WO2015120752A1 - 网络威胁处理方法及设备 - Google Patents

网络威胁处理方法及设备 Download PDF

Info

Publication number
WO2015120752A1
WO2015120752A1 PCT/CN2014/095678 CN2014095678W WO2015120752A1 WO 2015120752 A1 WO2015120752 A1 WO 2015120752A1 CN 2014095678 W CN2014095678 W CN 2014095678W WO 2015120752 A1 WO2015120752 A1 WO 2015120752A1
Authority
WO
WIPO (PCT)
Prior art keywords
network
behavior
attack
file
attack behavior
Prior art date
Application number
PCT/CN2014/095678
Other languages
English (en)
French (fr)
Inventor
张聪
张卓
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US15/119,598 priority Critical patent/US20170054745A1/en
Publication of WO2015120752A1 publication Critical patent/WO2015120752A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]

Definitions

  • the present invention relates to the field of Internet applications, and in particular, to a network threat processing method and device.
  • the present invention has been made in order to provide a network threat processing method and corresponding apparatus that overcome the above problems or at least partially solve the above problems.
  • a network threat processing method including: listening for network access behavior of a network device, and acquiring a network data packet; analyzing the obtained network data packet to extract metadata; The metadata is described and the attack behavior is determined, wherein the attack behavior includes a known attack behavior and/or an unknown attack behavior.
  • a network threat processing device including: a listening module configured to listen to network access behavior of a network device and obtain a network data packet; and a data extraction module configured to acquire The network data packet is analyzed to extract metadata; the determining module is configured to detect the metadata and determine an attack behavior, wherein the attack behavior includes a known attack behavior and/or an unknown attack behavior.
  • a computer program comprising computer readable code, when the computer readable code is run on a computing device, causes the computing device to perform a network threat processing method according to any of the above .
  • a computer readable medium storing a computer program as described above is provided.
  • the network threat processing method can listen to the network access behavior of the network device, acquire the network data packet, and extract the metadata by analyzing the network data packet, and determine the known or The unknown attack behavior solves the problems and techniques in the prior art that cannot grasp the new network threats (including known attacks and unknown attacks), and thus cannot solve the problem of new network threats by corresponding technical means.
  • the network threat processing method provided by the embodiment of the present invention can obtain the network data packet by real-time listening to the network access behavior of the network device, and can dynamically discover the vulnerability attack of the unknown attack and the hidden channel of the unknown attack according to the obtained network data packet. Information and the ability to quickly detect unknown attacks.
  • the embodiment of the present invention stores the obtained network data packet, forms historical data of a large data level, and analyzes and mines the big data, thereby detecting the advanced and concealed attacks, which is solved due to the prior art.
  • the network threat processing method provided by the embodiment of the present invention can timely discover new network threats, including known attack behaviors and unknown attack behaviors, thereby enabling users to take timely measures to detect new network threats, thereby ensuring people's production. Life and even national security are not affected by the threat of network information security.
  • FIG. 1 is a flowchart showing a process of a network threat processing method according to an embodiment of the present invention
  • FIG. 2 is a structural diagram showing a "sky-eye system" composed of a local detection engine and a cloud detection engine according to an embodiment of the present invention
  • FIG. 3 is a flowchart showing a process of a network threat processing method according to a preferred embodiment of the present invention
  • FIG. 4 is a flowchart showing a process of processing a network data packet by a real-time analysis module
  • FIG. 5 is a flowchart showing a process of processing data parsed by each protocol by a real-time analysis module according to a preferred embodiment of the present invention
  • FIG. 6 shows a flow chart for detecting a file using a sandbox detection method according to an embodiment of the present invention
  • Figure 7 is a flow chart showing the detection of a file by sandbox detection in accordance with a preferred embodiment of the present invention.
  • FIG. 8 is a structural flowchart showing a combination of a real-time analysis module and a sandbox detection module according to an embodiment of the present invention
  • FIG. 9 shows a process flow diagram of a known/unknown attack detection module in accordance with one embodiment of the present invention.
  • FIG. 10 is a flowchart showing a process of an attack detection and backtracking module based on big data analysis according to an embodiment of the present invention.
  • FIG. 11 is a flow chart showing establishing a network anomaly behavior model and determining an attack behavior according to a preferred embodiment of the present invention
  • Figure 12 is a block diagram showing the structure of threat perception in accordance with a preferred embodiment of the present invention.
  • FIG. 13 is a schematic diagram showing an interface of a file alarm, a behavior alarm, and an email alarm during full detection according to an embodiment of the present invention
  • FIG. 14 is a block diagram showing detailed alarm information of a file alarm according to an embodiment of the present invention.
  • FIG. 15 is a block diagram showing an alarm analysis of alarm information according to an embodiment of the present invention.
  • FIG. 16 shows a log report for analyzing alarm information according to an embodiment of the present invention
  • Figure 17 is a diagram showing an interface of user management in accordance with one embodiment of the present invention.
  • FIG. 18 is a diagram showing an interface of configuration management according to an embodiment of the present invention.
  • FIG. 19 is a schematic structural diagram of a network threat processing device according to an embodiment of the present invention.
  • FIG. 20 is a block diagram schematically showing a computing device for performing a network threat processing method according to the present invention
  • Fig. 21 schematically shows a storage unit for holding or carrying program code implementing the network threat processing method according to the present invention.
  • the new network threat is not only hidden, but the security defense system in the prior art cannot grasp its vulnerability and technology. Therefore, the traditional security defense system cannot adopt the corresponding technical means to solve the new network threats, which leads to the more serious security threats to the information of people's production and life. Once these security threats occur, it will be difficult for the economy, society and even the national security. Estimated devastating effects.
  • FIG. 1 shows a process flow diagram of a network threat processing method in accordance with one embodiment of the present invention. Referring to FIG. 1, the flow includes at least steps S102 to S106.
  • Step S102 Listening to network access behavior of the network device, and acquiring network data packets.
  • Step S104 Perform analysis on the acquired network data packet to extract metadata.
  • Step S106 Detecting metadata and determining an attack behavior, wherein the attack behavior includes a known attack behavior and/or an unknown attack behavior.
  • the network threat processing method can listen to the network access behavior of the network device, acquire the network data packet, and extract the metadata by analyzing the network data packet, and determine the known or The unknown attack behavior solves the problems and techniques in the prior art that cannot grasp the new network threats (including known attacks and unknown attacks), and thus cannot solve the problem of new network threats by corresponding technical means.
  • the network threat processing method provided by the embodiment of the present invention acquires the network access behavior of the network device in real time.
  • the network data packet can dynamically discover information such as the vulnerability attack of the unknown attack and the hidden channel of the unknown attack according to the obtained network data packet, and can quickly detect the unknown attack.
  • the embodiment of the present invention stores the obtained network data packet, forms historical data of a large data level, and analyzes and mines the big data, thereby detecting the advanced and concealed attacks, which is solved due to the prior art.
  • the network threat processing method provided by the embodiment of the present invention can timely discover new network threats, including known attack behaviors and unknown attack behaviors, thereby enabling users to take timely measures to detect new network threats, thereby ensuring people's production. Life and even national security are not affected by the threat of network information security.
  • the embodiment of the present invention can detect the attack behavior of the network threat and process it in time.
  • the embodiment of the present invention can be applied to the local detection engine 220, and combined with the cloud detection engine 230 in the prior art to form a "sky system" (where "sky eye” is only the system name, and the local detection engine is And the functions, attributes, and functions of the system formed by the cloud detection engine do not have any influence.
  • the network access behavior in the network device 210 is detected and processed, and the network threat (including network attack behavior, etc.) is found.
  • the cyber threat "Skynet is resounding and not leaking" to deal with cyber threats more comprehensively, extensively and specifically.
  • FIG. 3 is a flowchart of a process of processing a network threat according to a preferred embodiment of the present invention.
  • step S302 is performed to listen for network access behavior of a network device.
  • step S304 is performed in real time to obtain a network data packet.
  • the network access behavior of the network device can be monitored in real time to ensure timely access to the network access behavior of the network device. Further, it can be ensured that the embodiment of the present invention can detect the attack behavior in time and perform reasonable and effective processing to ensure network security before any attack behavior occurs. Therefore, the embodiment of the present invention listens to the network access behavior of the network device in the entire network threat processing process, and performs step S304 in real time to obtain the network data packet.
  • step S306 is performed to analyze the network data packet.
  • the analysis of the obtained network data packet may be performed by analyzing a source network address of the network data packet, or analyzing a destination address of the network data packet.
  • the attack behavior in the network data packet can be accurately detected and processed, and the acquired network data packet is analyzed when the obtained network data packet is analyzed. sort.
  • the embodiment of the present invention selects a corresponding policy to detect an attack behavior.
  • the embodiment of the present invention may classify the network data packet according to the source address or the destination address or any other information, and select a corresponding policy to detect the attack behavior according to the classification result.
  • the acquired data is classified into file type data according to the attributes of each network data packet, because the network data packet can be classified more comprehensively and accurately according to the data of the network data packet.
  • Message and/or non-file type data message may be a file type data message, which may be a non-file type data message, or a file type data message and a non-file type data message. combination.
  • step S308 is performed as shown in FIG. 3 to determine whether the network data packet is a file type data packet. If yes, step S310 is executed to restore the determined file type data message to a file. It After that, the restored file is detected to detect whether the file has malicious behavior.
  • the embodiment of the present invention uses the sandbox detection method to restore the file. The file is detected as shown in step S312 in FIG.
  • the detection method of the file includes: detecting whether the file has malicious behavior based on the principle of network abnormal behavior detection.
  • step S314 is directly executed to detect the known attack behavior and/or the unknown attack behavior of the network data packet based on the network abnormal behavior detection principle.
