[發明專利]一種基于局域網的威脅處理方法和裝置

有效

• 申請號: 201611248756.3
• 申請日: 2016-12-29
• 公開（公告）號: CN106856477B
• 公開（公告）日: 2020-05-19
• 發明（設計）人: 潘山;孟君;劉學忠
• 申請（專利權）人: 北京奇虎科技有限公司;奇安信科技集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/55;G06F21/56
• 代理公司: 北京市浩天知識產權代理事務所(普通合伙) 11276
• 代理人: 劉云貴

本發明實施例提供了一種基于局域網的威脅處理方法和裝置，其中的方法具體包括：針對局域網內的目標用戶終端，針對威脅進程進行威脅處理；在針對威脅進程進行威脅處理后，若目標用戶終端未出現異常，針對局域網內受到威脅進程影響的全部用戶終端，進行與目標用戶終端相同的威脅處理；其中，在目標用戶終端上，針對威脅進程進行第一威脅處理；在針對威脅進程進行第一威脅處理后，若目標用戶終端出現異常，則在目標用戶終端上針對威脅進程進行第二威脅處理。本發明實施例能夠將因威脅處理出現異常的用戶終端范圍控制至目標用戶終端的范圍內，因此能夠有效避免局域網內受到威脅進程影響的全部用戶終端因上述威脅處理而出現異常。

技術領域

本發明涉及計算機安全技術領域，特別是涉及一種基于局域網的威脅處理方法和一種基于局域網的威脅處理裝置。

背景技術

隨著互聯網的迅速普及，局域網已成為企業發展中必不可少的一部分。然而，在為企業帶來便利的同時，局域網也面臨著各種各樣的進攻和威脅，如機密泄漏、數據丟失、網絡濫用、身份冒用、非法入侵等。

目前，可以基于用戶終端上報和/或服務器分析的方式，獲得局域網內的威脅情報，并針對受到該威脅情報攻擊的用戶終端進行威脅處理。現有基于局域網的威脅處理方案，通常在受到該威脅情報攻擊的用戶終端上，對該威脅情報對應的威脅文件進行隔離處理。

發明人在實施本發明的過程中發現，現有基于局域網的威脅處理方案至少存在如下問題：對于例如感染型病毒的威脅而言，由于其具有頑固、再生能力強、插入系統進程中等特點，故在對感染型病毒對應的威脅文件進行隔離處理后，用戶終端將不可避免地出現文件異常、系統功能異常等系統故障，這樣將影響用戶終端的正常使用；并且，當受到該威脅情報攻擊的用戶終端的數量較多時，將導致局域網中的大量用戶終端出現系統故障，進而給企業帶來不便。

發明內容

鑒于上述問題，提出了本發明以便提供一種克服上述問題或者至少部分地解決上述問題的一種基于局域網的威脅處理方法和一種基于局域網的威脅處理裝置。

依據本發明的一個方面，提供了一種基于局域網的威脅處理方法，包括：

針對局域網內的目標用戶終端，針對威脅進程進行威脅處理；其中，所述目標用戶終端為所述局域網內受到所述威脅進程影響的部分用戶終端；

在針對威脅進程進行威脅處理后，若所述目標用戶終端未出現異常，針對所述局域網內受到所述威脅進程影響的全部用戶終端，進行與所述目標用戶終端相同的威脅處理；

其中，所述針對局域網內的目標用戶終端，針對威脅進程進行威脅處理的步驟，包括：

在所述目標用戶終端上，針對威脅進程進行第一威脅處理；

在針對威脅進程進行第一威脅處理后，若所述目標用戶終端出現異常，則在所述目標用戶終端上針對所述威脅進程進行第二威脅處理。

可選地，所述第一威脅處理包括：隔離處理，所述第二威脅處理包括：系統修復處理或者系統重裝處理。

可選地，所述在所述目標用戶終端上，針對威脅進程進行第一威脅處理的步驟，包括：

在所述目標用戶終端上，殺掉所述威脅進程；

在殺掉所述威脅進程后，在所述目標用戶終端上對所述威脅進程進行隔離。

可選地，所述方法還包括：在針對威脅進程進行第一威脅處理后，監測所述目標用戶終端是否出現異常；

所述監測所述目標用戶終端是否出現異常的步驟，包括：

在針對威脅進程進行第一威脅處理后的預設時間段內，監測所述目標用戶終端的操作系統的工作情況，依據所述工作情況判斷所述目標用戶終端是否出現異常；和/或