全性查询请求；
在存储的 N条域名安全性记录中查询是否有与所述统一资源定位符中包 含的一域名相匹配的记录， 其中， 所述 N条域名安全性记录中的每条域名安全 性记录中记录了域名和该域名是否为恶意域名的指示， 其中， 所述 N为大于或 等于 1的整数；
若查找到所述 N条域名安全性记录中的域名安全性记录 N1与所述域名相 匹配， 且所述域名安全性记录 N1指示出所述域名为恶意域名， 则通知所述用 户所述域名为恶意域名。
本发明实施例第二方面提供一种恶意网址的访问防御方法， 可包括： 接收来自用户终端的携带有统一资源定位符的安全性查询请求； 在存储的 M条站点安全性记录中查询是否有与所述统一资源定位符中包 含的站点名相匹配的记录， 其中， 所述 M条站点安全性记录中的每条站点安全 性记录中记录了站点名和该站点名是否为恶意站点名的指示， 其中， 所述 M为 大于或等于 1的整数；
若查找到所述 M条域名安全性记录之中的站点安全性记录 Ml , 与所述站 点名相匹配， 且所述站点安全性记录 Ml指示出所述站点名为恶意站点名， 则 通知所述用户终端所述站点名为恶意站点名。
本发明实施例第三方面提供一种恶意网址的访问防御装置， 可包括： 接收单元，用于接收来自用户终端的携带有统一资源定位符的安全性查询 请求；
第一查询单元， 用于在 N条域名安全性记录中查询是否有与所述统一资源 定位符中包含的一域名相匹配的记录， 其中， 所述 N条域名安全性记录中的每 条域名安全性记录中记录了域名和该域名是否为恶意域名的指示， 其中， 所述 N为大于或等于 1的整数；
判断单元， 用于若所述第一查询单元查找到所述 N条域名安全性记录中的 域名安全性记录 N1 , 与所述域名相匹配， 且所述域名安全性记录 N1指示出所 述域名为恶意域名， 则通知所述用户终端所述域名为恶意域名。
本发明实施例第四方面提供一种恶意网址的访问防御装置， 可包括： 接收单元， 用于接收用户的包括一统一资源定位符的安全性查询请求； 第二查询单元，用于在 M条站点安全性记录中查询是否有与所述统一资源 定位符中包含的站点名相匹配的记录， 其中， 所述 M条站点安全性记录中的每 条站点安全性记录中记录了站点名和该站点名是否为恶意站点名的指示， 其 中， 所述 M为大于或等于 1的整数；
判断单元，用于若所述第二查询单元查找到所述 M条域名安全性记录之中 的站点安全性记录 Ml , 与所述站点名相匹配， 且所述站点安全性记录 Ml指示 出所述站点名为恶意站点名， 则通知所述用户终端所述站点名为恶意站点名。
由上可见， 本发明实施例中， 例如云安全服务器等恶意网址的访问防御设 备在接收来自用户终端的携带有一 URL的安全性查询请求之后； 在存储的 N条 域名安全性记录中查询是否有与一 URL中包含的一域名相匹配的记录， 上述 N 条域名安全性记录中的每条域名安全性记录中记录了域名和该域名是否为恶 意域名的指示， 上述 N为大于或等于 1的整数； 若查找到上述 N条域名安全性记 录中的域名安全性记录 N1与所述域名相匹配， 且上述域名安全性记录 N1指示 出所述域名为恶意域名， 则通知上述用户终端所述域名为恶意域名。 由于摒弃 了现有云安全系统只是单一的以 URL作为安全性判定的基本单位，将域名也作 为安全性判定的一种粒度， 实践证明， 这可以有效打击此类随机变换的恶意 URL, 从而更好地为用户抵御恶意网站的攻击。 同时对于每一条随机 URL, 若 域名安全性记录指示该 URL所属域名为恶意域名，则可无需再记录该 URL的安 全信息， 而理论上黑客可以生成无数多条上述随机变化的 URL, 因而基于本发 明实施例机制可节省大量的服务端存储空间 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例或现有技术描述中所需要使用的附图作筒单地介绍，显而易见地， 下面描述 中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲，在不付 出创造性劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例提供的一种恶意网址的访问防御方法的流程示意图； 图 2是本发明实施例提供的另一种恶意网址的访问防御方法的流程示意 图；
图 3是本发明实施例提供的另一种恶意网址的访问防御方法的流程示意 图；
图 4-a是本发明实施例提供的一种域名安全性纪录的示意图；
图 4-b是本发明实施例提供的一种站点安全性纪录的示意图；
图 4-c是本发明实施例提供的一种云安全服务器的示意图；
图 5-a是本发明实施例提供的一种恶意网址的访问防御装置的示意图； 图 5-b是本发明实施例提供的另一种恶意网址的访问防御装置的示意图； 图 5-c是本发明实施例提供的另一种恶意网址的访问防御装置的示意图； 图 6-a是本发明实施例提供的另一种恶意网址的访问防御装置的示意图； 图 6-b是本发明实施例提供的另一种恶意网址的访问防御装置的示意图； 图 7是本发明实施例提供的另一种云安全服务器的示意图；
图 8是本发明实施例提供的另一种云安全服务器的示意图；
图 9是本发明实施例提供的一种网络系统的示意图；
图 10是本发明实施例提供的一种用户终端的示意图。 具体实施方式
本发明实施例提供恶意网址的访问防御方法和相关装置及网络系统，以期 更为灵活有效的防御恶意网址。
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施 例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描述， 显然， 所 描述的实施例仅仅是本发明一部分的实施例， 而不是全部的实施例。基于本发 明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所 有其他实施例， 都应当属于本发明保护的范围。
以下分别进行详细说明。
本发明的说明书和权利要求书及上述附图中的术语 "第一"、 "第二"、 "第 三" "第四" 等（如果存在）是用于区别类似的对象， 而不必用于描述特定的 顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换， 以便这里 描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。 此外， 术语 "包括" 和 "具有" 以及他们的任何变形， 意图在于覆盖不排他的 包含， 例如， 包含了一系列步骤或单元的过程、 方法、 系统、 产品或设备不必 限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些 过程、 方法、 产品或设备固有的其它步骤或单元。 本发明一种恶意网址的访问防御方法的一个实施例，恶意网址的访问防御 方法可包括： 接收来自用户终端的携带有第一 URL的安全性查询请求； 在 N条 域名安全性记录中查询是否有与第一 URL中包含的第一域名相匹配的记录，其 中， 上述 N条域名安全性记录中的每条域名安全性记录中记录了域名和该域名 是否为恶意域名的指示， 其中， 上述 N为大于或等于 1的整数； 若查找到上述 N 条域名安全性记录中的域名安全性记录 N1 , 与第一域名相匹配， 且上述域名 安全性记录 N1指示出第一域名为恶意域名， 则通知上述用户终端第一域名为 恶意域名。
首先请参见图 1 ,图 1是本发明一个实施例提供的一种恶意网址的访问防御 方法的流程示意图。 如图 1所示， 本发明一个实施例提供的一种恶意网址的访 问防御方法可包括以下内容：
101、 接收来自用户终端的携带有第一 URL的安全性查询请求。
在本发明的一些实施例中， 例如， 安装了浏览器的某用户终端在浏览某 URL (为便于后续引述， 称第一 URL )时， 为保证安全性， 用户终端先向例如 云安全服务器等恶意网址的访问防御装置发送携带第一 URL的安全性查询请 求， 以请求云端服务器验证第一 URL的安全性， 其中， 用户终端可访问安全的 URL, 而可拒绝访问未知或恶意的 URL。对于基于云安全服务器的云安全系统 而言，一条恶意 URL在首次出现在网络上后，通常只需数秒到数分钟即可被系 统捕获和拦截， 从而 ^艮难蔓延和危害互联网的海量用户群体。
102、 在 N条域名安全性记录中查询是否有与第一 URL中包含的第一域名 相匹配的记录， 其中， 上述 N条域名安全性记录中的每条域名安全性记录中记 录了域名和该域名是否为恶意域名的指示， 其中， 上述 N为大于或等于 1的整 数。
在本发明的一些实施例中， 可在某个域名下的 URL首次被访问时， 生成该 域名对应的一条域名安全性记录， 其中， 该条域名安全性记录中记录了该某个 域名和该域名是否为恶意域名的指示。或者， 也可进一步主动从互联网上收集 多个域名 （可包括热点域名、 还可包括非热点域名等）， 并可分别生成该多个 域名对应的域名安全性记录， 其中，每条域名安全性记录中记录了一个域名和 该域名是否为恶意域名的指示。