  • the network data packet is a combination of a file data packet and a non-file data packet, the network data packet is divided into a file data packet portion and a non-file data packet portion, and respectively And the steps to operate, and will not be described here.
  • step S316 in FIG. 3 in the embodiment of the present invention, after obtaining the network data packet, in addition to analyzing the obtained network data packet, in order to ensure timely acquisition of the history in subsequent analysis.
  • the network data packet is compared for the purpose of analyzing the network data packet to achieve a more efficient network threat processing performance.
  • the embodiment of the present invention can also perform full traffic storage on the captured network data packet (ie, step S316).
  • step S316 when the magnitude of the stored network data packet reaches the big data level, the embodiment of the present invention performs attack detection of the big data analysis on the stored network data packet, determines the attack behavior, and/or determines the attack behavior. Backtracking attacks based on big data analysis.
  • the backtracking operation of the attack behavior based on the big data analysis may be an attack source for locating the attack behavior, a corresponding orientation behavior corresponding to the restoration attack behavior, and an access content corresponding to the restoration attack behavior, etc.
  • the operation of the present invention is not limited to one or more of the operations.
  • the embodiment of the present invention may further upgrade the security device used on the network device according to the unknown attack behavior, so that the network is The security device used on the device protects against unknown attacks.
  • the local detection engine and the cloud detection engine can be combined into a "sky system" to detect and process network threats in the network device (see FIG. 2 and its corresponding description for details). It should be noted that the embodiment of the present invention can detect metadata and determine attack behavior through a local detection engine and/or a cloud detection engine.
  • the network threat processing method provided by the embodiment of the present invention is described in the following with reference to the flowchart shown in FIG. 3, in order to explain the network threat processing method provided by the embodiment of the present invention in more detail, the preferred embodiment is used in the embodiment of the present invention.
  • Several modules in the provided network threat handling method are further introduced. Specifically, the real-time analysis module in the network threat processing method provided by the embodiment of the present invention (for the function, please refer to the part for analyzing the network data packet mentioned in step S306 shown in FIG. 3), the sandbox detection module. (For the function, please refer to the sandbox detection part mentioned in step S312 shown in FIG.
  • the known/unknown attack detection module for the implementation function, please refer to the detection mentioned in step S314 shown in FIG. 3
  • the attack behavior part and the attack detection and backtracking module based on big data analysis (see the attack detection and backtracking part mentioned in step 318 shown in Figure 3 for the implementation function).
  • FIG. 4 is a flow chart showing the processing of the network data message processing by the real-time analysis module.
  • the real-time analysis module After receiving the network data packet captured by the high-performance trapping process, the real-time analysis module first performs Ethernet (Ethernet)/VLAN (Virtual Local Area Network)/MPLS (Multi-Protocol Label Switching) on the network data packet. Analysis of the Layer 2 protocol.
  • Ethernet Ethernet
  • VLAN Virtual Local Area Network
  • MPLS Multi-Protocol Label Switching
  • TCP/IP Transmission Control Protocol/Internet Protocol
  • TCP/IP Transmission Control Protocol/Internet Protocol
  • the data parsed by the TCP/IP protocol is identified by an application layer protocol.
  • the real-time analysis module parses the network data packet, it performs subsequent processing. For example, file restoration, known/unknown attack detection, and full-process storage in FIG. 4 are steps of subsequent processing.
  • FIG. 5 is a flow chart showing the processing of the parsed data of each protocol by the real-time analysis module according to a preferred embodiment of the present invention.
  • the preferred embodiment is an embodiment of webmail (ie, webmail) content parsing.
  • the application is identified as a network mail, and then the web mail is parsed to obtain text and MIME for supporting additional data (such as sound files, video files, etc.) in the mail (That is, multi-purpose Internet mail extension).
  • the text file is metadata that can be directly detected, and for MIME, further analysis is needed.
  • the MIME part that needs to be parsed is decompressed to obtain files of different formats, such as the Portable Document Format (PDF) format file and the PPT (a presentation software designed by Microsoft Corporation) format as shown in FIG. document. Further, the PPT format file can be further parsed to obtain detectable metadata, such as the text file shown in FIG. 5 and the Excel (a spreadsheet software) format file.
  • PDF Portable Document Format
  • the Excel a spreadsheet software format file.
  • detectable metadata such as the text file shown in FIG. 5 and the Excel (a spreadsheet software) format file.
  • Deflate a lossless data compression algorithm
  • further parsing is required until the full detectable metadata is obtained, and the real-time parsing ends.
  • the thicker arrow points to an extended real-time parsing path, and the real-time parsing path can finally extract the metadata of the network data packet.
  • FIG. 6 shows a flow chart for detecting a file using a sandbox detection method, in accordance with one embodiment of the present invention.
  • the network data packet that is, the sample in Figure 6
  • first analyze the file type of the network data packet and obtain a portable executable file (Portable Execute, hereinafter referred to as PE file) and/or non-portable.
  • Executive file hereinafter referred to as non-PE file. Static detection, semi-dynamic detection, and dynamic detection processes are performed on PE files and non-PE files, respectively, and malicious behavior analysis is performed based on the detection results.
  • Figure 7 illustrates a flow chart for detecting a file using sandbox detection in accordance with a preferred embodiment of the present invention.
  • the file type data packet is restored to a file.
  • the file is statically attacked by the initial attack code, that is, the process of statically detecting the file in FIG.
  • the static detection When the static detection is completed, if the attack code is detected, it is determined that the file has malicious behavior, and then the corresponding processing is performed. If the static attack code is not detected, the file is semi-dynamically and dynamically detected using the sandbox. As shown in Figure 7, restore the application's files, such as Office (Microsoft's office software), PDF, Flash (a collection of animation creation and application development software) and any other application restore The file is placed in a sandbox for testing. According to the sandbox detection, it is possible to dynamically obtain information about whether the restored files of each application have malicious behavior, and also dynamically obtain the suspicious degree of the restored files of each application.
  • Office Microsoft's office software
  • PDF Portable Markup Language
  • Flash a collection of animation creation and application development software
  • FIG. 8 shows a structural flow diagram after combining a real-time analysis module and a sandbox detection module in accordance with one embodiment of the present invention.
  • the file is decompressed to obtain detectable metadata. If the file is a PE file, the file is first checked for, for example, a Qihoo Support Vector Machine (QVM) or a Cloud AVE (Audio Video Engine). The PE file recovered by the cloud is again analyzed and detected by using the sandbox (ie, the Sandbox in Figure 8) detection mode.
  • QVM Qihoo Support Vector Machine
  • Cloud AVE Anaudio Video Engine
  • RTF format Rich Text Format
  • Doc a file extension
  • docx a file extension
  • Excel format etc.
  • the file is a document that can continue to be decompressed, then return to continue decompression operation, if the file is detectable metadata, then perform QEX static analysis, fill data (shellcode) semi-dynamic detection and lightVM lightweight Dynamic Analysis.
  • the metadata detected by the above three kinds is detected again by sandbox detection.
  • the risk level of the malicious behavior can be divided into three levels.
  • high-risk that is, the ability to confirm metadata as malicious code, such as a determined Trojan sample, obvious malicious behavior, or exploitable exploits.
  • medium-risk that is, there are suspected malicious acts, but can not be determined, or suspected of exploits, but there is no certain malicious behavior, such as the discovery of samples will visit the following sensitive locations, or the sample causes the program to crash, but does not trigger execution .
  • low-risk that is, non-confirmed non-malicious documents, may endanger the security of the system and can be understood as a document with risks.
  • the known/unknown attack detection module is introduced.
  • the embodiment of the present invention detects the known/unknown attack behavior based on the network abnormal behavior detection principle.
  • the network behavior information is first extracted from the metadata extracted in the network data packet (the network data packet is obtained by real-time analysis in the foregoing text). Secondly, multi-dimensional network behavior statistics are performed on the extracted network behavior information. Then, based on the statistical results, the decision tree classification rule is used to establish the network anomaly behavior model, and the network anomaly behavior model is used to determine the attack behavior.
  • the embodiment of the present invention uses the stored network data message when performing the establishment of the network abnormal behavior model mentioned above.
  • the network threat processing method provided by the embodiment of the present invention is introduced, it is mentioned that, in the embodiment of the present invention, the captured network data packet is stored in full traffic, when the stored network data packet reaches the big data level.
  • the attack behavior can be backtracked based on big data analysis for the determined attack behavior. Therefore, the following describes the attack detection and backtracking module based on big data analysis.
  • it introduces the use of stored network data packets to establish a network anomaly behavior model.
  • the big data analysis-based attack detection and backtracking module performs full traffic storage on the captured network data packet to obtain full traffic data, such as network access record information and network all. Internal and external web access requests and files for network or mail transfer.
  • the clustering algorithm can be used to analyze the full flow data, and the machine learning and rule extraction operations can be performed on the full flow data, and the data correlation analysis operation can be performed on the full flow data.
  • the above multi-dimensional network behavior analysis statistics it is possible to establish a network anomaly behavior model and determine the attack relationship. Then, through the established network anomaly behavior model and the determined attack relationship, operations such as known attack detection, unknown attack detection, and APT attack process backtracking can be performed.
  • FIG. 11 shows a flow chart for establishing a network anomaly behavior model and determining an attack behavior according to a preferred embodiment of the present invention.
  • network data packets can be obtained by listening to network traffic, obtaining terminal logs, and obtaining device logs.
  • the obtained network data packet is stored in full traffic.
  • big data mining calculation and historical data behavior analysis are performed.
  • the analysis results obtained after the behavior analysis of the historical data can be added to the behavior model library for later analysis, and the network behavior model can be extracted by the big data mining calculation, and the extracted network behavior model can also be added to the behavior model library.
  • the behavioral model library can be reversed as historical data for historical data behavior analysis. Through the analysis of historical data behavior, it can obtain information about unknown attacks such as exploitative attacks, suspicious behaviors, APT processes, and covert channels. Further, it is possible to detect and determine known or unknown attack behaviors.
  • the server receives the active access of the client, provides various response services for the client, and the server actively initiates the access behavior only in a limited situation, such as acquiring a system patch, etc., if the server actively accesses a DNS (Domain Name System) server in Europe, the access operation of the server does not match the historical data behavior, indicating that there is suspicious behavior and further detection is required.
