[發明專利]一種網絡威脅的跟蹤識別方法及裝置

有效

• 申請號: 201210029156.3
• 申請日: 2012-02-09
• 公開（公告）號: CN102571812A
• 公開（公告）日: 2012-07-11
• 發明（設計）人: 周宏斌
• 申請（專利權）人: 成都市華為賽門鐵克科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 唐華明

1.一種網絡威脅的跟蹤識別方法，其特征在于，包括：

獲取網絡數據；

獲取所述網絡數據中的統一資源定位符URL，獲取所述網絡數據中的訪問URL的源端IP地址；

將所獲取的網絡數據中的URL及所述源端IP地址與預置的威脅跟蹤列表中的數據進行匹配；其中，所述預置的威脅跟蹤列表中保存有已知的被感染IP地址及惡意URL；

若在所述獲取的URL中匹配到有相同的URL，則將訪問過所述匹配到的URL的源端IP地址確定為被感染IP地址；

若在所述獲取的源端IP地址中匹配到有相同的IP地址，則將匹配到的源端IP地址所訪問的URL進行是否是威脅URL的分析，得到存在威脅的URL。

2.根據權利要求1所述的方法，其特征在于，所述將匹配到的源端IP地址所訪問的URL進行是否是威脅URL的分析，包括：

若所述匹配到的源端IP地址所訪問的URL，在所述威脅跟蹤列表中已經存在，則判斷在所述威脅跟蹤列表中，是否存在所述匹配到的源端IP地址所訪問的URL的上線鏈接Referr?URL，如果否，則對所述Referr?URL進行安全檢測分析，得到存在威脅的URL。

3.根據權利要求2所述的方法，其特征在于，所述將匹配到的源端IP地址所訪問的URL進行是否是威脅URL的分析，還包括：

若所述匹配到的源端IP地址所訪問的URL在所述威脅跟蹤列表中不存在，則將匹配到的源端IP地址所訪問的URL進行安全檢測分析，得到存在威脅的URL。

4.根據權利要求2任一所述的方法，其特征在于，其中，對所述Referr?URL或URL進行安全檢測分析，得到存在威脅的URL，包括：

向檢測服務器發送對所述URL或所述URL的上線鏈接Referr?URL進行安全檢測分析的請求，以便于檢測服務器利用殺毒軟件對所述URL或所述上線鏈接Referr?URL中的URL進行深度檢測分析，得到存在威脅的URL；

接收所述檢測服務器發送的包括存在威脅的URL的響應。

5.根據權利要求1至4任一項所述的方法，其特征在于，還包括：將所述得到的存在威脅的URL添加到所述威脅跟蹤列表中；將確定為被感染IP地址添加到所述威脅跟蹤列表中。

6.根據權利要求1至4任一項所述的方法，其特征在于，還包括：將所述存在威脅的URL所屬的網站的域名添加到所述威脅跟蹤列表中的被感染域名列表中。

7.一種網絡威脅的跟蹤識別方法，其特征在于，包括：

獲取網絡數據；

獲取所述網絡數據中的統一資源定位符URL；

將所述獲取的URL與預置的威脅跟蹤列表中的數據進行匹配，如果所述獲取的URL匹配到有相同的URL，將訪問過所述存在威脅的URL的源端IP地址確定為被感染IP地址；其中，所述預置的威脅跟蹤列表中保存有已知的惡意URL。

8.一種網絡威脅的跟蹤識別裝置，其特征在于，包括：

獲取單元，用于獲取網絡數據；

第一確定單元，用于獲取所述網絡數據中的統一資源定位符URL，獲取所述網絡數據中的訪問URL的源端IP地址；

匹配單元，用于將所獲取的網絡數據中的URL及所述源端IP地址與預置的威脅跟蹤列表中的數據進行匹配，其中，所述預置的威脅跟蹤列表中保存有已知的被感染IP地址及惡意URL；

第二確定單元，用于在所述匹配單元匹配到有相同的URL時，將訪問過所述匹配到的URL的源端IP地址確定為被感染IP地址；

檢測單元，用于在所述匹配單元匹配到有相同的IP地址時，將匹配到的源端IP地址所訪問的URL進行是否是威脅URL的分析，得到存在威脅的URL。