103、 若查找到上述 N条域名安全性记录中的域名安全性记录 N1 , 与第一 域名相匹配， 且上述域名安全性记录 N1指示出第一域名为恶意域名， 则通知 上述用户终端第一域名为恶意域名。 当然， 若查找到上述 N条域名安全性记录中的域名安全性记录 Nl , 与第一 域名相匹配， 且上述域名安全性记录 N1指示出第一域名为安全域名， 则可通 知上述用户终端第一域名为安全域名。
在本发明的一些实施例中， 若查找到上述 N条域名安全性记录中的域名安 全性记录 N1 , 与第一域名相匹配， 且上述域名安全性记录 N1指示出第一域名 为安全域名，则在 M条站点安全性记录中查询是否有与第一 URL中包含的第一 站点名相匹配的记录， 其中， 上述 M条站点安全性记录中的每条站点安全性记 录中记录了站点名和该站点名是否为恶意站点名的指示， 其中， 上述 M为大于 或等于 1的整数； 若查找到上述 M条域名安全性记录之中的站点安全性记录 Ml 与第一站点名相匹配， 且上述站点安全性记录 Ml指示出第一站点名为恶意站 点名， 则可通知上述用户终端第一站点名为恶意站点名。
在本发明的一些实施例中， 可在某个站点名下的 URL首次被访问时， 生成 该站点名对应的一条站点安全性记录， 其中， 该条站点安全性记录中记录了该 某个站点名和该站点名是否为恶意站点名的指示。或者，也可进一步主动从互 联网上收集多个站点名 （可包括热点站点名、 还可包括非热点站点名等）， 并 可分别生成该多个站点名对应的站点安全性记录，其中，每条站点安全性记录 中记录了一个站点名和该站点名是否为恶意站点名的指示。
在本发明的一些实施例中，若查找到上述 M条域名安全性记录之中的站点 安全性记录 Ml与第一站点名相匹配， 且上述站点安全性记录 Ml指示出第一站 点名为安全站点名， 则可进一步检查第一 URL是否为恶意 URL, 若检查出第一 URL为恶意 URL, 则可通知上述用户终端第一 URL为恶意 URL, 若检查出第一 URL为安全 URL, 则可通知上述用户终端第一 URL为安全 URL。
在本发明的一些实施例中， 可在第一域名满足预设的整域拉截条件时，在 上述站点安全性记录 N1中记录第一域名为恶意域名的指示， 可在第一域名未 满足预设的整域拦截条件时， 在站点安全性记录 N1中记录第一域名为安全域 名或风险域名的指示。其中，预设的整域拉截条件可以根据实际的安全性需求 进行具体设定， 举例来说， 整域拉截条件包括如下条件的至少一个： 统计出在 第一时长（例如 2分钟或其它值） 内第一域名下恶意 URL的被访问次数超过设 定的第一阈值（例如 100次或其它值）、 统计出在第二时长（例如 2分钟或其它 值）内第一域名下恶意 URL的被访问次数， 占第一域名下的所有 URL的被访问 总次数的比例超过设定的第二阈值（例如 5%或其它值）、统计出在第三时长（例 如 5分钟或其它值） 内第一域名下被访问的恶意 URL的个数超过设定的第三阈 值（例如 50个或其它值）、 统计出在第四时长（例如 2分钟或其它值） 内第一域 名下被访问的恶意 URL的个数，占第一域名下被访问的所有 URL的总个数的比 例超过设定的第四阈值（例如 10%或其它值）、 第一域名下的恶意站点个数超 过设定的第九阈值（例如 10个或其它值）、 第一域名下的恶意站点个数占第一 域名下站点总个数的比例超过设定的第十阈值（例如 10%或其它值）。
在本发明一些实施例中，可在第一站点名满足预设的整站拦截条件时，在 上述站点安全性记录 Ml中记录第一站点名为恶意站点名的指示， 在第一站点 名未满足预设的整站拦截条件时， 在上述站点安全性记录 Ml中记录第一站点 名为安全站点名或风险站点名的指示。 其中，预设的整站拦截条件可以根据实 际的安全性需求进行具体设定，举例来说， 整站拦截条件包括如下条件的至少 一个： 统计出在第五时长（例如 2分钟或者其它值） 内第一站点名下恶意 URL 的被访问次数超过设定的第五阈值（例如 100次或者其它值）、统计出在第六时 长（例如 2分钟或其它值） 内第一站点名下恶意 URL的被访问次数， 占第一站 点名下的所有 URL的被访问总次数的比例超过设定的第六阈值（例如 5%或者 其它值）、 统计出在第七时长（例如 5分钟或其它值）内第一站点名下被访问的 恶意 URL的个数超过设定的第七阈值（例如 10个或其它值）、 统计出在第八时 长（例如 10分钟或其它值）内第一站点名下被访问的恶意 URL的个数， 占第一 站点名下被访问的所有 URL的总个数的比例超过设定的第八阈值（例如 10%或 其它值）。
在本发明一些实施例中， 第一时长、 第二时长、 第三时长、 第四时长、 第 五时长、 第六时长、 第七时长和第八时长中的部分或全部时长可相等， 当然各 时长亦可均不相等。
可以理解的是，本实施例上述方案例如可以在云安全服务器等恶意网址的 访问防御装置中具体实施。 其中， 本发明各实施例所指的用户终端可为个人电脑、 手机、 个人数字处 理设备或其它类型的能够利用 URL进行网页访问的用户终端，本发明实施例对 于用户终端的具体产品形式不做特别限定。
由上可见， 本实施例方案中， 例如云安全服务器在接收来自用户终端的携 带有第一 URL的安全性查询请求； 在 N条域名安全性记录中查询是否有与第一 URL中包含的第一域名相匹配的记录， 上述 N条域名安全性记录中的每条域名 安全性记录中记录了域名和该域名是否为恶意域名的指示， 上述 N为大于或等 于 1的整数； 若查找到上述 N条域名安全性记录中的域名安全性记录 N1 , 与第 一域名相匹配， 且上述域名安全性记录 N1指示出第一域名为恶意域名， 则通 知上述用户终端第一域名为恶意域名。由于摒弃了现有云安全系统只是单一的 以 URL作为安全性判定的基本单位，将域名也作为安全性判定的一种粒度， 实 践证明， 这可以有效打击此类随机变换的恶意 URL,从而更好地为用户抵御恶 意网站的攻击。 同时对于每一条随机 URL, 若域名安全性记录指示该 URL所属 域名为恶意域名， 则可无需再记录该 URL的安全信息， 而理论上黑客可以生成 无数多条上述随机变化的 URL,因而基于本发明实施例机制可节省大量的服务 端存储空间。 本发明一种恶意网址的访问防御方法的另一实施例，恶意网址的访问防御 方法包括： 接收来自用户终端的携带有第一 URL的安全性查询请求； 在 M条站 点安全性记录中查询是否有与第一 URL中包含的第一站点名相匹配的记录，其 中上述 M条站点安全性记录中的每条站点安全性记录中记录了站点名和该站 点名是否为恶意站点名的指示， 其中上述 M为大于或等于 1的整数； 若查找到 上述 M条域名安全性记录之中的站点安全性记录 Ml与第一站点名相匹配， 且 上述站点安全性记录 Ml指示出第一站点名为恶意站点名， 则通知上述用户终 端第一站点名为恶意站点名。
首先请参见图 2,图 2是本发明另一个实施例提供的一种恶意网址的访问防 御方法的流程示意图。 如图 2所示， 本发明另一个实施例提供的一种恶意网址 的访问防御方法可包括以下内容：
201、 接收来自用户终端的携带有第一 URL的安全性查询请求。 在本发明的一些实施例中， 例如浏览器等用户终端在浏览某 URL (为便于 后续引述， 称第一 URL )时， 为保证安全性， 用户终端先向例如云安全服务器 等恶意网址的访问防御装置发送携带第一 URL的安全性查询请求，以请求云端 服务器验证第一 URL的安全性， 用户终端可访问安全的 URL, 而可拒绝访问未 知或恶意的 URL。 对于基于云安全服务器的云安全系统而言， 一条恶意 URL 在首次出现在网络上后，通常只需数秒到数分钟即可被系统捕获和拦截，从而 4艮难蔓延和危害互联网的海量用户群体。
202、 在 M条站点安全性记录中查询是否有与第一 URL中包含的第一站点 名相匹配的记录， 其中， 上述 M条站点安全性记录中的每条站点安全性记录中 记录了站点名和该站点名是否为恶意站点名的指示， 其中， 上述 M为大于或等 于 1的整数。
203、 若查找到 M条域名安全性记录之中的站点安全性记录 Ml , 与第一站 点名相匹配， 且站点安全性记录 Ml指示出第一站点名为恶意站点名， 则通知 上述用户终端第一站点名为恶意站点名。
在本发明的一些实施例中， 可在某个站点名下的 URL首次被访问时， 生成 该站点名对应的一条站点安全性记录， 其中， 该条站点安全性记录中记录了该 某个站点名和该站点名是否为恶意站点名的指示。或者，也可进一步主动从互 联网上收集多个站点名 （可包括热点站点名、 还可包括非热点站点名等）， 并 可分别生成该多个站点名对应的站点安全性记录，其中，每条站点安全性记录 中记录了一个站点名和该站点名是否为恶意站点名的指示。
在本发明一些实施例中， 可在第一站点名满足预设的整站拦截条件时，在 上述站点安全性记录 Ml中记录第一站点名为恶意站点名的指示， 在第一站点 名未满足预设的整站拦截条件时， 在上述站点安全性记录 Ml中记录第一站点 名为安全站点名或风险站点名的指示。 其中，预设的整站拦截条件可以根据实 际的安全性需求进行具体设定，举例来说， 整站拦截条件包括如下条件的至少 一个：统计出在第五时长内第一站点名下恶意 URL的被访问次数超过设定的第 五阈值、统计出在第六时长内第一站点名下恶意 URL的被访问次数， 占第一站 点名下的所有 URL的被访问总次数的比例超过设定的第六阈值、统计出在第七 时长内第一站点名下被访问的恶意 URL被访问的个数超过设定的第七阈值、统 计出在第八时长内第一站点名下被访问的恶意 URL的个数，占第一站点名下被 访问的所有 URL的总个数的比例超过设定的第八阈值。