  • DNS Domain Name System
  • the network threat processing method and the specific module information provided by the embodiment of the present invention are described above. In order to explain the network threat processing method provided by the embodiment of the present invention, it is more intuitive and clear, and a specific embodiment is provided.
  • FIG. 12 is a block diagram showing the structure of threat perception in accordance with a preferred embodiment of the present invention.
  • the embodiment of the present invention performs threat-aware management through a combination of a local detection engine (such as a signature library upgrade package, a vulnerability patch package, and a software upgrade package) and a cloud detection engine.
  • a local detection engine such as a signature library upgrade package, a vulnerability patch package, and a software upgrade package
  • a cloud detection engine includes alarm, analysis, management and configuration, and data source (DataBase).
  • Threat-aware management through the Tiny Search Engine (TSE) includes packet capture, message pre-processing, and parallel threat detection.
  • 13 through 18 respectively illustrate different interface diagrams of network threat processing in accordance with one embodiment of the present invention.
  • FIG. 1 illustrates different interface diagrams of network threat processing in accordance with one embodiment of the present invention.
  • FIG. 13 is a schematic diagram showing an interface of a file alarm, a behavior alarm, and an email alarm during comprehensive detection.
  • the file or behavior of the current alarm or the danger level of the email, the alarm time, and the like are prompted.
  • FIG. 14 is a diagram showing a detailed alarm information interface of a file alarm according to an embodiment of the present invention.
  • the user can learn the hazard level, the alarm time, the source network interconnection protocol (Internet Protoco, IP address), the destination IP address, the file type, the file size, and the like for the file in the interface. Information such as the history of the file, which is convenient for users to understand Details of the threatened file and further judgment and processing accordingly.
  • FIG. 15 is a block diagram showing an alarm analysis of alarm information according to an embodiment of the present invention.
  • the embodiment of the present invention can comprehensively analyze and effectively locate an unknown threat or an attack behavior based on a large amount of abnormal alarm information detected.
  • Figure 16 shows a log report analyzing the alert information in accordance with one embodiment of the present invention.
  • the user can find the alarm trend of network access behavior in different time periods according to different times.
  • the user can find the top ten (TOP10) of the alarm trend and the number of attacking hosts in the last 24 hours, and the corresponding top ten statistics of the alarm trend and the number of attacking hosts.
  • FIG. 17 shows an interface diagram of user management according to an embodiment of the present invention, and FIG.
  • the embodiments of the present invention can perform different user-specific settings according to different users, and further help different users to perform network threat processing in different ranges and depths more efficiently, thereby improving the user experience.
  • the embodiment of the present invention provides a network threat processing device, which is used to implement the foregoing network threat processing method.
  • FIG. 19 is a block diagram showing the structure of a network threat processing device according to an embodiment of the present invention.
  • the network threat processing device of the embodiment of the present invention at least includes: a listening module 1910, a data extracting module 1920, and a determining module 1930.
  • the listening module 1910 is configured to listen to network access behavior of the network device and obtain network data packets.
  • the data extraction module 1920 is coupled to the interception module 1910 and configured to analyze the acquired network data packet and extract the metadata.
  • a determination module 1930 coupled to the data extraction module 1920, is configured to detect metadata and determine an attack behavior, wherein the attack behavior includes known attack behavior and/or unknown attack behavior.
  • the network threat processing method can listen to the network access behavior of the network device, acquire the network data packet, and extract the metadata by analyzing the network data packet, and determine the known or The unknown attack behavior solves the problems and techniques in the prior art that cannot grasp the new network threats (including known attacks and unknown attacks), and thus cannot solve the problem of new network threats by corresponding technical means.
  • the network threat processing method provided by the embodiment of the present invention can obtain the network data packet by detecting the network access behavior of the network device in real time, and can dynamically discover the vulnerability attack of the unknown attack and the hidden channel of the unknown attack according to the obtained network data packet. And can quickly detect unknown attacks.
  • the embodiment of the present invention stores the obtained network data packet, forms historical data of a large data level, and analyzes and mines the big data, thereby detecting the advanced and concealed attacks, which is solved due to the prior art.
  • the network threat processing method provided by the embodiment of the present invention can timely discover new network threats, including known attack behaviors and unknown attack behaviors, thereby enabling users to take timely measures to detect new network threats, thereby ensuring people's production. Life and even national security are not affected by the threat of network information security.
  • the data extraction module 1920 is further configured to:
  • the data extraction module 1920 is further configured to: divide the acquired data into file-type data messages and/or non-file-type data messages according to attributes of the network data messages.
  • the data extraction module 1920 is further configured to: restore the file-type data message to a file;
  • the restored file is detected to detect whether the file has malicious behavior.
  • the data extraction module 1920 is further configured to: detect the restored file using a sandbox detection method.
  • the data extraction module 1920 is further configured to:
  • the data extraction module 1920 is further configured to:
  • Attack behavior is detected based on the principle of network abnormal behavior detection.
  • the data extraction module 1920 is further configured to: extract network behavior information of the metadata;
  • the network abnormal behavior model is established by using decision tree classification rules
  • the attack behavior is determined using a network anomaly behavior model.
  • the network threat processing device further includes:
  • the backup module 1940 is configured to perform full traffic storage on the captured network data packet for later analysis and use.
  • the backup module 1940 is further configured to perform a big data analysis-based attack detection on the stored network data packet to determine an attack behavior when the number of the stored network data packets reaches a large data level; and / or
  • the attack behavior is backtracked based on big data analysis.
  • the operation of backtracking the attack behavior based on big data analysis includes at least one of the following:
  • the attack source that locates the attack behavior
  • the network threat processing device further includes:
  • the upgrade module 1950 is configured to detect the metadata and determine the attack behavior, and then upgrade the security device used on the network device according to the unknown attack behavior, so as to protect against the unknown attack behavior.
  • the security defense device after determining an attack behavior, generating alarm information (for example, an attacked terminal, an attack source, an attack sample, etc.), and transmitting the information to the security defense device on the network device, the security defense device performs further Detection and killing.
  • alarm information for example, an attacked terminal, an attack source, an attack sample, etc.
  • detecting metadata and determining attack behavior includes: passing a local detection engine and/or The cloud detection engine detects metadata and determines attack behavior.
  • the local detection engine is preferentially used (in some environments, such as when the external network cannot be connected), and when the attack behavior cannot be determined, it is sent to the cloud detection engine for further detection. At this time, the cloud detection engine acts as A supplement to the local inspection engine.
  • the embodiment of the present invention can achieve the following beneficial effects:
  • the network threat processing method can listen to the network access behavior of the network device, acquire the network data packet, and extract the metadata by analyzing the network data packet, and determine the known or The unknown attack behavior solves the problems and techniques in the prior art that cannot grasp the new network threats (including known attacks and unknown attacks), and thus cannot solve the problem of new network threats by corresponding technical means.
  • the network threat processing method provided by the embodiment of the present invention can obtain the network data packet by real-time listening to the network access behavior of the network device, and can dynamically discover the vulnerability attack of the unknown attack and the hidden channel of the unknown attack according to the obtained network data packet. Information and the ability to quickly detect unknown attacks.
  • the embodiment of the present invention stores the obtained network data packet, forms historical data of a large data level, and analyzes and mines the big data, thereby detecting the advanced and concealed attacks, which is solved due to the prior art.
  • the network threat processing method provided by the embodiment of the present invention can timely discover new network threats, including known attack behaviors and unknown attack behaviors, thereby enabling users to take timely measures to detect new network threats, thereby ensuring people's production. Life and even national security are not affected by the threat of network information security.
  • modules in the devices of the embodiments can be adaptively changed and placed in one or more devices different from the embodiment.
  • the modules or units or components of the embodiments may be combined into one module or unit or component, and further they may be divided into a plurality of sub-modules or sub-units or sub-components.
  • any combination of the features disclosed in the specification, including the accompanying claims, the abstract and the drawings, and any methods so disclosed, or All processes or units of the device are combined.
  • Each feature disclosed in this specification (including the accompanying claims, the abstract and the drawings) may be provided by the same, equivalent or similar purpose, unless stated otherwise. An alternative feature to replace.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some or all of the functionality of some or all of the components of the network threat processing device in accordance with embodiments of the present invention.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • Figure 20 illustrates a computing device in which a network threat processing method in accordance with the present invention may be implemented.
  • the computing device conventionally includes a processor 2010 and a computer program product or computer readable medium in the form of a memory 2020.
  • the memory 2020 may be an electronic memory such as a flash memory, an EEPROM (Electrically Erasable Programmable Read Only Memory), an EPROM, a hard disk, or a ROM.
  • the memory 2020 has a memory space 2030 for executing program code 2031 of any of the above method steps.
  • the storage space 2030 for program code may include respective program codes 2031 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • Such computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks.
  • Such a computer program product is typically a portable or fixed storage unit as described with reference to FIG.
  • the storage unit may have storage segments, storage spaces, and the like that are similarly arranged to memory 2020 in the computing device of FIG.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 2031', ie, code that can be read by a processor, such as 2010, that when executed by a computing device causes the computing device to perform each of the methods described above step.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种网络威胁处理方法及设备。其中，该方法包括：侦听网络设备的网络访问行为，并获取网络数据报文；对获取的网络数据报文进行分析，提取元数据；检测元数据并确定攻击行为，其中，攻击行为包括已知的攻击行为和/或未知的攻击行为。采用本发明实施例提供的网络威胁处理方法能够及时发现并处理新型网络威胁，包括已知攻击行为以及未知攻击行为，达到保证网络免受安全威胁的有益效果。

