[發(fā)明專利]入侵檢測(cè)方法、檢測(cè)規(guī)則生成方法、裝置及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201610298798.1
• 申請(qǐng)日: 2016-05-06
• 公開(kāi)（公告）號(hào): CN107347057B
• 公開(kāi)（公告）日: 2021-03-02
• 發(fā)明（設(shè)計(jì)）人: 姚文頂
• 申請(qǐng)（專利權(quán)）人: 阿里巴巴集團(tuán)控股有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L12/24
• 代理公司: 北京清源匯知識(shí)產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 11644
• 代理人: 馮德魁

1.一種入侵檢測(cè)方法，其特征在于，包括：

獲取向外部網(wǎng)絡(luò)發(fā)送的網(wǎng)絡(luò)報(bào)文；

若所述網(wǎng)絡(luò)報(bào)文與網(wǎng)絡(luò)報(bào)文檢測(cè)規(guī)則集合中的任一規(guī)則匹配成功，則確認(rèn)發(fā)送所述網(wǎng)絡(luò)報(bào)文的內(nèi)部網(wǎng)絡(luò)中的設(shè)備被特定類型文件入侵成功；

其中，所述網(wǎng)絡(luò)報(bào)文檢測(cè)規(guī)則集合中的規(guī)則，是根據(jù)從發(fā)送給內(nèi)部網(wǎng)絡(luò)的特定類型文件提取的特定類型外部網(wǎng)絡(luò)地址信息預(yù)先生成的；

所述發(fā)送所述網(wǎng)絡(luò)報(bào)文的內(nèi)部網(wǎng)絡(luò)中的設(shè)備被特定類型文件入侵成功，包括：特定類型文件在發(fā)送所述網(wǎng)絡(luò)報(bào)文的內(nèi)部網(wǎng)絡(luò)的設(shè)備中被打開(kāi)或者執(zhí)行；

所述特定類型文件包括：惡意文件；所述特定類型外部網(wǎng)絡(luò)地址信息包括：惡意外部網(wǎng)絡(luò)地址信息。

2.根據(jù)權(quán)利要求1所述的入侵檢測(cè)方法，其特征在于，若所述匹配成功的規(guī)則，是根據(jù)從發(fā)送給內(nèi)部網(wǎng)絡(luò)的特定類型文件提取的特定類型外部網(wǎng)絡(luò)地址信息生成的，所述確認(rèn)發(fā)送所述網(wǎng)絡(luò)報(bào)文的設(shè)備被特定類型文件入侵成功，包括：

確認(rèn)發(fā)送所述網(wǎng)絡(luò)報(bào)文的設(shè)備被具體的特定類型文件入侵成功，所述具體的特定類型文件為用于生成所述匹配成功的規(guī)則的特定類型文件。

3.根據(jù)權(quán)利要求1所述的入侵檢測(cè)方法，其特征在于，在確認(rèn)發(fā)送所述網(wǎng)絡(luò)報(bào)文的設(shè)備被特定類型文件入侵成功之后，包括：

若通過(guò)獲取并解析向外部網(wǎng)絡(luò)發(fā)送的網(wǎng)絡(luò)報(bào)文，檢測(cè)到與所述匹配成功的規(guī)則包含的特定類型外部網(wǎng)絡(luò)地址信息相關(guān)聯(lián)的新地址信息，則執(zhí)行下述操作：

當(dāng)所述新地址信息中存在與預(yù)設(shè)白名單庫(kù)不符的地址信息時(shí)，根據(jù)所述與預(yù)設(shè)白名單庫(kù)不符的地址信息生成相應(yīng)的網(wǎng)絡(luò)報(bào)文檢測(cè)規(guī)則，并添加到所述網(wǎng)絡(luò)報(bào)文檢測(cè)規(guī)則集合中。

4.根據(jù)權(quán)利要求3所述的入侵檢測(cè)方法，其特征在于，所述網(wǎng)絡(luò)報(bào)文檢測(cè)規(guī)則集合中的規(guī)則包括：根據(jù)從發(fā)送給內(nèi)部網(wǎng)絡(luò)的特定類型文件提取的特定類型外部網(wǎng)絡(luò)地址信息生成的規(guī)則；

當(dāng)所述新地址信息中存在與預(yù)設(shè)白名單庫(kù)不符的地址信息時(shí)，還包括：

將所述與預(yù)設(shè)白名單庫(kù)不符的地址信息添加到連接控制信息庫(kù)中。

5.根據(jù)權(quán)利要求3所述的入侵檢測(cè)方法，其特征在于，當(dāng)所述匹配成功的規(guī)則包含的特定類型外部網(wǎng)絡(luò)地址信息為URL地址信息時(shí)，所述新地址信息包括：從所述URL地址重定向到的新URL地址信息。

6.根據(jù)權(quán)利要求1所述的入侵檢測(cè)方法，其特征在于，所述確認(rèn)發(fā)送所述網(wǎng)絡(luò)報(bào)文的設(shè)備被特定類型文件入侵成功，采用如下方式實(shí)現(xiàn)：

輸出至少包含發(fā)送所述網(wǎng)絡(luò)報(bào)文的設(shè)備信息的受害確認(rèn)告警信息。

7.根據(jù)權(quán)利要求6所述的入侵檢測(cè)方法，其特征在于，所述受害確認(rèn)告警信息的內(nèi)容還包含：使用所述設(shè)備的用戶信息；所述用戶信息包括：用戶標(biāo)識(shí)或者姓名。

8.根據(jù)權(quán)利要求1-7任一項(xiàng)所述的入侵檢測(cè)方法，其特征在于，所述內(nèi)部網(wǎng)絡(luò)包括：企業(yè)網(wǎng)、社區(qū)網(wǎng)、或者校園網(wǎng)；所述外部網(wǎng)絡(luò)包括：因特網(wǎng)。

9.一種入侵檢測(cè)裝置，其特征在于，包括：

向外發(fā)送報(bào)文獲取單元，用于獲取向外部網(wǎng)絡(luò)發(fā)送的網(wǎng)絡(luò)報(bào)文；

入侵成功確認(rèn)單元，用于當(dāng)所述網(wǎng)絡(luò)報(bào)文與網(wǎng)絡(luò)報(bào)文檢測(cè)規(guī)則集合中的任一規(guī)則匹配成功時(shí)，確認(rèn)發(fā)送所述網(wǎng)絡(luò)報(bào)文的內(nèi)部網(wǎng)絡(luò)中的設(shè)備被特定類型文件入侵成功；

其中，所述網(wǎng)絡(luò)報(bào)文檢測(cè)規(guī)則集合中的規(guī)則，是根據(jù)從發(fā)送給內(nèi)部網(wǎng)絡(luò)的特定類型文件提取的特定類型外部網(wǎng)絡(luò)地址信息預(yù)先生成的；

所述發(fā)送所述網(wǎng)絡(luò)報(bào)文的內(nèi)部網(wǎng)絡(luò)中的設(shè)備被特定類型文件入侵成功，包括：特定類型文件在發(fā)送所述網(wǎng)絡(luò)報(bào)文的內(nèi)部網(wǎng)絡(luò)的設(shè)備中被打開(kāi)或者執(zhí)行；

所述特定類型文件包括：惡意文件；所述特定類型外部網(wǎng)絡(luò)地址信息包括：惡意外部網(wǎng)絡(luò)地址信息。