在本发明的一些实施例中，若查找到 M条域名安全性记录之中的站点安全 性记录 Ml , 与第一站点名相匹配， 且站点安全性记录 Ml指示出第一站点名为 安全站点名， 还可进一步在 N条域名安全性记录中查询是否有与第一 URL中包 含的第一域名相匹配的记录， 其中， 上述 N条域名安全性记录中的每条域名安 全性记录中记录了域名和该域名是否为恶意域名的指示， 上述 N为大于或等于 1的整数， 若查找到上述 N条域名安全性记录中的域名安全性记录 N1 , 与第一 域名相匹配， 且上述域名安全性记录 N1指示出第一域名为恶意域名， 则可通 知上述用户终端第一域名为恶意域名。
在本发明的一些实施例中， 可在第一域名满足预设的整域拉截条件时，在 上述站点安全性记录 N1中记录第一域名为恶意域名的指示， 可在第一域名未 满足预设的整域拦截条件时， 在站点安全性记录 N1中记录第一域名为安全域 名或风险域名的指示。其中，预设的整域拉截条件可以根据实际的安全性需求 进行具体设定， 举例来说， 整域拉截条件包括如下条件的至少一个： 统计出在 第一时长内第一域名下恶意 URL的被访问次数超过设定的第一阈值、统计出在 第二时长内第一域名下恶意 URL的被访问次数，占第一域名下的所有 URL的被 访问总次数的比例超过设定的第二阈值、统计出在第三时长内第一域名下被访 问的恶意 URL的个数超过设定的第三阈值、统计出在第四时长内第一域名下被 访问的恶意 URL的个数，占第一域名下被访问的所有 URL的总个数的比例超过 设定的第四阈值、第一域名下的恶意站点个数超过设定的第九阈值、第一域名 下的恶意站点个数占第一域名下站点总个数的比例超过设定的第十阈值。
在本发明一些实施例中， 第一时长、 第二时长、 第三时长、 第四时长、 第 五时长、 第六时长、 第七时长和第八时长中的部分或全部时长可相等， 当然各 时长亦可均不相等。
在本发明的一些实施例中， 若查找到上述 N条域名安全性记录中的域名安 全性记录 N1 , 与第一域名相匹配， 且上述域名安全性记录 N1指示出第一域名 为安全域名， 则可进一步检查第一 URL是否为恶意 URL, 若检查出第一 URL 为恶意 URL, 则可通知上述用户终端第一 URL为恶意 URL, 若检查出第一 URL 为安全 URL, 则可通知上述用户终端第一 URL为安全 URL。
可以理解的是，本实施例上述方案例如可以在云安全服务器等恶意网址的 访问防御装置中具体实施。
由上可见， 本实施例方案中， 例如云安全服务器在接收来自用户终端的携 带有第一 URL的安全性查询请求之后；先在 M条站点安全性记录中查询是否有 与第一 URL中包含的第一站点名相匹配的记录， 其中， 上述 M条站点安全性记 录中的每条站点安全性记录中记录了站点名和该站点名是否为恶意站点名的 指示， 其中上述 M为大于或等于 1的整数； 若查找到上述 M条域名安全性记录 之中的站点安全性记录 Ml与第一站点名相匹配， 且上述站点安全性记录 Ml指 示出第一站点名为恶意站点名， 则通知上述用户终端第一站点名为恶意站点 名。 由于摒弃了现有云安全系统只是单一的以 URL作为安全性判定的基本单 位， 将站点也作为安全性判定的一种粒度， 实践证明， 这可以有效打击此类随 机变换的恶意 URL, 从而更好地为用户抵御恶意网站的攻击。 参见图 3 ,图 3是本发明另一个实施例提供的一种恶意网址的访问防御方法 的流程示意图。 如图 1所示， 本发明另一个实施例提供的一种恶意网址的访问 防御方法可包括以下内容：
301、 云安全服务器接收来自用户终端的携带有 URL-1的安全性查询请求 ql;
302、 云安全服务器接收到携带有 URL-1的安全性查询请求 ql之后， 云安 全服务器在 N条域名安全性记录中查询是否有与 URL-1中包含的域名 zl相匹配 的记录；
若是， 则执行步骤 303; 若否， 则执行步骤 305;
其中， 上述 N条域名安全性记录中的每条域名安全性记录中记录了域名和 该域名是否为恶意域名的指示， 其中， 上述 N为大于或等于 1的整数。
其中， 每条域名安全性记录可如图 4-a所示， 可包括域名字段和安全性指 示字段， 其中， 域名字段记录域名， 安全性指示字段记录该域名是为恶意域名 的指示。
303、 若查找到上述 N条域名安全性记录中的域名安全性记录 N1与第一域 名相匹配， 判断上述域名安全性记录 N1是否指示出第一域名为恶意域名； 若是， 则执行步骤 304; 若否 （即域名安全性记录 N1指示出第一域名为安 全域名 ), 则执行步骤 305;
304、 若上述域名安全性记录 N1指示出第一域名为恶意域名， 则云安全服 务器通知上述用户终端第一域名为恶意域名。
305、 云安全服务器在 M条站点安全性记录中查询是否有与 URL- 1中包含 的第一站点名相匹配的记录。
若是， 则执行步骤 306; 若否， 则执行步骤 308;
其中，上述 M条站点安全性记录中的每条站点安全性记录中记录了站点名 和该站点名是否为恶意站点名的指示， 其中， 上述 M为大于或等于 1的整数； 其中， 每条站点安全性记录可如图 4-b所示， 可包括站点名字段和安全性 指示字段， 其中， 站点名字段记录站点名， 安全性指示字段记录该站点名是为 恶意站点名的指示。
306、 若查找到上述 M条域名安全性记录之中的站点安全性记录 Ml与第一 站点名相匹配， 则判断上述站点安全性记录 Ml是否指示出第一站点名为恶意 站点名；
若是， 则执行步骤 307;
若否（即站点安全性记录 Ml指示出第一站点名为安全站点名 ), 则执行步 骤 308;
307、 若站点安全性记录 Ml指示出第一站点名为恶意站点名， 则云安全服 务器可通知用户终端第一站点名为恶意站点名。
308、 则云安全服务器可检查 URL-1是否为安全 URL。
若是， 则执行步骤 309; 若否， 则执行步骤 310;
309、 若检查出 URL-1为安全 URL, 则云安全服务器通知用户终端 URL-1 名为安全 URL。
310、 若检查出 URL-1为恶意 URL, 则云安全服务器通知用户终端 URL-1 名为恶意 URL。
可以理解的是， 本实施例中主要是以先检查域名的安全性，再检查站点的 安全性、 最后检查 URL安全性的检查顺序为例进行说明的， 当然， 在其它应用 场景下亦可按照先检查站点安全性，再检查域名安全性、最后检查 URL安全性 的检查顺序进行操作。
可以理解的是，本实施例上述方案例如可以在云安全服务器等恶意网址的 访问防御装置中具体实施。
由上可见，本实施例方案中云安全服务器接收来自用户终端的携带有 URL 的安全性查询请求之后； 先检测该 URL中包含的第一域名是否恶意，在先检测 该 URL中包含的站点名是否恶意， 最后检查该 URL是否恶意。 由于摒弃了现有 云安全系统只是单一的以 URL作为安全性判定的基本单位，将域名和站点名也 作为安全性判定的一种粒度， 实践证明， 这可以有效打击此类随机变换的恶意 URL, 从而更好地为用户抵御恶意网站的攻击。 同时， 对于每条随机 URL, 若 域名安全性记录指示该 URL所属域名为恶意域名，则可无需再记录该 URL的安 全信息， 而理论上黑客可以生成无数多条上述随机变化的 URL, 因而基于本发 明实施例机制可节省大量的服务端存储空间。 为便于更好的理解和实施本发明实施例的上述方面，下面通过举例几个应 用场景进行进一步介绍。
用户通过用户终端访问的 URL通常由以下几部分组成：
〈协议名〉： //<站点 >: 〈端口 >/<路径 >?<参数 >
t匕^口 http：〃 news.qq.com:80/2012/shenzhen/top.html?username=bob
协议名默认为 http, 用户可不填写。
上述 URL中， qq.com为一级域名， 一级域名下可能包含许多站点名， 例如 news.qq.com, book.qq.com, mail.qq.com等；
端口号默认为 80, 用户可不填写。
路径 2012/shenzhen/top.html指明了用户访问此站点下的页面路径， 如 2012 目录下的 shenzhen子目录下的 top.html文件；
参数 username=bob表示访问网页时用户附带的信息， 比如用户在网站上登 录的用户名等。
通过参数随机变换的方式，黑客很容易构造出同一站点下大量不同的 URL 指向同样的网页内容。
参见图 4-c, 图 4-c是本发明实施例提供的一种云安全服务器， 可包括： 聚 类分析模块 410、 云端查询模块 420、 云端鉴定模块 430。 下面以基于图 4-c所示 架构的云安全服务器实施恶意网址的访问防御方法为例进行说明。
其中， 云端查询模块 420可接收来自用户终端的安全性查询请求， 其中安 全性查询请求携带用户终端将访问的 URL。
聚类分析模块 410可以站点或者域名为单位实时统计各站点的查询情况和 检测情况，当满足设定条件时标记整站或整域为恶意并可将记录发送给云端鉴 定模块 420。