Description

网络威胁处理方法及设备 技术领域
本发明涉及互联网应用领域，特别是涉及一种网络威胁处理方法及设备。
背景技术
随着信息社会的发展，网络信息安全越来越深入人们的生活。信息泄露、数据丢失、用户隐私泄露等信息安全事故频繁发生造成了重大的经济损失，并对社会产生了重大不良影响。甚至，信息安全事故会危及国家安全。例如，2012年，我国涉密单位发现一个已经潜伏长达7年之久的恶意代码，2013年5月，韩国多家银行和电视台遭遇黑客攻击，网络大面积瘫痪。
随着科技的发展，网络威胁已经有了新的特点。新型网络威胁逐渐实现了从恶作剧向商业利益的属性转变、从个人向团伙组织的发起人转变，以及从普通病毒木马向高级持续性攻击(Advanced Persistent Threat，以下简称APT)的技术转变。这些转变均使得网络信息安全遭受更大的威胁。新型网络威胁不仅手段隐蔽，并且现有技术中的安全防御体系无法掌握其漏洞以及技术。因此，传统的安全防御体系无法采取相应技术手段解决新型网络威胁，导致人们生产生活的信息受到了更为严峻的安全威胁，而这些安全威胁一旦真实发生，对经济、社会甚至国家安全会造成难以估计的毁灭性影响。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的网络威胁处理方法和相应的设备。
依据本发明的一个方面，提供了一种网络威胁处理方法，包括：侦听网络设备的网络访问行为，并获取网络数据报文；对获取的网络数据报文进行分析，提取元数据；检测所述元数据并确定攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
依据本发明的另一个方面，还提供了一种网络威胁处理设备，包括：侦听模块，配置为侦听网络设备的网络访问行为，并获取网络数据报文；数据提取模块，配置为对获取的网络数据报文进行分析，提取元数据；确定模块，配置为检测所述元数据并确定出攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
根据本发明的又一个方面，提供了一种计算机程序，包括计算机可读代码，当所述计算机可读代码在计算设备上运行时，导致所述计算设备执行根据任一个上述的网络威胁处理方法。
根据本发明的再一个方面，提供了一种计算机可读介质，其中存储了如上述的计算机程序。
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁(包括已知攻击以及未知攻击)的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，获取到网络数据报文，根据获取的网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的隐秘信道等信息，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现新型网络威胁，包括已知攻击行为以及未知攻击行为，进而使得用户能够及时对发现的新型网络威胁采取处理措施，达到保证人们生产生活甚至国家安全不受网络信息安全威胁的有益效果。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了根据本发明一个实施例的网络威胁处理方法的处理流程图；
图2示出了根据本发明一个实施例的本地检测引擎与云检测引擎组成“天眼系统”的结构图；
图3示出了根据本发明一个优选实施例的网络威胁处理方法的处理流程图；
图4示出了实时分析模块对网络数据报文进行处理的处理流程图；
图5示出了根据本发明一个优选实施例的实时分析模块对各协议解析后的数据进行处理的处理流程图；
图6示出了根据本发明一个实施例的利用沙箱检测方式对文件进行检测的流程图；
图7示出了根据本发明一个优选实施例的利用沙箱检测方式对文件进行检测的流程图；
图8示出了根据本发明一个实施例的将实时分析模块以及沙箱检测模块组合之后的结构流程图；
图9示出了根据本发明一个实施例的已知/未知攻击检测模块的处理流程图；
图10示出了根据本发明一个实施例的基于大数据分析的攻击检测与回溯模块的处理流程图；
图11示出了根据本发明一个优选实施例的建立网络异常行为模型并据此确定攻击行为的流程图；
图12示出了根据本发明一个优选实施例的威胁感知的结构示意图；
图13示出了根据本发明一个实施例的全面检测时文件告警、行为告警以及邮件告警的界面示意图；
图14示出了根据本发明一个实施例的文件告警的详细告警信息界面图；
图15示出了根据本发明一个实施例的对告警信息进行告警分析的界面图；
图16示出了根据本发明一个实施例的对告警信息进行分析的日志报表；
图17示出了根据本发明一个实施例的用户管理的界面图；
图18示出了根据本发明一个实施例的配置管理的界面图；
图19示出了根据本发明一个实施例的网络威胁处理设备的结构示意图；
图20示意性地示出了用于执行根据本发明的网络威胁处理方法的计算设备的框图；以及
图21示意性地示出了用于保持或者携带实现根据本发明的网络威胁处理方法的程序代码的存储单元。
具体实施方式
下面结合附图和具体的实施方式对本发明作进一步的描述。
相关技术中提及，新型网络威胁不仅手段隐蔽，并且现有技术中的安全防御体系无法掌握其漏洞以及技术。因此，传统的安全防御体系无法采取相应技术手段解决新型网络威胁，导致人们生产生活的信息受到了更为严峻的安全威胁，而这些安全威胁一旦真实发生，对经济、社会甚至国家安全会造成难以估计的毁灭性影响。
为解决上述技术问题，本发明实施例提出了一种网络威胁处理方法。图1示出了根据本发明一个实施例的网络威胁处理方法的处理流程图。参见图1，该流程至少包括步骤S102至步骤S106。
步骤S102、侦听网络设备的网络访问行为，并获取网络数据报文。
步骤S104、对获取的网络数据报文进行分析，提取元数据。
步骤S106、检测元数据并确定攻击行为，其中，攻击行为包括已知的攻击行为和/或未知的攻击行为。
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁(包括已知攻击以及未知攻击)的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，获取到 网络数据报文，根据获取的网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的隐秘信道等信息，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现新型网络威胁，包括已知攻击行为以及未知攻击行为，进而使得用户能够及时对发现的新型网络威胁采取处理措施，达到保证人们生产生活甚至国家安全不受网络信息安全威胁的有益效果。
上文提及，本发明实施例能够检测出网络威胁的攻击行为，并及时对其进行处理。如图2所示，本发明实施例能够运用于本地检测引擎220，并结合现有技术中的云检测引擎230组成一个“天眼系统”(其中，“天眼”仅为系统名称，对本地检测引擎以及云检测引擎组成的系统的功能、属性以及作用等方面均不构成任何影响)，对网络设备210中的网络访问行为进行检测处理，发现其中的网络威胁(包括网络攻击行为等)，做到对网络威胁“天网恢恢疏而不漏”，更加全面、广泛以及具体地处理网络威胁。
现以运用于本地检测引擎220的网络威胁处理方法为例，对本发明实施例提供的网络威胁处理方法进行介绍。图3示出了根据本发明一个优选实施例的网络威胁处理方法的处理流程图，首先执行步骤S302，侦听网络设备的网络访问行为。在侦听的过程中，实时执行步骤S304，获取网络数据报文。本发明实施例中，侦听网络设备的网络访问行为能够对网络设备的网络访问行为进行实时监测，保证及时获取网络设备的网络访问行为。进一步，能够保证在任何攻击行为发生之前，本发明实施例能够及时检测到攻击行为并进行合理有效处理，保证网络安全。因此，本发明实施例在整个网络威胁处理流程中对网络设备的网络访问行为进行侦听，并实时执行步骤S304，获取网络数据报文。
获取到网络数据报文之后，执行步骤S306，对网络数据报文进行分析。本发明实施例中，对获取到的网络数据报文进行分析可以是分析网络数据报文的源网络地址，也可以是分析网络数据报文的目的地址。优选地，本发明实施例中，为在后续操作中能够准确对网络数据报文中的攻击行为进行检测和处理，在对获取到的网络数据报文进行分析时，对获取的网络数据报文进行分类。并且，针对每一类别，本发明实施例选择相应的策略检测攻击行为。在对获取的网络数据报文进行分类时，本发明实施例可以根据源地址或者目的地址或者其他任意信息对网络数据报文进行分类，并根据分类结果选择相应的策略检测攻击行为。由于根据网络数据报文的数据能够更加全面以及准确地对网络数据报文进行分类，因此，优选地，本发明实施例中根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。即，根据对获取到的网络数据报文的分析，网络数据报文可以是文件类数据报文，可以是非文件类数据报文，还可以是文件类数据报文以及非文件类数据报文的组合。
对网络数据报文进行分类之后，执行如图3所示的步骤S308，确定网络数据报文是否为文件类数据报文。若是，执行步骤S310，将确定的文件类数据报文还原为文件。之 后，对还原的文件进行检测，检测文件是否具有恶意行为。在对文件进行检测的过程中，为保证将被检测的文件完全与正在运行的程序隔离，进而保证检测过程中被检测文件不会出现攻击行为，本发明实施例利用沙箱检测方式对还原的文件进行检测，如图3中的步骤S312所示。其中，对文件的检测方式包括：基于网络异常行为检测原理，检测文件是否具有恶意行为。若根据步骤S308的判断结果，网络数据报文为非文件类数据报文，则直接执行步骤S314，基于网络异常行为检测原理，检测网络数据报文的已知攻击行为和/或未知攻击行为。当网络数据报文为文件类数据报文以及非文件类数据报文的组合时，将网络数据报文分为文件类数据报文部分以及非文件类数据报文部分，并分别按照上文提及的步骤进行操作，在此不作赘述。
另外，如图3中的步骤S316所示，本发明实施例中，获取到网络数据报文之后，除了对获取到的网络数据报文进行分析之外，为保证在后续分析中能够及时获取历史网络数据报文进行对比，以便更深层次分析网络数据报文，达到更加高效地网络威胁处理性能，本发明实施例还可以对捕捉到的网络数据报文进行全流量存储(即步骤S316)。并且，当存储的网络数据报文的数量级到达大数据级别时，本发明实施例对存储的网络数据报文进行大数据分析的攻击检测，确定攻击行为，和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。优选地，本发明实施例中，基于大数据分析对攻击行为进行回溯的操作可以是定位攻击行为的攻击源、还原攻击行为相对应的方位行为以及还原攻击行为相对应的访问内容等能够对攻击行为进行分析的其中一项或者几项任意操作，本发明实施例对此并不加以限定。
当根据如图3所示的网络威胁处理方法的处理流程检测元数据并确定出攻击行为之后，本发明实施例还可以根据未知的攻击行为，对网络设备上使用的安全装置进行升级，使网络设备上使用的安全装置能够防御未知的攻击行为。并且，本文中曾提及能够将本地检测引擎以及云检测引擎组成“天眼系统”对网络设备中的网络威胁进行检测处理(具体请见附图2及其对应说明)。需要说明的是，本发明实施例能够通过本地检测引擎和/或云检测引擎检测元数据并确定攻击行为。
上文根据图3所示的流程图对本发明实施例提供的网络威胁处理方法进行了介绍，为更加深入清晰地阐述本发明实施例提供的网络威胁处理方法，现使用优选实施例对本发明实施例提供的网络威胁处理方法中的几个模块进行进一步介绍。具体地，现对本发明实施例提供的网络威胁处理方法中的实时分析模块(实现功能请参见图3所示的步骤S306中提及的对网络数据报文进行分析的部分)、沙箱检测模块(实现功能请参见图3所示的步骤S312中提及的沙箱检测部分)、已知/未知攻击检测模块(实现功能请参见图3所示的步骤S314中提及的检测已知/未知攻击行为部分)以及基于大数据分析的攻击检测与回溯模块(实现功能参见图3所示的步骤318中提及的攻击检测和回溯部分)。
首先介绍实时分析模块。图4示出了实时分析模块对网络数据报文进行处理的处理流程图。实时分析模块接收到高性能捕包流程捕捉到的网络数据报文后，首先，对网络数据报文进行Ethernet(以太网)/VLAN(虚拟局域网)/MPLS(多协议标签交换)等任 意二层协议的解析。其次，进一步对经前一步解析得到的数据包进行TCP/IP(Transmission Control Protocol/Internet Protocol的简写，中译名为传输控制协议/因特网互联协议，又名网络通讯协议)协议的解析。最后，对经TCP/IP协议解析后的数据进行应用层协议的识别。实时分析模块对网络数据报文解析结束后，对其进行后续处理，例如图4中的文件还原、已知/未知攻击检测、全流程存储均是后续处理的步骤。
图5示出了根据本发明一个优选实施例的实时分析模块对各协议解析后的数据进行处理的处理流程图。本优选实施例为一个webmail(即网络邮件)内容解析的实施例。如图5所示，经超文本传送协议解析后，识别到该应用为网络邮件，进而对网络邮件进行解析得到文本以及用以支持邮件中附加数据(如声音文件、视频文件等)的MIME(即多用途互联网邮件扩展)。其中，文本文件为能够直接检测的元数据，而对于MIME则需要进行进一步解析。对需要继续解析的MIME部分进行解压缩得到不同格式的文件，如图5所示的便携文档(Portable Document Format，以下简称PDF)格式的文件以及PPT(微软公司设计的一种演示文稿软件)格式的文件。其中，对PPT格式的文件进一步解析能够得到可检测的元数据，如图5所示的文本文件以及Excel(一种试算表软件)格式的文件。而对PDF格式的文件进行解析时，得到可直接检测的文本文件以及不可直接检测的Deflate(一种无损数据压缩算法)格式的文件。对于Deflate格式的文件则需要进一步解析，直至得到全部可检测的元数据，则实时解析结束。需要说明的是，在图5中，较粗的箭头指向为一条延伸的实时解析路径，按照该实时解析路径能够最终提取网络数据报文的元数据。
其次介绍沙箱检测模块。图6示出了根据本发明一个实施例的利用沙箱检测方式对文件进行检测的流程图。获取到网络数据报文(即图6中的样本)之后，首先对网络数据报文的文件类型进行分析，并得到可移植执行体文件(Portable Execute，以下简称PE文件)和/或非可移植执行体文件(以下简称非PE文件)。对于PE文件以及非PE文件分别进行静态检测、半动态检测以及动态检测过程，并根据检测结果进行恶意行为分析。图7示出了根据本发明一个优选实施例的利用沙箱检测方式对文件进行检测的流程图。如图7所示，当获取到网络数据报文之后，若判断获取到的网络数据报文为文件类数据报文，则将文件类数据报文还原为文件。例如，图7中示出的邮件附件还原、web(网络)文件还原以及FTP(文件传输协议)文件还原等等。还原之后，对文件进行静态攻击代码初筛，即图6中对文件进行静态检测的过程。
