[發明專利]網絡釣魚攻擊的檢測方法、終端及服務器

無效

• 申請號: 201310466004.4
• 申請日: 2013-09-30
• 公開（公告）號: CN103501300A
• 公開（公告）日: 2014-01-08
• 發明（設計）人: 楊鵬
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種網絡釣魚攻擊檢測終端，其特征在于，包括：

記錄單元，用于記錄通訊應用操作事件的發生時間和操作系統新增自啟動項事件的發生時間；

計算單元，與所述記錄單元相連，用于計算所述系統新增自啟動項事件的發生時間與所述通訊應用操作事件的發生時間之間的時間差；

判斷單元，與所述計算單元相連，用于判斷若所述通訊應用操作事件發生在所述新增自啟動項事件之前，且與所述新增自啟動項事件的發生時間之間的時間差小于預置時間閾值，則判斷所述通訊應用操作事件為網絡釣魚攻擊事件。

2.如權利要求1所述的終端，其特征在于，還包括：

檢測單元，用于在所述記錄單元記錄操作系統新增自啟動項事件的發生時間之前，識別出操作系統新增自啟動項。

3.如權利要求2所述的終端，其特征在于，所述檢測單元具體用于：

定時或周期性啟動自啟動項檢測工具，將本次檢測出的自啟動項與前一次檢測出的自啟動項進行對比，識別出新增自啟動項。

4.如權利要求2所述的終端，其特征在于，所述檢測單元具體用于：

在系統配置文件、系統自啟動文件夾或系統注冊表發生修改時，啟動自啟動項檢測工具，將本次檢測出的自啟動項與前一次檢測出的自啟動項進行對比，識別出新增自啟動項。

5.如權利要求1所述的終端，其特征在于，所述新增自啟動項的創建時間中包括如下時間中的一種：

與所述新增自啟動項相關的系統配置文件的修改時間；

與所述新增自啟動項識相關的系統自啟動文件夾的修改時間；

與所述新增自啟動項相關的系統注冊表文件的修改時間。

6.如權利要求1-5任一項所述的終端，其特征在于，所述計算單元具體用于：

對所述記錄的新增自啟動項事件的發生時間和通訊應用操作事件的發生時間按時間順序進行排序；

選取離新增自啟動項事件發生時間最近的通訊應用操作事件的發生時間與所述新增自啟動項事件發生時間進行差值計算。

7.如權利要求1-6任一項所述的終端，其特征在于，還包括：

發送單元，用于向服務器發送告警信息，所述告警信息包括所述判斷的網絡釣魚攻擊事件，所述告警信息還包括如下標識中的一種或多種：

事件標識，用于標識所述通訊應用操作事件類型；

通訊應用標識，用于標識所述通訊應用；

文件源標識，用于標識引起所述通訊應用操作事件的源文件。

8.一種網絡釣魚攻擊檢測服務器，其特征在于，包括：

收發單元，用于接收終端發送的通訊應用操作事件的發生時間和所述終端系統新增自啟動項事件的發生時間；

存儲單元，與所述接收單元相連，用于存儲所述終端發送的通訊應用操作事件的發生時間和所述終端系統新增自啟動項事件的發生時間；

計算單元，與所述存儲單元相連，用于從所述存儲單元讀取所述應用操作事件的發生時間和所述終端系統新增自啟動項事件的發生時間，計算所述終端新增自啟動項事件的發生時間與所述通訊應用操作事件的發生時間之間的時間差；

判斷單元，與所述計算單元相連，用于判斷若所述終端的通訊應用操作事件發生在所述新增自啟動項事件之前，且與所述新增自啟動項事件的發生時間之間的時間差小于預置時間閾值，則判斷所述終端的通訊應用操作事件為網絡釣魚攻擊事件。

9.如權利要求8所述的服務器，其特征在于，所述收發單元還接收與所述通信應用操作事件的發生時間和所述系統新增自啟動項事件的發生時間一起發送的終端標識，所述終端標識用于標識所述通信應用操作事件和系統新增自啟動項事件所屬的終端，所述計算單元具體用于：

根據所述終端標識確定屬于同一終端的新增自啟動項事件的發生時間和通訊應用操作事件的發生時間，對所述確定的同一終端的新增自啟動項事件的發生時間與所述通訊應用操作事件的發生時間做差值運算。

10.如權利要求8或9所述的服務器，其特征在于，所述計算單元具體用于：

對所述接收的新增自啟動項事件的發生時間和通訊應用操作事件的發生時間按時間順序進行排序；

選取離新增自啟動項事件發生時間最近的通訊應用操作事件的發生時間與所述新增自啟動項事件發生時間進行差值計算。