云端鉴定模块 420, 用于先查询用户终端将访问的 URL所对应的一级域名 是否恶意， 如果恶意则通知用户终端； 否则， 继续查询此 URL所对应的站点是 否是恶意的， 如果恶意也通知用户终端； 当一级域名和站点均不是恶意时， 才 进一步查询本条 URL的安全状态。
聚类分析模块 410记录每一次用户终端的查询结果，记录内容类似三元组 < 查询时间， 查询 URL, 查询结果>, 表示在某个时间用户访问了安全 /恶意 /未 知的某个网址； 聚类分析模块 410记录每一次云端鉴定模块的检测结果， 记录 内容可类似三元组 <检测时间， 检测 URL, 检测结果>, 表示在某个时间检测 出某个网址为安全 /恶意。
聚类分析模块 410可统计各站点下 URL的检测和查询情况， 例如过去一段 时间内用户访问了某站点下的安全 /恶意 /未知 URL各多少次， 过去一段时间内 检测出某站点下的安全 /恶意 URL各多少次。
聚类分析模块 410判定站点是否满足预设整站拦截条件。
聚类分析模块 410可在第一站点满足预设的整域拦截条件时， 在站点安全 性记录 Ml中记录第一站点名为恶意站点名的指示， 可在第一站点未满足预设 的整站拦截条件时， 在站点安全性记录 Ml中记录第一站点名为安全站点名或 风险站点名的指示。其中，预设的整域拦截条件可以根据实际的安全性需求进 行具体设定， 举例来说， 整站拦截条件包括如下条件的至少一个： a) .在 tl时长内某站点下恶意 URL被访问次数超过设定阈值 n 1、
b) .在 tl时长内某站下恶意 URL被访问次数占总访问次数的比例超过设定 阈值 n2、
c).在 tl时长内检出某站下恶意 URL被访问的个数超过设定阈值 n3、 d).在 tl时长内检出某站下被访问的恶意 URL个数占被访问 URL的总数比 例超过设定阈值 n4。
举例来说， 例如设置 tl=l小时， nl=90, n2=0.5 , n3=10, n4=0.5。
假设在最近 1小时内， 某站点下的 URL来云安全服务器查询了 100次， 其中 的 80次返回结果是恶意 URL,最近一小时内检测 a.test.com下 URL共 20条，其中 15条为鉴定为恶意 URL, 整站拦截条件 a)、 b)、 c)、 d)均满足， 聚类分析模块 510可以对站点名进行恶意标记， 以便后续做整站拦截。 其中， 其它场景可以 此类推。
聚类分析模块 410判定域名是否满足预设整域拦截条件。
聚类分析模块 410可在第一域名满足预设的整域拦截条件时， 在上述域名 安全性记录 N1中记录第一域名为恶意域名的指示， 可在第一域名未满足预设 的整域拦截条件时， 在域名安全性记录 N1中记录第一域名为安全域名或风险 域名的指示。其中，预设的整域拉截条件可以根据实际的安全性需求进行具体 设定， 举例来说， 整域拦截条件包括如下条件的至少一个：
a).在 t2时长内某域名下恶意 URL被访问次数超过设定阈值 n5、
b) .在 t2时长内某域名下恶意 URL被访问次数占总访问次数的比例超过设 定阈值 n6、
c) .在 t2时长内检出某域名下恶意 URL被访问的个数超过设定阈值 n7、 d) .在 t2时长内检出某域名下被访问的恶意 URL个数占被访问 URL的总数 比例超过设定阈值 n8、
e) . 某域名下的恶意站点数目超过设定阈值 n5;
f) .某域名下的恶意站点比例超过设定阈值 n6。
举例来说， 例如设置 n5=10, n6=0.5。 比如域名 test.com下共有 30个站点， 其中 18个已经标记为恶意站点， 整域 拦截条件 e)和 f)均满足， 聚类分析模块 510可以对此一级域名 test.com进行恶意 标记， 以便后续做整域拉截， 其它场景以此类推。
上述举例仅为进行问题说明， 在实际应用中可以适应性的灵活变化。 为便于更好的实施本发明实施例的上述方案，下面还提供用于实施上述方 案的相关装置。 参见图 5-a, 本发明实施例提供一种恶意网址的访问防御装置 500, 可以包 括： 接收单元 510、 第一查询单元 520和判断单元 530。
其中， 接收单元 510, 用于接收来自用户终端的携带有第一 URL的安全性 查询请求。
第一查询单元 520, 用于在 N条域名安全性记录中查询是否有与第一 URL 中包含的第一域名相匹配的记录， 其中， 上述 N条域名安全性记录中的每条域 名安全性记录中记录了域名和该域名是否为恶意域名的指示， 其中， 上述 N为 大于或等于 1的整数。
判断单元 530, 用于若第一查询单元 520查找到上述 N条域名安全性记录中 的域名安全性记录 N1 , 与第一域名相匹配， 且上述域名安全性记录 N1指示出 第一域名为恶意域名， 则通知上述用户终端第一域名为恶意域名。
参见图 5-b , 在本发明的一些实施例中， 恶意网址的访问防御装置 500还可 包括：
第二查询单元 540, 用于若查找到上述 N条域名安全性记录中的域名安全 性记录 N1 , 与第一域名相匹配， 且上述域名安全性记录 N1指示出第一域名为 安全域名，则在 M条站点安全性记录中查询是否有与第一 URL中包含的第一站 点名相匹配的记录， 其中， 上述 M条站点安全性记录中的每条站点安全性记录 中记录了站点名和该站点名是否为恶意站点名的指示， 其中， 上述 M为大于或 等于 1的整数。
判断单元 530还可用于，若第二查询单元 550查找到上述 M条域名安全性记 录之中的站点安全性记录 Ml , 与第一站点名相匹配， 且上述站点安全性记录 Ml指示出第一站点名为恶意站点名， 则通知上述用户终端第一站点名为恶意 站点名。
在本发明的一些实施例中， 第二查询单元 540若查找到上述 M条域名安全 性记录之中的站点安全性记录 Ml与第一站点名相匹配， 且上述站点安全性记 录 Ml指示出第一站点名为安全站点名，则判断单元 530可进一步检查第一 URL 是否为恶意 URL, 若检查出第一 URL为恶意 URL, 则可通知上述用户终端第一 URL为恶意 URL, 若检查出第一 URL为安全 URL, 则可通知上述用户终端第一 URL为安全 URL。
参见图 5-c, 在本发明的一些实施例中， 恶意网址的访问防御装置 500还可 包括：
记录单元 550, 用于在第一域名满足预设的整域拦截条件时， 在上述站点 安全性记录 N1中记录第一域名为恶意域名的指示； 和 /或， 在第一站点名满足 预设的整站拦截条件时， 在上述站点安全性记录 Ml中记录第一站点名为恶意 站点名的指示。
在本发明的一些实施例中， 记录单元 550可在第一域名满足预设的整域拉 截条件时， 在上述站点安全性记录 N1中记录第一域名为恶意域名的指示， 可 在第一域名未满足预设的整域拦截条件时， 在站点安全性记录 N1中记录第一 域名为安全域名或风险域名的指示。其中，预设的整域拦截条件可以根据实际 的安全性需求进行具体设定，举例来说， 整域拦截条件包括如下条件的至少一 个： 统计出在第一时长（例如 2分钟或其它值） 内第一域名下恶意 URL的被访 问次数超过设定的第一阈值（例如 100次或其它值）、 统计出在第二时长（例如 2分钟或其它值） 内第一域名下恶意 URL的被访问次数， 占第一域名下的所有 URL的被访问总次数的比例超过设定的第二阈值（例如 5%或其它值）、 统计出 在第三时长（例如 5分钟或其它值） 内第一域名下被访问的恶意 URL的个数超 过设定的第三阈值（例如 50个或其它值）、 统计出在第四时长（例如 2分钟或其 它值） 内第一域名下被访问的恶意 URL的个数， 占第一域名下被访问的所有 URL的总个数的比例超过设定的第四阈值（例如 10%或其它值）、 第一域名下 的恶意站点个数超过设定的第九阈值（例如 10个或其它值）、 第一域名下的恶 意站点个数占第一域名下站点总个数的比例超过设定的第十阈值（例如 10%或 其它值）。
在本发明的一些实施例中， 记录单元 550可在第一站点名满足预设的整站 拦截条件时， 在上述站点安全性记录 Ml中记录第一站点名为恶意站点名的指 示， 在第一站点名未满足预设的整站拦截条件时， 在上述站点安全性记录 Ml 中记录第一站点名为安全站点名或风险站点名的指示。其中，预设的整站拦截 条件可以根据实际的安全性需求进行具体设定， 例如， 整站拦截条件包括如下 条件的至少一个： 统计出在第五时长（如 2分钟或者其它值） 内第一站点名下 恶意 URL的被访问次数超过设定的第五阈值（例如 100次或其它值）、统计出在 第六时长（例如 2分钟或其它值） 内第一站点名下恶意 URL的被访问次数， 占 第一站点名下的所有 URL的被访问总次数的比例超过设定的第六阈值（例如 5%或者其它值）、 统计出在第七时长（例如 5分钟或者其它值） 内第一站点名 下被访问的恶意 URL的个数超过设定的第七阈值（例如 10个或者其它值）、 统 计出在第八时长（例如 10分钟或其它值） 内第一站点名下被访问的恶意 URL 的个数，占第一站点名下被访问的所有 URL的总个数的比例超过设定的第八阈 值（例如 10%或其它值）。
在本发明一些实施例中， 第一时长、 第二时长、 第三时长、 第四时长、 第 五时长、 第六时长、 第七时长和第八时长中的部分或全部时长可相等， 当然各 时长亦可均不相等。