当静态检测完毕之后，若检测出攻击代码，则确定文件具有恶意行为，继而进行相应处理。若没有检测出静态攻击代码，则利用沙箱对文件进行半动态以及动态检测。如图7所示，将应用程序的还原文件，如Office(微软公司的一款办公软件)、PDF、Flash(一种集动画创作与应用程序开发于一身的创作软件)以及其他任意应用的还原文件放入沙箱进行检测。根据沙箱检测，能够动态获取各个应用的还原文件是否具有恶意行为的信息，还可以动态获取各个应用的还原文件的可疑程度。例如，在2013年10月18日22时27分10秒时，在文件名称为“啦啦生活网”的压缩文件中，其启动宿主进程，注 入代码的操作行为可疑程度为4个星，其设置远程线程上下文的操作行为可疑程度为3个星，其在其他进程中申请内存的操作行为可疑程度为一个星。其中，星的个数越多代表可疑程度越高，则其操作行为是恶意行为的可能性越高。需要说明的是，本优选实施例中提及的时间、软件名称、文件名称以及可疑程度评定方法等均为示例，均无法代表实际运用中能够出现的各个信息详情。
图4至图7及各个附图的相应文字说明介绍了实时分析模块以及沙箱检测模块。图8示出了根据本发明一个实施例的将实时分析模块以及沙箱检测模块组合之后的结构流程图。参见图8，对文件进行解压缩得到可检测的元数据。其中，若文件为PE文件，则首先对文件进行云查杀，例如使用奇虎支持向量机(Qihoo Support Vector Machine，以下简称QVM)或者云AVE(Audio Video Engine，音视频引擎)。通过云查杀的PE文件利用沙箱(即图8中的Sandbox)检测方式进行再次完整分析检测。对于非PE文件，如图8中示出的富文本格式(Rich Text Format，以下简称为RTF格式)、PDF格式、Doc(一种文件扩展名)格式、docx(一种文件扩展名)格式以及excel格式等等，若文件为能够继续解压缩的文档，则返回继续进行解压缩操作，若文件为可检测的元数据，则进行QEX静态分析、填充数据(shellcode)半动态检测以及lightVM轻量动态分析。之后，利用沙箱检测对通过以上三种检测的元数据再次进行检测。在对文件进行是否具有恶意行为的检测时，优选地，本发明实施例中，可以将恶意行为的危险等级分为三个等级。第一，高危，即能够确认元数据为恶意代码，如确定的木马样本、明显的恶意行为或者能够触发的漏洞利用等。第二，中危，即存在疑似恶意行为，但无法确定的，或者疑似漏洞利用，但尚没有确定的恶意行为，例如发现样本会访问以下敏感的位置，或者样本导致程序崩溃，但没有触发执行。第三，低危，即非经过确认的无恶意文件，可能会危害系统安全，可以理解为存在风险的文件。
对实时分析模块以及沙箱检测模块介绍完毕之后，对已知/未知攻击检测模块进行介绍。当对获取到的网络数据报文判断为非文件类数据报文之后，本发明实施例基于网络异常行为检测原理，对已知/未知攻击行为进行检测。如图9所示，首先对在网络数据报文(网络数据报文经前文实时分析获得)中提取出的元数据进行网络行为信息的提取。其次，对提取到的网络行为信息进行多维度的网络行为统计。之后，依据统计结果，利用决策树分类规则建立网络异常行为模型，并使用网络异常行为模型确定攻击行为。
另外，在进行上文提及的网络异常行为模型的建立时，本发明实施例使用存储的网络数据报文。在对本发明实施例提供的网络威胁处理方法进行介绍时提及，本发明实施例中，对捕捉到的网络数据报文进行全流量存储，当存储的网络数据报文的数量级到达大数据级别时，可以对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。因此，下面首先介绍基于大数据分析的攻击检测与回溯模块，其次，介绍使用存储的网络数据报文建立网络异常行为模型。
如图10所示的基于大数据分析的攻击检测与回溯模块，本发明实施例对捕捉到的网络数据报文进行全流量存储，得到全流量数据，例如网络的访问记录信息、网络的所有 对内对外的web访问请求以及网络或者邮件传输的文件。实施时，可以采用聚类算法对全流量数据进行分析，可以对全流量数据进行机器学习以及规则提取操作，还可以对全流量数据进行数据关联分析操作等。通过以上多维度的网络行为分析统计，能够建立网络异常行为模型以及确定攻击关系。继而，通过建立的网络异常行为模型以及确定的攻击关系能够进行已知攻击检测、未知攻击检测以及APT攻击过程回溯等操作。
对基于大数据分析的攻击检测与回溯模块介绍完毕之后，图11示出了根据本发明一个优选实施例的建立网络异常行为模型并据此确定攻击行为的流程图。如图11所示，通过侦听网络流量、获取终端日志以及获取设备日志等行为能够获取到网络数据报文。将获取到的网络数据报文进行全流量存储。当存储的网络数据报文的数量级到达大数据级别时，进行大数据挖掘计算以及历史数据行为分析。其中，对历史数据进行行为分析之后得到的分析结果能够加入行为模型库以备后续分析使用，而通过大数据挖掘计算能够提取网络行为模型，也可以将提取的网络行为模型加入行为模型库。另外，行为模型库能够反过来作为历史数据行为分析的历史数据。通过对历史数据行为的分析能够获取到漏洞利用攻击、可疑行为、APT过程以及隐蔽信道等未知攻击的信息。进一步，能够检测并确定已知或者未知的攻击行为。
例如，在本申请的一个实施例中，服务器接收客户端的主动访问，为客户端提供各种应答服务，服务器仅在有限的情形中主动发起访问行为，如获取系统补丁等，如果侦听到的流量中服务器主动访问欧洲某DNS(Domain Name System，域名解析系统)服务器，则服务器的访问操作与其历史数据行为不符，说明存在可疑行为，需要进行进一步的检测。
上文对本发明实施例提供的网络威胁处理方法以及其中具体的模块信息进行了介绍，为将本发明实施例提供的网络威胁处理方法阐述得更加直观、清楚，现提供一个具体实施例。
实施例一
图12示出了根据本发明一个优选实施例的威胁感知的结构示意图。参见图12，本发明实施例通过本地检测引擎(如特征库升级包、漏洞补丁包以及软件升级包)以及云检测引擎相结合进行威胁感知管理。其中通过全面维护系统(Total Solution Maintenance，以下简称TSM)进行的威胁感知管理包括报警、分析、管理与配置以及数据来源(DataBase)。而通过微型搜索引擎(Tiny Search Engine，以下简称TSE)进行的威胁感知管理包括捕包、报文预处理以及并行威胁检测。图13至图18分别示出了根据本发明一个实施例的网络威胁处理的不同界面图。其中，图13示出了全面检测时文件告警、行为告警以及邮件告警的界面示意图。本发明实施例的告警界面图中提示用户当前被告警的文件或者行为或者邮件的危险等级、告警时间等信息。图14示出了根据本发明一个实施例的文件告警的详细告警信息界面图。如图14所示，用户能够在该界面中获知针对该文件的危险等级、告警时间、源网络互连协议(Internet Protoco，以下简称IP)地址、目的IP地址、文件类型、文件大小以及关于该文件的历史记录等信息，方便用户了解存 在威胁的文件的详细信息，并进一步作出相应判断及处理。图15示出了根据本发明一个实施例的对告警信息进行告警分析的界面图。如图15所示，本发明实施例能够基于检测到的大量异常告警信息，对未知威胁或者攻击行为进行全面分析以及有效定位。图16示出了根据本发明一个实施例的对告警信息进行分析的日志报表。如图16所示，用户能够根据时间不同查找不同时段中对网络访问行为的告警趋势。如图16所示，用户能够查找最近24小时内的告警趋势和攻击主机次数的前十名(TOP10)，以及告警趋势和攻击主机次数前十名相应的统计图。另外，图17示出了根据本发明一个实施例的用户管理的界面图，图18示出了根据本发明一个实施例的配置管理的界面图。综上，本发明实施例能够根据不同用户进行功能不同的个性化设置，进一步更加高效地帮助不同用户进行不同范围不同深度的网络威胁处理，提升用户体验。
基于上文各优选实施例提供的网络威胁处理方法，基于同一发明构思，本发明实施例提供了一种网络威胁处理设备，用于实现上述网络威胁处理方法。
图19示出了根据本发明一个实施例的网络威胁处理设备的结构示意图。参见图19，本发明实施例的网络威胁处理设备至少包括：侦听模块1910、数据提取模块1920以及确定模块1930。
现介绍本发明实施例的网络威胁处理设备的各器件或组成的功能以及各部分间的连接关系：
侦听模块1910，配置为侦听网络设备的网络访问行为，并获取网络数据报文。
数据提取模块1920，与侦听模块1910相耦合，配置为对获取的网络数据报文进行分析，提取元数据。
确定模块1930，与数据提取模块1920相耦合，配置为检测元数据并确定出攻击行为，其中，攻击行为包括已知的攻击行为和/或未知的攻击行为。
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁(包括已知攻击以及未知攻击)的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，获取到网络数据报文，根据获取的网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的隐秘信道，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现新型网络威胁，包括已知攻击行为以及未知攻击行为，进而使得用户能够及时对发现的新型网络威胁采取处理措施，达到保证人们生产生活甚至国家安全不受网络信息安全威胁的有益效果。
在一个优选的实施例中，数据提取模块1920还配置为：
对获取的网络数据报文进行分类；
针对每一类别，选择相应的策略检测出攻击行为。
在一个优选的实施例中，数据提取模块1920还配置为：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
在一个优选的实施例中，数据提取模块1920还配置为：对于文件类数据报文，将其还原为文件；
对还原的文件进行检测，检测文件是否具有恶意行为。
在一个优选的实施例中，数据提取模块1920还配置为：利用沙箱检测方式对还原的文件进行检测。
在一个优选的实施例中，数据提取模块1920还配置为：
基于网络异常行为检测原理，检测文件是否具有恶意行为。
在一个优选的实施例中，数据提取模块1920还配置为：
对于非文件类数据报文，
基于网络异常行为检测原理，检测出攻击行为。
在一个优选的实施例中，数据提取模块1920还配置为：提取元数据的网络行为信息；
对网络行为信息进行多维度网络行为统计；
依据统计结果，利用决策树分类规则建立网络异常行为模型；
使用网络异常行为模型确定出攻击行为。
在一个优选的实施例中，网络威胁处理设备还包括：
备份模块1940，配置为对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
在一个优选的实施例中，备份模块1940还配置为：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或
对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
在一个优选的实施例中，基于大数据分析对攻击行为进行回溯的操作，包括下列至少之一：
定位攻击行为的攻击源；
还原攻击行为相对应的访问行为；
还原攻击行为相对应在的访问内容。
在一个优选的实施例中，网络威胁处理设备还包括：
升级模块1950，配置为检测元数据并确定出攻击行为之后，根据未知的攻击行为，对网络设备上使用的安全装置进行升级，使其能够防御未知的攻击行为。
在一个优选的实施例中，当确定一个攻击行为后，生成告警信息(例如被攻击终端、攻击源、攻击样本等)，并传送至网络设备上的安全防御装置，由安全防御装置进行进一步的检测和查杀。
在一个优选的实施例中，检测元数据并确定攻击行为包括：通过本地检测引擎和/或 云检测引擎检测元数据并确定攻击行为。
在一个优选的实施例中优先采用本地检测引擎(在某些环境中，如无法连接外网时)，当无法确定攻击行为时，发送至云检测引擎进行进一步检测，此时，云检测引擎作为本地检测引擎的一个补充。
根据上述任意一个优选实施例或多个优选实施例的组合，本发明实施例能够达到如下有益效果：
依据本发明实施例提供的网络威胁处理方法能够侦听网络设备的网络访问行为，获取网络数据报文，并通过对网络数据报文进行分析提取元数据，根据对元数据进行检测确定已知或者未知的攻击行为，解决现有技术中无法掌握新型网络威胁(包括已知攻击以及未知攻击)的漏洞及技术，进而无法采取相应技术手段解决新型网络威胁的问题。本发明实施例提供的网络威胁处理方法通过实时侦听网络设备的网络访问行为，获取到网络数据报文，根据获取的网络数据报文能够动态发现未知攻击的漏洞攻击以及未知攻击的隐秘信道等信息，并且能够快速检测未知攻击。另外，本发明实施例对获取的网络数据报文进行存储，形成大数据级别的历史数据，并对大数据进行分析挖掘，进而能够对高级、隐蔽的攻击进行检测，是解决对由于现有技术的限制而漏检的攻击进行补查的有效手段。综上，采用本发明实施例提供的网络威胁处理方法能够及时发现新型网络威胁，包括已知攻击行为以及未知攻击行为，进而使得用户能够及时对发现的新型网络威胁采取处理措施，达到保证人们生产生活甚至国家安全不受网络信息安全威胁的有益效果。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的 的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的网络威胁处理设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
例如，图20示出了可以实现根据本发明的网络威胁处理方法的计算设备。该计算设备传统上包括处理器2010和以存储器2020形式的计算机程序产品或者计算机可读介质。存储器2020可以是诸如闪存、EEPROM(电可擦除可编程只读存储器)、EPROM、硬盘或者ROM之类的电子存储器。存储器2020具有用于执行上述方法中的任何方法步骤的程序代码2031的存储空间2030。例如，用于程序代码的存储空间2030可以包括分别用于实现上面的方法中的各种步骤的各个程序代码2031。这些程序代码可以从一个或者多个计算机程序产品中读出或者写入到这一个或者多个计算机程序产品中。这些计算机程序产品包括诸如硬盘，紧致盘(CD)、存储卡或者软盘之类的程序代码载体。这样的计算机程序产品通常为如参考图21所述的便携式或者固定存储单元。该存储单元可以具有与图20的计算设备中的存储器2020类似布置的存储段、存储空间等。程序代码可以例如以适当形式进行压缩。通常，存储单元包括计算机可读代码2031’，即可以由例如诸如2010之类的处理器读取的代码，这些代码当由计算设备运行时，导致该计算设备执行上面所描述的方法中的各个步骤。
本文中所称的“一个实施例”、“实施例”或者“一个或者多个实施例”意味着，结合实施例描述的特定特征、结构或者特性包括在本发明的至少一个实施例中。此外，请注意，这里“在一个实施例中”的词语例子不一定全指同一个实施例。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将 这些单词解释为名称。
此外，还应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本发明的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本发明的范围，对本发明所做的公开是说明性的，而非限制性的，本发明的范围由所附权利要求书限定。

