[發明專利]用于檢測惡意鏈接的方法及系統

有效

• 申請號: 201210560165.5
• 申請日: 2012-12-20
• 公開（公告）號: CN103036896A
• 公開（公告）日: 2013-04-10
• 發明（設計）人: 李曉波;劉起
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 北京市德權律師事務所 11302
• 代理人: 劉麗君

1.一種用于檢測惡意鏈接的系統，包括服務器端設備和客戶端設備；

所述服務器端設備包括網絡安全管理設備，所述客戶端設備包括檢測設備；所述惡意鏈接包括互聯網中惡意的網絡資源的鏈接地址，其中，

所述檢測設備包括：

第二行為檢測器，被配置為對網絡資源的可疑行為進行檢測，將檢測出的可疑鏈接傳輸至服務器端設備進行進一步檢測；

第二獲取器，被配置為獲取所述服務器端設備基于所述第二行為檢測器提供的可疑鏈接確定的危險惡意網站主機名集合和危險惡意鏈接集合，所述危險惡意網站主機名集合是服務器端設備篩選出的惡意值高于第一預置閾值的各惡意網站主機名的集合，所述危險惡意鏈接集合是服務器端篩選出的所述危險惡意網站主機名集合以外的其余惡意網站主機名下、惡意值高于第二預置閾值的各惡意鏈接的集合；

第二鏈接檢測器，被配置為根據所述第二獲取器獲取的危險惡意網站主機名集合和危險惡意鏈接集合檢測出新的可疑鏈接，并將所述新的可疑鏈接傳輸至所述服務器端設備進行檢測及更新相關惡意值，所述新的可疑鏈接的內嵌的其他鏈接命中所述危險惡意網站主機名集合或所述危險惡意鏈接集合；

所述網絡安全管理設備包括：

第一行為檢測器，被配置為至少對客戶端設備檢測出的可疑鏈接進行惡意行為檢測，檢測是否為惡意鏈接，以及對所述檢測為惡意鏈接的內嵌的其他鏈接進行惡意行為檢測，檢測出所述惡意鏈接的內嵌的其他惡意鏈接；

第一行為評估器，被配置為至少根據所述第一行為檢測器檢測出的各惡意鏈接之間的內嵌關系，對各惡意鏈接評估惡意值，并對各惡意鏈接相關的惡意網站主機名評估惡意值，以及根據所述第一行為檢測器檢測出的新的惡意鏈接對相關惡意鏈接或惡意網站主機名的惡意值進行更新；

第一篩選器，被配置為根據所述第一行為評估器評估出的結果，篩選出惡意值高于第一預置閾值的危險惡意網站主機名集合和其余惡意網站主機名下、惡意值高于第二預置閾值的危險惡意鏈接集合，并將所述危險惡意網站主機名集合和危險惡意鏈接集合的信息通知至所述客戶端設備；

第一獲取器，被配置為獲取客戶端設備基于所述危險惡意網站主機名集合和所述危險惡意鏈接集合檢測出的新的可疑鏈接，并將所述新的可疑鏈接傳輸至所述第一行為檢測器進行檢測，所述新的可疑鏈接的內嵌的其他鏈接命中所述危險惡意網站主機名集合或所述危險惡意鏈接集合。

2.根據權利要求1所述的系統，所述待評估惡意值的惡意鏈接為目標惡意鏈接，所述目標惡意鏈接的內嵌的其他惡意鏈接為所述目標惡意鏈接的內嵌惡意鏈接，所述每個內嵌惡意鏈接的惡意外鏈數目具體是以該內嵌惡意鏈接作為內嵌的鏈接的所有惡意鏈接的總數，所述第一行為評估器包括：

第一識別模塊，被配置為根據各惡意鏈接之間的內嵌關系，識別出所述目標惡意鏈接的所有內嵌惡意鏈接以及每個內嵌惡意鏈接的惡意外鏈數目；

第一評估模塊，被配置為根據所述第一識別模塊識別出的目標惡意鏈接的各內嵌惡意鏈接的最新惡意值，和每個內嵌惡意鏈接的惡意外鏈數目，評估所述目標惡意鏈接的惡意值。

3.根據權利要求1或2所述的系統，所述待評估惡意值的惡意網站主機名為目標惡意網站主機名，所述目標惡意網站主機名下各惡意鏈接的內嵌的其他惡意鏈接所屬的惡意網站主機名，是與所述目標惡意網站主機名具有關聯關系的關聯惡意網站主機名，所述每個關聯惡意網站主機名的惡意外鏈數目具體是該關聯惡意網站主機名下所有惡意鏈接的惡意外鏈數目之和，所述第一評估器包括：

第二識別模塊，被配置為根據各惡意鏈接之間的內嵌關系，識別出所述目標惡意網站主機名的所有關聯惡意網站主機名，以及每個關聯惡意網站主機名的惡意外鏈數目；

第二評估模塊，被配置為根據所述目標惡意網站主機名的各關聯惡意網站主機名的最新惡意值，以及每個關聯惡意網站主機名的惡意外鏈數目，評估所述目標惡意網站主機名的惡意值。

4.根據權利要求2或3所述的系統，

所述第一評估模塊還被配置為通過多輪迭代方式獲得各目標惡意鏈接的惡意值，在第一輪處理時為各目標惡意鏈接設置初始惡意值；

所述第二評估模塊還被配置為通過多輪迭代方式獲得各目標惡意網站主機名的惡意值，在第一輪處理時為各目標惡意網站主機名設置初始惡意值。

5.根據權利要求1至4中任一項所述的系統，所述惡意鏈接或可疑鏈接的內嵌的其他鏈接包括：訪問所述惡意鏈接或可疑鏈接時被自動執行的其他鏈接。