可以理解的是， 本实施例的恶意网址的访问防御装置 500的各功能模块的 功能可根据上述方法实施例中的方法具体实现，其具体实现过程可以参照上述 方法实施例的相关描述， 此处不再赘述。 参见图 6-a, 本发明实施例提供另一种恶意网址的访问防御装置 600, 可以 包括： 接收单元 610、 第二查询单元 620和判断单元 630。
接收单元 610, 用于接收来自用户终端的携带有第一 URL的安全性查询请 求。
第二查询单元 620, 用于在 M条站点安全性记录中查询是否有与第一 URL 中包含的第一站点名相匹配的记录， 其中， 上述 M条站点安全性记录中的每条 站点安全性记录中记录了站点名和该站点名是否为恶意站点名的指示， 其中， 上述 M为大于或等于 1的整数。
判断单元 630,用于若第二查询单元 620查找到上述 M条域名安全性记录之 中的站点安全性记录 Ml , 与第一站点名相匹配， 且上述站点安全性记录 Ml指 示出第一站点名为恶意站点名， 则通知上述用户终端第一站点名为恶意站点 名。
在本发明的一些实施例中， 第二查询单元 620若查找到上述 M条域名安全 性记录之中的站点安全性记录 Ml与第一站点名相匹配， 且上述站点安全性记 录 Ml指示出第一站点名为安全站点名，则判断单元 630可进一步检查第一 URL 是否为恶意 URL, 若检查出第一 URL为恶意 URL, 则可通知上述用户终端第一 URL为恶意 URL, 若检查出第一 URL为安全 URL, 则可通知上述用户终端第一 URL为安全 URL。
参见图 6-b, 在本发明的一些实施例中， 恶意网址的访问防御装置 600还可 包括：
记录单元 640, 用于在第一域名满足预设的整域拦截条件时， 在上述站点 安全性记录 N1中记录第一域名为恶意域名的指示； 和 /或， 在第一站点名满足 预设的整站拦截条件时， 在上述站点安全性记录 Ml中记录第一站点名为恶意 站点名的指示。
在本发明的一些实施例中， 记录单元 640可在第一域名满足预设的整域拉 截条件时， 在上述站点安全性记录 N1中记录第一域名为恶意域名的指示， 可 在第一域名未满足预设的整域拦截条件时， 在站点安全性记录 N1中记录第一 域名为安全域名或风险域名的指示。其中，预设的整域拦截条件可以根据实际 的安全性需求进行具体设定，举例来说， 整域拦截条件包括如下条件的至少一 个： 统计出在第一时长（例如 2分钟或其它值） 内第一域名下恶意 URL的被访 问次数超过设定的第一阈值（例如 100次或其它值）、 统计出在第二时长（例如 2分钟或其它值） 内第一域名下恶意 URL的被访问次数， 占第一域名下的所有 URL的被访问总次数的比例超过设定的第二阈值（例如 5%或其它值）、 统计出 在第三时长（例如 5分钟或其它值） 内第一域名下被访问的恶意 URL的个数超 过设定的第三阈值（例如 50个或其它值）、 统计出在第四时长（例如 2分钟或其 它值） 内第一域名下被访问的恶意 URL的个数， 占第一域名下被访问的所有 URL的总个数的比例超过设定的第四阈值（例如 10%或其它值）、 第一域名下 的恶意站点个数超过设定的第九阈值（例如 10个或其它值）、 第一域名下的恶 意站点个数占第一域名下站点总个数的比例超过设定的第十阈值（例如 10%或 其它值）。
在本发明的一些实施例中， 记录单元 640可在第一站点名满足预设的整站 拦截条件时， 在上述站点安全性记录 Ml中记录第一站点名为恶意站点名的指 示， 在第一站点名未满足预设的整站拦截条件时， 在上述站点安全性记录 Ml 中记录第一站点名为安全站点名或风险站点名的指示。其中，预设的整站拦截 条件可以根据实际的安全性需求进行具体设定， 例如， 整站拦截条件包括如下 条件的至少一个： 统计出在第五时长（如 2分钟或者其它值） 内第一站点名下 恶意 URL的被访问次数超过设定的第五阈值（例如 100次或其它值）、统计出在 第六时长（例如 2分钟或其它值） 内第一站点名下恶意 URL的被访问次数， 占 第一站点名下的所有 URL的被访问总次数的比例超过设定的第六阈值（例如 5%或者其它值）、 统计出在第七时长（例如 5分钟或者其它值） 内第一站点名 下被访问的恶意 URL的个数超过设定的第七阈值（例如 10个或者其它值）、 统 计出在第八时长（例如 10分钟或其它值） 内第一站点名下被访问的恶意 URL 的个数，占第一站点名下被访问的所有 URL的总个数的比例超过设定的第八阈 值（例如 10%或其它值）。
可以理解的是， 本实施例的恶意网址的访问防御装置 600的各功能模块的 功能可根据上述方法实施例中的方法具体实现，其具体实现过程可以参照上述 方法实施例的相关描述， 此处不再赘述。 参见图 7, 本发明实施例提供一种云安全服务器 700, 可包括：
处理器 710、 存储器 720、 输入装置 730和输出装置 740。 云安全服务器 700 中的处理器 710的数量可以一个或多个， 图 7中以一个处理器为例。在本发明的 一些实施例中， 处理器 710、 存储器 720、 输入装置 730和输出装置 740可通过总 线或其它方式连接， 其中， 图 7中以通过总线连接为例。
存储器 720可用于存储软件程序以及模块，处理器 710通过运行存储在存储 器 720的软件程序以及模块，从而执行云安全服务器 700的各种功能应用以及数 据处理。 存储器 720可主要包括存储程序区和存储数据区， 其中， 存储程序区 可存储操作系统、 至少一个功能所需的应用程序（比如声音播放功能、 图像播 放功能等 )等； 存储数据区可存储根据手机的使用所创建的数据 (比如音频数 据、 电话本等）等。 此外， 存储器 720可以包括高速随机存取存储器， 还可以 包括非易失性存储器， 例如至少一个磁盘存储器件、 闪存器件、 或其他易失性 固态存储器件。 输入装置 730可用于接收输入的数字或字符信息， 以及产生与 云安全服务器 700的用户设置以及功能控制有关的键信号输入。
其中， 处理器 710执行如下步骤：
接收来自用户终端的携带有第一 URL的安全性查询请求； 在 N条域名安全 性记录中查询是否有与第一 URL中包含的第一域名相匹配的记录， 其中， 上述 N条域名安全性记录中的每条域名安全性记录中记录了域名和该域名是否为 恶意域名的指示， 其中， 上述 N为大于或等于 1的整数； 若查找到上述 N条域名 安全性记录中的域名安全性记录 N1 , 与第一域名相匹配， 且上述域名安全性 记录 N1指示出第一域名为恶意域名， 则通知上述用户终端第一域名为恶意域 名。
在本发明的一些实施例中， 处理器 710可在某个域名下的 URL首次被访问 时， 生成该域名对应的一条域名安全性记录， 其中， 该条域名安全性记录中记 录了该某个域名和该域名是否为恶意域名的指示。或者，也可进一步主动从互 联网上收集多个域名 （可包括热点域名、 还可包括非热点域名等）， 并可分别 生成该多个域名对应的域名安全性记录， 其中，每条域名安全性记录中记录了 一个域名和该域名是否为恶意域名的指示。
当然， 若查找到上述 N条域名安全性记录中的域名安全性记录 N1 , 与第一 域名相匹配， 且上述域名安全性记录 N1指示出第一域名为安全域名， 则处理 器 710可通知上述用户终端第一域名为安全域名。
在本发明的一些实施例中， 处理器 710若查找到上述 N条域名安全性记录 中的域名安全性记录 N1 , 与第一域名相匹配， 且上述域名安全性记录 N1指示 出第一域名为安全域名，则在 M条站点安全性记录中查询是否有与第一 URL中 包含的第一站点名相匹配的记录， 其中， 上述 M条站点安全性记录中的每条站 点安全性记录中记录了站点名和该站点名是否为恶意站点名的指示， 其中， 上 述 M为大于或等于 1的整数； 若查找到上述 M条域名安全性记录之中的站点安 全性记录 M 1与第一站点名相匹配， 且上述站点安全性记录 M 1指示出第一站点 名为恶意站点名， 则可通知上述用户终端第一站点名为恶意站点名。
在本发明的一些实施例中， 处理器 710可在某个站点名下的 URL首次被访 问时， 生成该站点名对应的一条站点安全性记录， 其中， 该条站点安全性记录 中记录了该某个站点名和该站点名是否为恶意站点名的指示。或者，也可进一 步主动从互联网上收集多个站点名（可包括热点站点名、还可包括非热点站点 名等）， 并可分别生成该多个站点名对应的站点安全性记录， 其中， 每条站点 安全性记录中记录了一个站点名和该站点名是否为恶意站点名的指示。
在本发明的一些实施例中， 处理器 710若查找到上述 M条域名安全性记录 之中的站点安全性记录 Ml与第一站点名相匹配， 且上述站点安全性记录 Ml指 示出第一站点名为安全站点名， 则可进一步检查第一 URL是否为恶意 URL, 若 检查出第一 URL为恶意 URL, 则可通知上述用户终端第一 URL为恶意 URL, 若 检查出第一 URL为安全 URL, 则可通知上述用户终端第一 URL为安全 URL。