Claims (28)

  1. 一种网络威胁处理方法，包括：
    侦听网络设备的网络访问行为，并获取网络数据报文；
    对获取的网络数据报文进行分析，提取元数据；
    检测所述元数据并确定攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
  2. 根据权利要求1所述的方法，其中，所述对获取的网络数据报文进行分析，包括：
    对获取的网络数据报文进行分类；
    针对每一类别，选择相应的策略检测攻击行为。
  3. 根据权利要求2所述的方法，其中，所述对获取的网络数据报文进行分类，包括：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
  4. 根据权利要求3所述的方法，其中，所述针对每一类别，选择相应的策略检测攻击行为，包括：
    对于所述文件类数据报文，将其还原为文件；
    对还原的文件进行检测，检测所述文件是否具有恶意行为。
  5. 根据权利要求4所述的方法，其中，所述对还原的文件进行检测，包括：利用沙箱检测方式对还原的文件进行检测。
  6. 根据权利要求4或5所述的方法，其中，检测所述文件是否具有恶意行为，包括：
    基于网络异常行为检测原理，检测所述文件是否具有恶意行为。
  7. 根据权利要求3所述的方法，其中，所述针对每一类别，选择相应的策略检测攻击行为，包括：
    对于所述非文件类数据报文，
    基于网络异常行为检测原理，检测出攻击行为。
  8. 根据权利要求7所述的方法，其中，所述基于网络异常行为检测原理，检测出攻击行为，包括：
    提取所述元数据的网络行为信息；
    对所述网络行为信息进行多维度网络行为统计；
    依据统计结果，利用决策树分类规则建立网络异常行为模型；
    使用所述网络异常行为模型确定出攻击行为。
  9. 根据权利要求1至8任一项所述的方法，其中，还包括：对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
  10. 根据权利要求9所述的方法，其中，还包括：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
  11. 根据权利要求10所述的方法，其中，基于大数据分析对攻击行为进行回溯的操作，包括下列至少之一：定位攻击行为的攻击源；还原攻击行为相对应的访问行为；还原攻击行为相对应在的访问内容。
  12. 根据权利要求1至11任一项所述的方法，其中，检测所述元数据并确定出攻击行为之后，还包括：根据未知的攻击行为，对所述网络设备上使用的安全装置进行升级，使其能够防御所述未知的攻击行为。
  13. 根据权利要求1至12任一项所述的方法，其中，所述检测所述元数据并确定攻击行为包括：通过本地检测引擎和/或云检测引擎检测所述元数据并确定攻击行为。
  14. 一种网络威胁处理设备，包括：
    侦听模块，配置为侦听网络设备的网络访问行为，并获取网络数据报文；
    数据提取模块，配置为对获取的网络数据报文进行分析，提取元数据；
    确定模块，配置为检测所述元数据并确定出攻击行为，其中，所述攻击行为包括已知的攻击行为和/或未知的攻击行为。
  15. 根据权利要求14所述的设备，其中，所述数据提取模块还配置为：对获取的网络数据报文进行分类；针对每一类别，选择相应的策略检测出攻击行为。
  16. 根据权利要求15所述的设备，其中，所述数据提取模块还配置为：根据各网络数据报文的属性，将获取的数据分为文件类数据报文和/或非文件类数据报文。
  17. 根据权利要求16所述的设备，其中，所述数据提取模块还配置为：对于所述文件类数据报文，将其还原为文件；对还原的文件进行检测，检测所述文件是否具有恶意行为。
  18. 根据权利要求17所述的设备，其中，所述数据提取模块还配置为：利用沙箱检测方式对还原的文件进行检测。
  19. 根据权利要求17或18所述的设备，其中，所述数据提取模块还配置为：基于网络异常行为检测原理，检测所述文件是否具有恶意行为。
  20. 根据权利要求16所述的设备，其中，所述数据提取模块还配置为：对于所述非文件类数据报文，基于网络异常行为检测原理，检测出攻击行为。
  21. 根据权利要求20所述的设备，其中，所述数据提取模块还配置为：提取所述元数据的网络行为信息；对所述网络行为信息进行多维度网络行为统计；依据统计结果，利用决策树分类规则建立网络异常行为模型；使用所述网络异常行为模型确定出攻击行为。
  22. 根据权利要求14至21任一项所述的设备，其中，还包括：备份模块，配置为对捕捉到的网络数据报文进行全流量存储，以备后续分析使用。
  23. 根据权利要求22所述的设备，其中，所述备份模块还配置为：当存储的网络数据报文的数量级到达大数据级别时，对存储的网络数据报文进行基于大数据分析的攻击检测，确定攻击行为；和/或对已确定的攻击行为，基于大数据分析对攻击行为进行回溯。
  24. 根据权利要求23所述的设备，其中，基于大数据分析对攻击行为进行回溯的操 作，包括下列至少之一：定位攻击行为的攻击源；还原攻击行为相对应的访问行为；还原攻击行为相对应在的访问内容。
  25. 根据权利要求14至24任一项所述的设备，其中，还包括：升级模块，配置为检测所述元数据并确定出攻击行为之后，根据未知的攻击行为，对所述网络设备上使用的安全装置进行升级，使其能够防御所述未知的攻击行为。
  26. 根据权利要求14至25任一项所述的设备，其中，所述检测所述元数据并确定攻击行为包括：通过本地检测引擎和/或云检测引擎检测所述元数据并确定攻击行为。
  27. 一种计算机程序，包括计算机可读代码，当所述计算机可读代码在计算设备上运行时，导致所述计算设备执行根据权利要求1-13中的任一个所述的网络威胁处理方法。
  28. 一种计算机可读介质，其中存储了如权利要求27所述的计算机程序。
PCT/CN2014/095678 2014-02-17 2014-12-30 网络威胁处理方法及设备 WO2015120752A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US15/119,598 US20170054745A1 (en) 2014-02-17 2014-12-30 Method and device for processing network threat

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410053974.6 2014-02-17
CN201410053974.6A CN103825888A (zh) 2014-02-17 2014-02-17 网络威胁处理方法及设备

Publications (1)

Publication Number Publication Date
WO2015120752A1 true WO2015120752A1 (zh) 2015-08-20

Family

ID=50760716

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/095678 WO2015120752A1 (zh) 2014-02-17 2014-12-30 网络威胁处理方法及设备

Country Status (3)

Country Link
US (1) US20170054745A1 (zh)
CN (1) CN103825888A (zh)
WO (1) WO2015120752A1 (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105376245A (zh) * 2015-11-27 2016-03-02 杭州安恒信息技术有限公司 一种基于规则的apt攻击行为的检测方法
CN111049784A (zh) * 2018-10-12 2020-04-21 北京奇虎科技有限公司 一种网络攻击的检测方法、装置、设备及存储介质
CN111460447A (zh) * 2020-03-06 2020-07-28 奇安信科技集团股份有限公司 恶意文件检测方法、装置、电子设备与存储介质
CN112217777A (zh) * 2019-07-12 2021-01-12 上海云盾信息技术有限公司 攻击回溯方法及设备
CN112600852A (zh) * 2020-12-23 2021-04-02 苏州三六零智能安全科技有限公司 漏洞攻击处理方法、装置、设备及存储介质
CN112671800A (zh) * 2021-01-12 2021-04-16 江苏天翼安全技术有限公司 一种威胁量化企业风险值的方法
CN112788008A (zh) * 2020-12-30 2021-05-11 上海磐御网络科技有限公司 一种基于大数据的网络安全动态防御系统及方法
CN116488938A (zh) * 2023-06-12 2023-07-25 湖南三湘银行股份有限公司 一种基于大数据行为分析的数据检测方法及系统

Families Citing this family (75)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103825888A (zh) * 2014-02-17 2014-05-28 北京奇虎科技有限公司 网络威胁处理方法及设备
EP3190525A4 (en) * 2014-10-14 2017-08-30 Digital Arts Inc. Information processing device and program
CN104506495A (zh) * 2014-12-11 2015-04-08 国家电网公司 一种智能化网络apt攻击威胁分析方法
CN104852910B (zh) * 2015-04-24 2018-11-27 新华三技术有限公司 一种攻击检测的方法和装置
CN105391679A (zh) * 2015-08-25 2016-03-09 北京洋浦伟业科技发展有限公司 一种通过大数据分析实现动态安全防护的系统和方法
CN105262722B (zh) * 2015-09-07 2018-09-21 深信服网络科技（深圳）有限公司 终端恶意流量规则更新方法、云端服务器和安全网关
CN105721416B (zh) * 2015-11-16 2019-09-13 哈尔滨安天科技股份有限公司 一种apt事件攻击组织同源性分析方法及装置
CN106911640A (zh) * 2015-12-23 2017-06-30 北京奇虎科技有限公司 网络威胁处理方法和装置
CN106911637A (zh) * 2015-12-23 2017-06-30 北京奇虎科技有限公司 网络威胁处理方法和装置
CN105681286A (zh) * 2015-12-31 2016-06-15 中电长城网际系统应用有限公司 关联分析方法和关联分析系统
CN105681211B (zh) * 2015-12-31 2020-07-28 北京安天网络安全技术有限公司 基于信息萃取的流量记录方法和系统
CN106934285A (zh) * 2015-12-31 2017-07-07 中兴通讯股份有限公司 一种实现样本分析的方法、装置及动态引擎设备
CN105516189B (zh) * 2016-01-08 2018-06-15 四川大学 基于大数据平台的网络安全实施系统及方法
CN107154914B (zh) * 2016-03-02 2020-12-04 中兴通讯股份有限公司 样本文件分析方法、装置及系统
CN107347057B (zh) * 2016-05-06 2021-03-02 阿里巴巴集团控股有限公司 入侵检测方法、检测规则生成方法、装置及系统
CN105871883B (zh) * 2016-05-10 2019-10-08 上海交通大学 基于攻击行为分析的高级持续性威胁检测方法
US10692012B2 (en) * 2016-05-29 2020-06-23 Microsoft Technology Licensing, Llc Classifying transactions at network accessible storage
CN107659543B (zh) * 2016-07-26 2020-12-01 北京计算机技术及应用研究所 面向云平台apt攻击的防护方法
CN106407815B (zh) * 2016-09-30 2020-02-14 北京奇虎科技有限公司 漏洞检测方法及装置
CN106341282A (zh) * 2016-11-10 2017-01-18 广东电网有限责任公司电力科学研究院 一种恶意代码行为分析装置
CN108111463A (zh) * 2016-11-24 2018-06-01 蓝盾信息安全技术有限公司 基于平均值和标准差的多维度基线自学习和异常行为分析
CN106778268A (zh) * 2016-11-28 2017-05-31 广东省信息安全测评中心 恶意代码检测方法与系统
US10885188B1 (en) * 2016-12-30 2021-01-05 Comodo Security Solutions, Inc. Reducing false positive rate of statistical malware detection systems
US11405358B2 (en) 2017-03-01 2022-08-02 Siemens Aktiengesellschaft Network security monitoring of network traffic
CN108632225A (zh) * 2017-03-23 2018-10-09 中兴通讯股份有限公司 一种防御网络威胁的方法及系统
CN108632224B (zh) * 2017-03-23 2022-03-15 中兴通讯股份有限公司 一种apt攻击检测方法和装置
CN106973051B (zh) * 2017-03-27 2019-11-19 山石网科通信技术股份有限公司 建立检测网络威胁模型的方法、装置和存储介质
CN107483448A (zh) * 2017-08-24 2017-12-15 中国科学院信息工程研究所 一种网络安全检测方法及检测系统
CN107733873A (zh) * 2017-09-19 2018-02-23 北京北信源软件股份有限公司 一种病毒预警系统和方法
CN108108625B (zh) * 2017-12-29 2022-01-07 安天科技集团股份有限公司 基于格式异构的溢出漏洞检测方法、系统及存储介质
CN110022288A (zh) * 2018-01-10 2019-07-16 贵州电网有限责任公司遵义供电局 一种apt威胁识别方法
CN108156177A (zh) * 2018-01-30 2018-06-12 国家电网公司 基于大数据的信息网安全态势感知预警方法
US11985142B2 (en) 2020-02-28 2024-05-14 Darktrace Holdings Limited Method and system for determining and acting on a structured document cyber threat risk
US11924238B2 (en) 2018-02-20 2024-03-05 Darktrace Holdings Limited Cyber threat defense system, components, and a method for using artificial intelligence models trained on a normal pattern of life for systems with unusual data sources
US12063243B2 (en) 2018-02-20 2024-08-13 Darktrace Holdings Limited Autonomous email report generator
US11477222B2 (en) 2018-02-20 2022-10-18 Darktrace Holdings Limited Cyber threat defense system protecting email networks with machine learning models using a range of metadata from observed email communications
US11843628B2 (en) * 2018-02-20 2023-12-12 Darktrace Holdings Limited Cyber security appliance for an operational technology network
US11463457B2 (en) 2018-02-20 2022-10-04 Darktrace Holdings Limited Artificial intelligence (AI) based cyber threat analyst to support a cyber security appliance
US11962552B2 (en) 2018-02-20 2024-04-16 Darktrace Holdings Limited Endpoint agent extension of a machine learning cyber defense system for email
JP6763898B2 (ja) * 2018-03-01 2020-09-30 日本電信電話株式会社 通信制御装置、通信制御方法および通信制御プログラム
CN110348203A (zh) * 2018-04-02 2019-10-18 蓝盾信息安全技术有限公司 一种队列式沙箱文件处理方法
CN108616545B (zh) * 2018-06-26 2021-06-29 中国科学院信息工程研究所 一种网络内部威胁的检测方法、系统及电子设备
CN109067708B (zh) * 2018-06-29 2021-07-30 北京奇虎科技有限公司 一种网页后门的检测方法、装置、设备及存储介质
CN110798429A (zh) * 2018-08-01 2020-02-14 深信服科技股份有限公司 一种网络安全防御中的威胁追捕方法、装置及设备
CN111049780B (zh) * 2018-10-12 2022-12-02 北京奇虎科技有限公司 一种网络攻击的检测方法、装置、设备及存储介质
CN109525558B (zh) * 2018-10-22 2022-02-22 深信服科技股份有限公司 数据泄露检测方法、系统、装置及存储介质
CN109067815B (zh) * 2018-11-06 2021-11-19 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
US10944782B2 (en) * 2018-12-04 2021-03-09 EMC IP Holding Company LLC Forensic analysis through metadata extraction
US20220147614A1 (en) * 2019-03-05 2022-05-12 Siemens Industry Software Inc. Machine learning-based anomaly detections for embedded software applications
US11516263B2 (en) * 2019-03-14 2022-11-29 T-Mobile Usa, Inc. Secure and transparent transport of application level protocols to non-IP data delivery communication channels
CN113812116A (zh) * 2019-06-17 2021-12-17 西门子股份公司 网络行为模型构建方法、装置和计算机可读介质
CN110336806B (zh) * 2019-06-27 2020-05-01 四川大学 一种结合会话行为和通信关系的隐蔽通信检测方法
JP2021039754A (ja) 2019-08-29 2021-03-11 ダークトレース リミテッドＤａｒｋｔｒａｃｅ Ｌｉｍｉｔｅｄ 電子メール用の機械学習サイバー防御システムのエンドポイント・エージェント拡張
US12034767B2 (en) 2019-08-29 2024-07-09 Darktrace Holdings Limited Artificial intelligence adversary red team
CN110830470B (zh) * 2019-11-06 2022-02-01 杭州安恒信息安全技术有限公司 一种失陷主机检测方法、装置、设备及可读存储介质
CN113141335B (zh) * 2020-01-19 2022-10-28 奇安信科技集团股份有限公司 网络攻击检测方法及装置
US11973774B2 (en) 2020-02-28 2024-04-30 Darktrace Holdings Limited Multi-stage anomaly detection for process chains in multi-host environments
EP4111370A2 (en) 2020-02-28 2023-01-04 Darktrace Holdings Limited Treating data flows differently based on level of interest
CN111510446B (zh) * 2020-04-10 2022-03-22 深信服科技股份有限公司 一种攻击检测方法、装置及电子设备和存储介质
CN113810342B (zh) * 2020-06-15 2023-03-21 深信服科技股份有限公司 一种入侵检测方法、装置、设备、介质
CN112153020A (zh) * 2020-09-10 2020-12-29 深圳供电局有限公司 一种工控流量分析方法及装置
KR102280845B1 (ko) * 2020-11-24 2021-07-22 한국인터넷진흥원 네트워크 내의 비정상 행위 탐지 방법 및 그 장치
CN112738118B (zh) * 2020-12-30 2023-08-29 北京天融信网络安全技术有限公司 网络威胁检测方法、装置、系统、电子设备及存储介质
CN112953918A (zh) * 2021-01-29 2021-06-11 李阳 结合大数据服务器的网络攻击防护方法及大数据防护设备
US11790086B2 (en) * 2021-09-30 2023-10-17 Fortinet, Inc. Selectively applying dynamic malware analysis to software files based on compression type in a software security system
CN114039774B (zh) * 2021-11-08 2024-02-09 天融信雄安网络安全技术有限公司 一种恶意pe程序的阻断方法、检测方法及装置
CN114172701B (zh) * 2021-11-25 2024-02-02 北京天融信网络安全技术有限公司 基于知识图谱的apt攻击检测方法及装置
CN114553513A (zh) * 2022-02-15 2022-05-27 北京华圣龙源科技有限公司 一种通信检测方法、装置及设备
CN114598505A (zh) * 2022-02-22 2022-06-07 深圳海域网络科技有限公司 一种数据全球分发的方法及装置
CN114567480B (zh) * 2022-02-28 2024-03-12 天翼安全科技有限公司 有效攻击告警识别的方法、装置、安全网络及存储介质
CN114629711B (zh) * 2022-03-21 2024-02-06 广东云智安信科技有限公司 一种针对Windows平台特种木马检测的方法及系统
CN115174154A (zh) * 2022-06-13 2022-10-11 盈适慧众(上海)信息咨询合伙企业(有限合伙) 高级威胁事件的处理方法、装置、终端设备和存储介质
US20240291842A1 (en) * 2023-02-23 2024-08-29 Reliaquest Holdings, Llc Threat mitigation system and method
CN117040931B (zh) * 2023-10-08 2024-07-26 网御安全技术（深圳）有限公司 低误报率的网络攻击检测方法、系统及相关设备
CN117914616B (zh) * 2024-01-30 2024-10-18 北京亚鸿世纪科技发展有限公司 一种网络威胁分析处理方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102546663A (zh) * 2012-02-23 2012-07-04 神州数码网络(北京)有限公司 一种防止重复地址检测攻击的方法和装置
CN102546666A (zh) * 2012-02-28 2012-07-04 神州数码网络(北京)有限公司 防止igmp欺骗和攻击的方法及装置
CN102571812A (zh) * 2011-12-31 2012-07-11 成都市华为赛门铁克科技有限公司 一种网络威胁的跟踪识别方法及装置
CN103825888A (zh) * 2014-02-17 2014-05-28 北京奇虎科技有限公司 网络威胁处理方法及设备