在本发明的一些实施例中， 处理器 710可在第一域名满足预设的整域拦截 条件时， 在上述站点安全性记录 N1中记录第一域名为恶意域名的指示， 可在 第一域名未满足预设的整域拦截条件时， 在站点安全性记录 N1中记录第一域 名为安全域名或风险域名的指示。其中，预设的整域拉截条件可以根据实际的 安全性需求进行具体设定，举例来说，整域拉截条件包括如下条件的至少一个： 统计出在第一时长（例如 2分钟或其它值） 内第一域名下恶意 URL的被访问次 数超过设定的第一阈值（例如 100次或其它值）、 统计出在第二时长（例如 2分 钟或其它值）内第一域名下恶意 URL的被访问次数， 占第一域名下的所有 URL 的被访问总次数的比例超过设定的第二阈值（例如 5%或其它值）、 统计出在第 三时长（例如 5分钟或其它值） 内第一域名下被访问的恶意 URL的个数超过设 定的第三阈值（例如 50个或其它值）、统计出在第四时长（例如 2分钟或其它值） 内第一域名下被访问的恶意 URL的个数，占第一域名下被访问的所有 URL的总 个数的比例超过设定的第四阈值（例如 10%或其它值）、 第一域名下的恶意站 点个数超过设定的第九阈值（例如 10个或其它值）、 第一域名下的恶意站点个 数占第一域名下站点总个数的比例超过设定的第十阈值（例如 10%或其它值）。
在本发明一些实施例中， 处理器 710可在第一站点名满足预设的整站拦截 条件时， 在站点安全性记录 Ml中记录第一站点名为恶意站点名的指示， 在第 一站点名未满足预设的整站拦截条件时， 在上述站点安全性记录 Ml中记录第 一站点名为安全站点名或风险站点名的指示。其中，预设的整站拦截条件可以 根据实际的安全性需求进行具体设定，举例来说， 整站拦截条件包括如下条件 的至少一个： 统计出在第五时长（例如 2分钟或者其它值） 内第一站点名下恶 意 URL的被访问次数超过设定的第五阈值（例如 100次或者其它值）、统计出在 第六时长（例如 2分钟或其它值） 内第一站点名下恶意 URL的被访问次数， 占 第一站点名下的所有 URL的被访问总次数的比例超过设定的第六阈值（例如 5%或者其它值）、 统计出在第七时长（如 5分钟或其它值） 内第一站点名下被 访问的恶意 URL的个数超过设定的第七阈值（如 10个或其它值）、 统计出在第 八时长（例如 10分钟或其它值）内第一站点名下被访问的恶意 URL的个数， 占 第一站点名下被访问的所有 URL的总个数的比例超过设定的第八阈值（例如 10%或其它值）。
可以理解的是， 本实施例的云安全服务器 700的各功能模块的功能可根据 上述方法实施例中的方法具体实现，其具体实现过程可以参照上述方法实施例 的相关描述， 此处不再赘述。 参见图 8, 本发明实施例提供一种云安全服务器 800, 可包括：
处理器 810、 存储器 820、 输入装置 830和输出装置 840。 云安全服务器 800 中的处理器 810的数量可以一个或多个， 图 8中以一个处理器为例。在本发明的 一些实施例中， 处理器 810、 存储器 820、 输入装置 830和输出装置 840可通过总 线或其它方式连接， 其中， 图 8中以通过总线连接为例。
存储器 820可用于存储软件程序以及模块，处理器 810通过运行存储在存储 器 820的软件程序以及模块，从而执行云安全服务器 800的各种功能应用以及数 据处理。 存储器 820可主要包括存储程序区和存储数据区， 其中， 存储程序区 可存储操作系统、 至少一个功能所需的应用程序（比如声音播放功能、 图像播 放功能等 )等； 存储数据区可存储根据手机的使用所创建的数据 (比如音频数 据、 电话本等）等。 此外， 存储器 820可以包括高速随机存取存储器， 还可以 包括非易失性存储器， 例如至少一个磁盘存储器件、 闪存器件、 或其他易失性 固态存储器件。 输入装置 830可用于接收输入的数字或字符信息， 以及产生与 云安全服务器 800的用户设置以及功能控制有关的键信号输入。
其中， 处理器 810执行如下步骤：
接收来自用户终端的携带有第一 URL的安全性查询请求；在 M条站点安全 性记录中查询是否有与第一 URL中包含的第一站点名相匹配的记录，其中上述 M条站点安全性记录中的每条站点安全性记录中记录了站点名和该站点名是 否为恶意站点名的指示， 其中上述 M为大于或等于 1的整数； 若查找到上述 M 条域名安全性记录之中的站点安全性记录 Ml与第一站点名相匹配， 且上述站 点安全性记录 Ml指示出第一站点名为恶意站点名， 则通知上述用户终端第一 站点名为恶意站点名。
在本发明一些实施例中， 处理器 810可在第一站点名满足预设的整站拦截 条件时， 在上述站点安全性记录 Ml中记录第一站点名为恶意站点名的指示， 在第一站点名未满足预设的整站拦截条件时， 在上述站点安全性记录 Ml中记 录第一站点名为安全站点名或风险站点名的指示。其中，预设的整站拦截条件 可以根据实际的安全性需求进行具体设定，举例来说， 整站拦截条件包括如下 条件的至少一个：统计出在第五时长内第一站点名下恶意 URL的被访问次数超 过设定的第五阈值、 统计出在第六时长内第一站点名下恶意 URL的被访问次 数， 占第一站点名下的所有 URL的被访问总次数的比例超过设定的第六阈值、 统计出在第七时长内第一站点名下被访问的恶意 URL被访问的个数超过设定 的第七阈值、统计出在第八时长内第一站点名下被访问的恶意 URL的个数， 占 第一站点名下被访问的所有 URL的总个数的比例超过设定的第八阈值。
在本发明的一些实施例中， 处理器 810若查找到 M条域名安全性记录之中 的站点安全性记录 Ml , 与第一站点名相匹配， 且站点安全性记录 Ml指示出第 一站点名为安全站点名， 还可进一步在 N条域名安全性记录中查询是否有与第 一 URL中包含的第一域名相匹配的记录， 其中， 上述 N条域名安全性记录中的 每条域名安全性记录中记录了域名和该域名是否为恶意域名的指示， 上述 N为 大于或等于 1的整数， 若查找到上述 N条域名安全性记录中的域名安全性记录 N1 , 与第一域名相匹配， 且上述域名安全性记录 N1指示出第一域名为恶意域 名， 则可通知上述用户终端第一域名为恶意域名。
可以理解的是， 本实施例的云安全服务器 800的各功能模块的功能可根据 上述方法实施例中的方法具体实现，其具体实现过程可以参照上述方法实施例 的相关描述， 此处不再赘述。
本发明实施例还提供一种通信系统， 包括用户终端和云安全服务器 800或 云安全服务器 700或云安全服务器 400。
本发明实施例还提供一种通信系统，包括用户终端和恶意网址的访问防御 装置 500或恶意网址的访问防御装置 600。 参见图 9, 本发明实施例还提供一种通信系统， 其特征在于， 包括： 用户终端 900和云安全月良务器 1000;
其中， 用户终端 900, 用于向云安全服务器 1000发送携带有第一 URL的安 全性查询请求。
云安全服务器 1000, 用于接收来自用户终端 900的携带有第一 URL的安全 性查询请求； 在 N条域名安全性记录中查询是否有与第一 URL中包含的第一域 名相匹配的记录， 其中， 上述 N条域名安全性记录中的每条域名安全性记录中 记录了域名和该域名是否为恶意域名的指示， 其中， 上述 N为大于或等于 1的 整数； 若查找到上述 N条域名安全性记录中的域名安全性记录 N1 , 与第一域名 相匹配， 且上述域名安全性记录 N1指示出第一域名为恶意域名， 则通知上述 用户终端第一域名为恶意域名。
如图 10所示， 为了便于说明， 仅示出了与本发明实施例相关的部分， 具体 技术细节未揭示的， 请参照本发明实施例方法部分。 图 10所示用户终端 900可 以为手机、 平板电脑、 个人数字助理（PDA, Personal Digital Assistant ), 销售 终端（POS, Point of Sales )、 车载电脑等任意终端设备， 下面主要以用户终端 900为手机为例： 其中，图 10示出的是与本发明实施例提供的终端相关的手机的部分结构的 框图。 参考图 10, 手机包括： 射频（Radio Frequency, RF ) 电路 910、 存储器 920、输入单元 630、无线保真（wireless fidelity, WiFi )模块 970、显示单元 940、 传感器 950、 音频电路 960、 处理器 980、 以及电源 990等部件。
其中， 本领域技术人员可以理解， 图 7中示出的手机结构并不构成对手机 的限定， 可以包括比图示更多或更少的部件， 或者组合某些部件， 或者不同的 部件布置。
下面结合图 10对手机的各个构成部件进行具体的介绍：
RF电路 910可用于在收发信息或通话过程中，信号的接收和发送，特别地， 将基站的下行信息接收后， 给处理器 980处理； 另外， 将设计上行的数据发送 给基站。 通常， RF电路包括但不限于天线、 至少一个放大器、 收发信机、 耦 合器、 低噪声放大器（ Low Noise Amplifier, LNA )、 双工器等。 此外， RF电 路 910还可以通过无线通信与网络和其他设备通信。 上述无线通信可以使用任 一通信标准或协议， 包括但不限于全球移动通讯系统 （ Global System of Mobile communication , GSM )、 通用分组无线月良务 ( General Packet Radio Service, GPRS )、 码分多址（ Code Division Multiple Access, CDMA ), 宽带码 分多址（ Wideband Code Division Multiple Access, WCDMA ),长期演进 （ Long Term Evolution, LTE ) )、 电子邮件、 短消息服务（ Short Messaging Service, SMS )等。