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101459660A (zh) * 2007-12-13 2009-06-17 国际商业机器公司 用于集成多个威胁安全服务的方法及其设备
US8572740B2 (en) * 2009-10-01 2013-10-29 Kaspersky Lab, Zao Method and system for detection of previously unknown malware

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102571812A (zh) * 2011-12-31 2012-07-11 成都市华为赛门铁克科技有限公司 一种网络威胁的跟踪识别方法及装置
CN102546663A (zh) * 2012-02-23 2012-07-04 神州数码网络(北京)有限公司 一种防止重复地址检测攻击的方法和装置
CN102546666A (zh) * 2012-02-28 2012-07-04 神州数码网络(北京)有限公司 防止igmp欺骗和攻击的方法及装置
CN103825888A (zh) * 2014-02-17 2014-05-28 北京奇虎科技有限公司 网络威胁处理方法及设备

Cited By (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105376245B (zh) * 2015-11-27 2018-10-30 杭州安恒信息技术有限公司 一种基于规则的apt攻击行为的检测方法
CN105376245A (zh) * 2015-11-27 2016-03-02 杭州安恒信息技术有限公司 一种基于规则的apt攻击行为的检测方法
CN111049784B (zh) * 2018-10-12 2023-08-01 三六零科技集团有限公司 一种网络攻击的检测方法、装置、设备及存储介质
CN111049784A (zh) * 2018-10-12 2020-04-21 北京奇虎科技有限公司 一种网络攻击的检测方法、装置、设备及存储介质
CN112217777A (zh) * 2019-07-12 2021-01-12 上海云盾信息技术有限公司 攻击回溯方法及设备
CN111460447A (zh) * 2020-03-06 2020-07-28 奇安信科技集团股份有限公司 恶意文件检测方法、装置、电子设备与存储介质
CN111460447B (zh) * 2020-03-06 2023-08-04 奇安信科技集团股份有限公司 恶意文件检测方法、装置、电子设备与存储介质
CN112600852A (zh) * 2020-12-23 2021-04-02 苏州三六零智能安全科技有限公司 漏洞攻击处理方法、装置、设备及存储介质
CN112788008A (zh) * 2020-12-30 2021-05-11 上海磐御网络科技有限公司 一种基于大数据的网络安全动态防御系统及方法
CN112788008B (zh) * 2020-12-30 2022-04-26 上海磐御网络科技有限公司 一种基于大数据的网络安全动态防御系统及方法
CN112671800A (zh) * 2021-01-12 2021-04-16 江苏天翼安全技术有限公司 一种威胁量化企业风险值的方法
CN112671800B (zh) * 2021-01-12 2023-09-26 江苏天翼安全技术有限公司 一种威胁量化企业风险值的方法
CN116488938A (zh) * 2023-06-12 2023-07-25 湖南三湘银行股份有限公司 一种基于大数据行为分析的数据检测方法及系统
CN116488938B (zh) * 2023-06-12 2024-01-30 湖南三湘银行股份有限公司 一种基于大数据行为分析的数据检测方法及系统

Also Published As

Publication number Publication date
CN103825888A (zh) 2014-05-28
US20170054745A1 (en) 2017-02-23

Similar Documents

Publication Publication Date Title
WO2015120752A1 (zh) 网络威胁处理方法及设备
US10218740B1 (en) Fuzzy hash of behavioral results
US11188650B2 (en) Detection of malware using feature hashing
JP6441957B2 (ja) 疑わしいオブジェクトにおけるエクスプロイトを自動的に実証し、当該実証済みエクスプロイトに関連付けられた表示情報を強調するシステム、装置、および方法
US9781144B1 (en) Determining duplicate objects for malware analysis using environmental/context information
US9628507B2 (en) Advanced persistent threat (APT) detection center
US9158915B1 (en) Systems and methods for analyzing zero-day attacks
CN109586282B (zh) 一种电网未知威胁检测系统及方法
US20180046800A1 (en) Device for detecting malware infected terminal, system for detecting malware infected terminal, method for detecting malware infected terminal, and program for detecting malware infected terminal
EP3721365B1 (en) Methods, systems and apparatus to mitigate steganography-based malware attacks
CN110210213B (zh) 过滤恶意样本的方法及装置、存储介质、电子装置
US11797668B2 (en) Sample data generation apparatus, sample data generation method, and computer readable medium
US10454967B1 (en) Clustering computer security attacks by threat actor based on attack features
EP3547121B1 (en) Combining device, combining method and combining program
CN106911637A (zh) 网络威胁处理方法和装置
JP2016091549A (ja) マルウェアイベントとバックグラウンドイベントとを分離するためのシステム、デバイス、および方法
CN110188538B (zh) 采用沙箱集群检测数据的方法及装置
CN106911640A (zh) 网络威胁处理方法和装置
CN111464526A (zh) 一种网络入侵检测方法、装置、设备及可读存储介质
CN113746781A (zh) 一种网络安全检测方法、装置、设备及可读存储介质
JP5656266B2 (ja) ブラックリスト抽出装置、抽出方法および抽出プログラム
CN111641589A (zh) 高级可持续威胁检测方法、系统、计算机以及存储介质
US11321453B2 (en) Method and system for detecting and classifying malware based on families
Nguyen et al. An approach to detect network attacks applied for network forensics
EP3361405B1 (en) Enhancement of intrusion detection systems

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14882743

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 15119598

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 14882743

Country of ref document: EP

Kind code of ref document: A1