其中，存储器 920可用于存储软件程序以及模块， 处理器 980通过运行存储 在存储器 920的软件程序以及模块， 从而执行手机的各种功能应用以及数据处 理。 存储器 920可主要包括存储程序区和存储数据区， 其中， 存储程序区可存 储操作系统、 至少一个功能所需的应用程序（如声音播放功能、 图像播放功能 等）等； 存储数据区可存储根据手机的使用所创建的数据（如音频数据、 电话 本等）等。 此外， 存储器 920可以包括高速随机存取存储器， 还可以包括非易 失性存储器， 例如至少一个磁盘存储器件、 闪存器件、 或其他易失性固态存储 器件。
输入单元 930可用于接收输入的数字或字符信息，以及产生与手机 900的用 户设置以及功能控制有关的键信号输入。 具体地， 输入单元 930可包括触控面 板 931以及其他输入设备 932。 触控面板 931 , 也称为触摸屏， 可收集用户在其 上或附近的触摸操作 (比如用户使用手指、触笔等任何适合的物体或附件在触 控面板 931上或在触控面板 931附近的操作 ), 并根据预先设定的程式驱动相应 的连接装置。 可选的， 触控面板 931可包括触摸检测装置和触摸控制器两个部 分。 其中， 触摸检测装置检测用户的触摸方位， 并检测触摸操作带来的信号， 将信号传送给触摸控制器； 触摸控制器从触摸检测装置上接收触摸信息， 并将 它转换成触点坐标，再送给处理器 980, 并能接收处理器 980发来的命令并加以 执行。 此外， 可以采用电阻式、 电容式、 红外线以及表面声波等多种类型实现 触控面板 931。 除了触控面板 931 , 输入单元 930还可以包括其他输入设备 932。 具体地， 其他输入设备 932可以包括但不限于物理键盘、 功能键（比如音量控 制按键、 开关按键等）、 轨迹球、 鼠标、 操作杆等中的一种或多种。
其中， 显示单元 940可用于显示由用户输入的信息或提供给用户的信息以 及手机的各种菜单。 显示单元 940可包括显示面板 941 , 可选的， 可以采用液晶 显示器（ Liquid Crystal Display, LCD ),有机发光二极管（ Organic Light-Emitting Diode, OLED )等形式来配置显示面板 941。 进一步的， 触控面板 931可覆盖显 示面板 941 , 当触控面板 931检测到在其上或附近的触摸操作后，传送给处理器 980以确定触摸事件的类型， 随后处理器 980根据触摸事件的类型在显示面板 941上提供相应的视觉输出。 虽然在图 7中，触控面板 931与显示面板 941是作为 两个独立的部件来实现手机的输入和输入功能，但是在某些实施例中， 可以将 触控面板 931与显示面板 941集成而实现手机的输入和输出功能。
其中， 手机 900还可包括至少一种传感器 950, 比如光传感器、运动传感器 以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中， 环境光传感器可根据环境光线的明暗来调节显示面板 941的亮度， 接近传感器 可在手机移动到耳边时，关闭显示面板 941和 /或背光。作为运动传感器的一种， 加速计传感器可检测各个方向上（一般为三轴 )加速度的大小， 静止时可检测 出重力的大小及方向， 可用于识别手机姿态的应用 （比如横竖屏切换、 相关游 戏、 磁力计姿态校准）、 振动识别相关功能（比如计步器、 敲击）等； 至于手 机还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器， 在此不再赘述。
音频电路 960、扬声器 961 ,传声器 962可提供用户与手机之间的音频接口。 音频电路 960可将接收到的音频数据转换后的电信号，传输到扬声器 961 , 由扬 声器 961转换为声音信号输出； 另一方面，传声器 962将收集的声音信号转换为 电信号， 由音频电路 960接收后转换为音频数据，再将音频数据输出处理器 980 处理后， 经 RF电路 910以发送给比如另一手机， 或者将音频数据输出至存储器 920以便进一步处理。
WiFi属于短距离无线传输技术， 手机通过 WiFi模块 970可以帮助用户收发 电子邮件、浏览网页和访问流式媒体等， 它为用户提供了无线的宽带互联网访 问。 虽然图 7示出了 WiFi模块 970, 但是可以理解的是， 其并不属于手机 900的 必须构成， 完全可以根据需要在不改变发明的本质的范围内而省略。
处理器 980是手机的控制中心， 利用各种接口和线路连接整个手机的各个 部分， 通过运行或执行存储在存储器 920内的软件程序和 /或模块， 以及调用存 储在存储器 920内的数据， 执行手机的各种功能和处理数据， 从而对手机进行 整体监控。 可选的， 处理器 980可包括一个或多个处理单元； 优选的， 处理器 980可集成应用处理器和调制解调处理器， 其中， 应用处理器主要处理操作系 统、 用户界面和应用程序等， 调制解调处理器主要处理无线通信。 可以理解的 是， 上述调制解调处理器也可以不集成到处理器 980中。
手机 900还包括给各个部件供电的电源 990 (比如电池）， 优选的， 电源可 以通过电源管理系统与处理器 980逻辑相连， 从而通过电源管理系统实现管理 充电、 放电、 以及功耗管理等功能。 尽管未示出， 手机 900还可以包括摄像头、 蓝牙模块等， 在此不再赘述。
在本发明实施例中， 该终端所包括的处理器 980还具有以下功能： 向云安 全服务器 1000发送携带有第一 URL的安全性查询请求。
本发明实施例还提供一种计算机存储介质， 其中， 该计算机存储介质可存 储有程序，该程序执行时包括上述方法实施例中记载的恶意网址的访问防御方 法的部分或全部步骤。 需要说明的是， 对于前述的各方法实施例， 为了筒单描述， 故将其都表述 为一系列的动作组合，但是本领域技术人员应该知悉， 本发明并不受所描述的 动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。 其次， 本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施 例， 所涉及的动作和模块并不一定是本发明所必须的。
在上述实施例中， 对各个实施例的描述都各有侧重， 某个实施例中没 有详述的部分， 可以参见其他实施例的相关描述。
在本申请所提供的几个实施例中， 应该理解到， 所揭露的装置， 可通过其 它的方式实现。 例如， 以上所描述的装置实施例仅仅是示意性的， 例如所述单 元的划分， 仅仅为一种逻辑功能划分， 实际实现时可以有另外的划分方式， 例 如多个单元或组件可以结合或者可以集成到另一个系统， 或一些特征可以忽 略， 或不执行。 另一点， 所显示或讨论的相互之间的耦合或直接耦合或通信连 接可以是通过一些接口， 装置或单元的间接耦合或通信连接， 可以是电性或其 它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为 单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者 也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部 单元来实现本实施例方案的目的。
另外，在本发明各实施例中的各功能单元可以集成在一个处理单元中，也 可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一个单元 中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的 形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售 或使用时， 可以存储在一个计算机可读取存储介质中。基于这样的理解， 本发 明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全 部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储 介质中， 包括若干指令用以使得一台计算机设备（可为个人计算机、 服务器或 者网络设备等 )执行本发明各个实施例所述方法的全部或部分步骤。 而前述的 存储介质包括： U盘、 只读存储器（ROM, Read-Only Memory )、 随机存取存 储器（RAM, Random Access Memory ), 移动硬盘、 磁碟或者光盘等各种可以 存储程序代码的介质。
以上所述， 以上实施例仅用以说明本发明的技术方案， 而非对其限制； 尽 管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理 解： 其依然可以对前述各实施例所记载的技术方案进行修改， 或者对其中部分 技术特征进行等同替换； 而这些修改或者替换， 并不使相应技术方案的本质脱 离本发明各实施例技术方案的精神和范围。

Claims

权 利 要 求
1、 一种恶意网址的访问防御方法， 其特征在于， 包括：
接收用户的包括一统一资源定位符的安全性查询请求；
在存储的 N条域名安全性记录中查询是否有与所述统一资源定位符中包 含的一域名相匹配的记录， 其中， 所述 N条域名安全性记录中的每条域名安全 性记录中记录了域名和该域名是否为恶意域名的指示， 其中， 所述 N为大于或 等于 1的整数；
若查找到所述 N条域名安全性记录中的域名安全性记录 N1与所述域名相 匹配， 且所述域名安全性记录 N1指示出所述域名为恶意域名， 则通知用户所 述域名为恶意域名。
2、 根据权利要求 1所述的方法， 其特征在于，
所述方法还包括：
若查找到所述 N条域名安全性记录中的域名安全性记录 N1与所述域名相 匹配， 且所述域名安全性记录 N1指示出所述域名为安全域名， 则在存储的 M 条站点安全性记录中查询是否有与所述统一资源定位符中包含的站点名相匹 配的记录， 其中， 所述 M条站点安全性记录中的每条站点安全性记录中记录了 站点名和该站点名是否为恶意站点名的指示， 其中， 所述 M为大于或等于 1的 整数；
若查找到所述 M条域名安全性记录之中的站点安全性记录 Ml与所述站点 名相匹配， 并且所述站点安全性记录 Ml指示出所述站点名为恶意站点名， 则 通知所述用户所述站点名为恶意站点名。
3、 根据权利要求 2所述的方法， 其特征在于，
所述方法还包括：
在所述域名满足预设的整域拦截条件时， 在所述站点安全性记录 N1中记 录所述域名为恶意域名的指示； 和 /或， 在所述站点名满足预设的整站拦截条 件时， 在所述站点安全性记录 Ml中记录所述站点名为恶意站点名的指示。
4、 根据权利要求 3所述的方法， 其特征在于，
所述整域拦截条件包括如下条件的至少一个： 统计出在第一时长内所述域名下恶意统一资源定位符的被访问次数超过 设定的第一阈值、统计出在第二时长内所述域名下恶意统一资源定位符的被访 问次数，占所述第一域名下的所有统一资源定位符的被访问总次数的比例超过 设定的第二阈值、统计出在第三时长内所述域名下被访问的恶意统一资源定位 符的个数超过设定的第三阈值、统计出在第四时长内所述域名下被访问的恶意 统一资源定位符的个数，占所述域名下被访问的所有统一资源定位符的总个数 的比例超过设定的第四阈值、 所述域名下的恶意站点个数超过设定的第九阈 值、所述域名下的恶意站点个数占所述第一域名下站点总个数的比例超过设定 的第十阈值。
5、 根据权利要求 3或 4所述的方法， 其特征在于，
所述整站拦截条件包括如下条件的至少一个：
统计出在第五时长内所述站点名下恶意统一资源定位符的被访问次数超 过设定的第五阈值、
统计出在第六时长内所述站点名下恶意统一资源定位符的被访问次数，占 所述站点名下的所有统一资源定位符的被访问总次数的比例超过设定的第六 阈值、
统计出在第七时长内所述站点名下被访问的恶意统一资源定位符的个数 超过设定的第七阈值、
统计出在第八时长内所述站点名下被访问的恶意统一资源定位符的个数， 占所述第一站点名下被访问的所有统一资源定位符的总个数的比例超过设定 的第八阈值。
6、 一种恶意网址的访问防御方法， 其特征在于， 包括：
接收来自用户的携带有一统一资源定位符的安全性查询请求；
在存储的 M条站点安全性记录中查询是否有与所述统一资源定位符中包 含的站点名相匹配的记录， 其中， 所述 M条站点安全性记录中的每条站点安全 性记录中记录了站点名和该站点名是否为恶意站点名的指示， 其中， 所述 M为 大于或等于 1的整数；
若查找到所述 M条域名安全性记录之中的站点安全性记录 Ml与所述站点 名相匹配， 且所述站点安全性记录 Ml指示出所述站点名为恶意站点名， 则通 知所述用户所述站点名为恶意站点名。
7、 一种恶意网址的访问防御装置， 其特征在于， 包括：
接收单元， 用于接收来自用户的包括一统一资源定位符的安全性查询请 求；
第一查询单元， 用于在存储的 N条域名安全性记录中查询是否有与所述统 一资源定位符中包含的域名相匹配的记录， 其中， 所述 N条域名安全性记录中 的每条域名安全性记录中记录了域名和该域名是否为恶意域名的指示， 其中， 所述 N为大于或等于 1的整数；
判断单元， 用于若所述第一查询单元查找到所述 N条域名安全性记录中的 域名安全性记录 N1 , 与所述域名相匹配， 且所述域名安全性记录 N1指示出所 述域名为恶意域名， 则通知所述用户所述第一域名为恶意域名。
8、 根据权利要求 7所述的装置， 其特征在于，
所述装置还包括：
第二查询单元， 用于若查找到所述 N条域名安全性记录中的域名安全性记 录 N1 , 与所述域名相匹配， 且所述域名安全性记录 N1指示出所述域名为安全 域名，则在 M条站点安全性记录中查询是否有与所述统一资源定位符中包含的 站点名相匹配的记录， 其中， 所述 M条站点安全性记录中的每条站点安全性记 录中记录了站点名和该站点名是否为恶意站点名的指示， 其中， 所述 M为大于 或等于 1的整数；
所述判断单元还用于，若所述第二查询单元查找到所述 M条域名安全性记 录之中的站点安全性记录 Ml , 与所述站点名相匹配， 且所述站点安全性记录 Ml指示出所述站点名为恶意站点名， 则通知所述用户所述站点名为恶意站点 名。
9、 根据权利要求 8所述的装置， 其特征在于，
所述装置还包括：
记录单元， 用于在所述域名满足预设的整域拉截条件时，在所述站点安全 性记录 N1中记录所述域名为恶意域名的指示； 和 /或， 在所述站点名满足预设 的整站拦截条件时， 在所述站点安全性记录 Ml中记录所述站点名为恶意站点 名的指示。
10、 一种恶意网址的访问防御装置， 其特征在于， 包括：
接收单元，用于接收来自用户的携带有一统一资源定位符的安全性查询请 求；
第二查询单元，用于在 M条站点安全性记录中查询是否有与所述统一资源 定位符中包含的站点名相匹配的记录， 其中， 所述 M条站点安全性记录中的每 条站点安全性记录中记录了站点名和该站点名是否为恶意站点名的指示， 其 中， 所述 M为大于或等于 1的整数；
判断单元，用于若所述第二查询单元查找到所述 M条域名安全性记录之中 的站点安全性记录 Ml , 与所述站点名相匹配， 且所述站点安全性记录 Ml指示 出所述站点名为恶意站点名， 则通知所述用户所述站点名为恶意站点名。
PCT/CN2013/088441 2013-05-07 2013-12-03 恶意网址的访问防御方法和相关装置 WO2014180123A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2013101646488A CN103220302A (zh) 2013-05-07 2013-05-07 恶意网址的访问防御方法和相关装置
CN201310164648.8 2013-05-07

Publications (1)

Publication Number Publication Date
WO2014180123A1 true WO2014180123A1 (zh) 2014-11-13

Family

ID=48817765

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/088441 WO2014180123A1 (zh) 2013-05-07 2013-12-03 恶意网址的访问防御方法和相关装置

Country Status (3)

Country Link
CN (1) CN103220302A (zh)
TW (1) TW201443682A (zh)
WO (1) WO2014180123A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113114611A (zh) * 2020-01-13 2021-07-13 北京沃东天骏信息技术有限公司 黑名单管理的方法和装置

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103220302A (zh) * 2013-05-07 2013-07-24 腾讯科技（深圳）有限公司 恶意网址的访问防御方法和相关装置
CN104683290A (zh) * 2013-11-26 2015-06-03 腾讯科技（深圳）有限公司 一种监控网络钓鱼的方法、装置和终端
CN103634315B (zh) * 2013-11-29 2017-11-10 哈尔滨工业大学（威海） 域名服务器的前端控制方法及系统
CN104954332B (zh) * 2014-03-27 2019-08-30 腾讯科技（深圳）有限公司 一种网站的识别方法和装置
KR101686181B1 (ko) * 2015-01-12 2016-12-28 주식회사 엔터플 미리 지정된 url을 이용한 보안 통신 방법 및 장치
CN106453207B (zh) * 2015-08-07 2021-01-29 北京奇虎科技有限公司 广告物料数据网址验证方法和装置
US10097580B2 (en) * 2016-04-12 2018-10-09 Microsoft Technology Licensing, Llc Using web search engines to correct domain names used for social engineering
CN106028297B (zh) * 2016-04-28 2019-11-08 北京小米移动软件有限公司 携带网址的短信处理方法及装置
CN107526967B (zh) 2017-07-05 2020-06-02 阿里巴巴集团控股有限公司 一种风险地址识别方法、装置以及电子设备
CN107766551A (zh) * 2017-10-31 2018-03-06 广东小天才科技有限公司 一种基于大数据分析的网址审核管控方法及终端设备
CN110401614B (zh) * 2018-04-24 2021-08-13 中移（杭州）信息技术有限公司 恶意域名的溯源方法及装置
CN114726566A (zh) * 2021-01-05 2022-07-08 中国移动通信有限公司研究院 网址过滤方法、装置及节点
CN112953911B (zh) * 2021-01-28 2023-10-13 河北研云科技有限公司 网络安全分析处置方法及系统
CN112910879B (zh) * 2021-01-28 2023-10-13 河北研云科技有限公司 恶意域名分析方法及系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102724187A (zh) * 2012-06-06 2012-10-10 奇智软件（北京）有限公司 一种针对网址的安全检测方法及装置
CN103220302A (zh) * 2013-05-07 2013-07-24 腾讯科技（深圳）有限公司 恶意网址的访问防御方法和相关装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102045360B (zh) * 2010-12-27 2014-04-02 华为数字技术（成都）有限公司 恶意网址库的处理方法及装置
CN102291268B (zh) * 2011-09-23 2014-11-26 杜跃进 一种基于安全域名服务器系统的恶意域名监控方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102724187A (zh) * 2012-06-06 2012-10-10 奇智软件（北京）有限公司 一种针对网址的安全检测方法及装置
CN103220302A (zh) * 2013-05-07 2013-07-24 腾讯科技（深圳）有限公司 恶意网址的访问防御方法和相关装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113114611A (zh) * 2020-01-13 2021-07-13 北京沃东天骏信息技术有限公司 黑名单管理的方法和装置
CN113114611B (zh) * 2020-01-13 2024-02-06 北京沃东天骏信息技术有限公司 黑名单管理的方法和装置

Also Published As

Publication number Publication date
CN103220302A (zh) 2013-07-24
TW201443682A (en) 2014-11-16

Similar Documents

Publication Publication Date Title
WO2014180123A1 (zh) 恶意网址的访问防御方法和相关装置
TWI606360B (zh) 一種網頁檢測方法、裝置和系統
CN111064713B (zh) 一种分布式系统中的节点控制方法和相关装置
WO2015090248A1 (zh) 服务器的过载保护方法及装置
CN106657165B (zh) 一种网络攻击的防御方法、服务器及终端
WO2015024506A1 (zh) 安全认证方法、服务器以及安全认证系统
CN107466041B (zh) 识别伪基站方法、装置及移动终端
CN104683301B (zh) 一种密码保存的方法及装置
CN104123276B (zh) 一种浏览器中弹窗的拦截方法、装置和系统
CN106713266B (zh) 一种防止信息泄露的方法、装置、终端及系统
CN104426919A (zh) 页面分享方法、装置及系统
CN109873794B (zh) 一种拒绝服务攻击的防护方法及服务器
CN107087007A (zh) 一种网络攻击的防御方法、相关设备及系统
WO2017161994A1 (zh) 一种显示页面的方法及装置、计算机存储介质
WO2018040104A1 (zh) 用于发送搜索请求的方法和装置
WO2015003636A1 (zh) 一种页面元素的拦截方法和装置
TW201502986A (zh) 使用於瀏覽器網頁的應用程式訊息通知顯示方法、相關設備與系統
CN110336805A (zh) 网络访问管理方法和移动终端
CN109271779A (zh) 一种安装包检测方法、终端设备及服务器
TWI575458B (zh) 基於應用的服務提供方法、裝置及系統
WO2018107802A1 (zh) 网络数据发送方法及移动终端
WO2015101302A1 (zh) 数据共享方法、系统、用户端及后台服务器
CN105577627B (zh) 通信方法、装置、网络设备、终端设备和通信系统
WO2019061009A1 (zh) 一种通知消息的处理方法以及终端
CN110417861B (zh) 一种信息推送方法以及相关装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13884012

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC ( EPO FORM1205A DATED 15/03/2016 )

122 Ep: pct application non-entry in european phase

Ref document number: 13884012

Country of ref document: EP

Kind code of ref document: A1