[發(fā)明專利]一種未知威脅感知方法、裝置、設(shè)備及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201711205572.3
• 申請日: 2017-11-27
• 公開（公告）號: CN107995179B
• 公開（公告）日: 2020-10-27
• 發(fā)明（設(shè)計(jì)）人: 張斌;趙振洋
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 王仲凱

1.一種未知威脅感知方法，其特征在于，包括：

接收每個設(shè)備上傳的未知數(shù)據(jù)；

通過威脅分析系統(tǒng)對未知數(shù)據(jù)進(jìn)行分析識別，判斷所述未知數(shù)據(jù)中是否存在惡意數(shù)據(jù)；

若存在惡意數(shù)據(jù)，則將所述惡意數(shù)據(jù)下發(fā)至每個設(shè)備，以使每個設(shè)備根據(jù)所述惡意數(shù)據(jù)識別攻擊行為；

若不存在惡意數(shù)據(jù)，則生成與所述未知數(shù)據(jù)對應(yīng)的匹配規(guī)則，將所述匹配規(guī)則下發(fā)至每個設(shè)備，并在接收到每個設(shè)備上傳的與所述匹配規(guī)則對應(yīng)的未知數(shù)據(jù)后，繼續(xù)執(zhí)行所述通過威脅分析系統(tǒng)對未知數(shù)據(jù)進(jìn)行分析識別的步驟。

2.根據(jù)權(quán)利要求1所述的未知威脅感知方法，其特征在于，所述接收每個設(shè)備上傳的未知數(shù)據(jù)，包括：

接收每個設(shè)備上傳的根據(jù)匹配規(guī)則匹配的未知數(shù)據(jù)；或者，

接收每個設(shè)備上傳的黑白名單庫以外的未知數(shù)據(jù)。

3.根據(jù)權(quán)利要求1所述的未知威脅感知方法，其特征在于，所述接收每個設(shè)備上傳的未知數(shù)據(jù)之后，還包括：

設(shè)置所述未知數(shù)據(jù)的數(shù)據(jù)標(biāo)簽；

根據(jù)所述未知數(shù)據(jù)的數(shù)據(jù)類型進(jìn)行標(biāo)準(zhǔn)化處理，并存儲。

4.根據(jù)權(quán)利要求3所述的未知威脅感知方法，其特征在于，所述通過威脅分析系統(tǒng)對未知數(shù)據(jù)進(jìn)行分析識別，判斷所述未知數(shù)據(jù)中是否存在惡意數(shù)據(jù)，包括：

利用特征分析系統(tǒng)對未知數(shù)據(jù)進(jìn)行分析，判斷所述未知數(shù)據(jù)中是否存在惡意數(shù)據(jù)；

若存在惡意數(shù)據(jù)，則執(zhí)行所述將所述惡意數(shù)據(jù)下發(fā)至每個設(shè)備的步驟；

若不存在惡意數(shù)據(jù)，則將所述未知數(shù)據(jù)輸入與所述未知數(shù)據(jù)的數(shù)據(jù)類型相對應(yīng)的分析系統(tǒng)，通過相對應(yīng)的分析系統(tǒng)對所述未知數(shù)據(jù)進(jìn)行分析識別，判斷所述未知數(shù)據(jù)中是否存在惡意數(shù)據(jù)。

5.根據(jù)權(quán)利要求4所述的未知威脅感知方法，其特征在于，所述將所述未知數(shù)據(jù)輸入與所述未知數(shù)據(jù)的數(shù)據(jù)類型相對應(yīng)的分析系統(tǒng)，通過相對應(yīng)的分析系統(tǒng)對所述未知數(shù)據(jù)進(jìn)行分析識別，包括：

識別所述未知數(shù)據(jù)的數(shù)據(jù)類型；

若所述數(shù)據(jù)類型為域名數(shù)據(jù)，則將所述未知數(shù)據(jù)輸入域名分析系統(tǒng)；若所述數(shù)據(jù)類型為URL數(shù)據(jù)，則將所述未知數(shù)據(jù)輸入URL分析系統(tǒng)；若所述數(shù)據(jù)類型為可疑文件，則將所述未知數(shù)據(jù)輸入病毒分析系統(tǒng)。

6.根據(jù)權(quán)利要求1至5中任意一項(xiàng)所述的未知威脅感知方法，其特征在于，所述將所述惡意數(shù)據(jù)下發(fā)至每個設(shè)備之后，還包括：

將所述惡意數(shù)據(jù)輸出成標(biāo)準(zhǔn)威脅情報格式，并發(fā)布至互聯(lián)網(wǎng)威脅情報平臺，以使所述互聯(lián)網(wǎng)威脅情報平臺對全網(wǎng)發(fā)布威脅預(yù)警。

7.一種未知威脅感知裝置，其特征在于，包括：

接收模塊，用于接收每個設(shè)備上傳的未知數(shù)據(jù)；所述未知數(shù)據(jù)包括每個設(shè)備上傳的與匹配規(guī)則對應(yīng)的未知數(shù)據(jù)；

判斷模塊，用于通過威脅分析系統(tǒng)對未知數(shù)據(jù)進(jìn)行分析識別，判斷所述未知數(shù)據(jù)中是否存在惡意數(shù)據(jù)；

數(shù)據(jù)下發(fā)模塊，用于存在惡意數(shù)據(jù)時，將所述惡意數(shù)據(jù)下發(fā)至每個設(shè)備，以使每個設(shè)備根據(jù)所述惡意數(shù)據(jù)識別攻擊行為；

規(guī)則下發(fā)模塊，用于不存在惡意數(shù)據(jù)時，生成與所述未知數(shù)據(jù)對應(yīng)的匹配規(guī)則，將與所述未知數(shù)據(jù)對應(yīng)的匹配規(guī)則下發(fā)至每個設(shè)備。

8.根據(jù)權(quán)利要求7所述的未知威脅感知裝置，其特征在于，所述接收模塊，包括：

第一接收單元，用于接收每個設(shè)備上傳的根據(jù)匹配規(guī)則匹配的未知數(shù)據(jù)；或者，

第二接收單元，用于接收每個設(shè)備上傳的黑白名單庫以外的未知數(shù)據(jù)。

9.根據(jù)權(quán)利要求7所述的未知威脅感知裝置，其特征在于，還包括：

數(shù)據(jù)處理模塊，用于設(shè)置所述未知數(shù)據(jù)的數(shù)據(jù)標(biāo)簽，根據(jù)所述未知數(shù)據(jù)的數(shù)據(jù)類型進(jìn)行標(biāo)準(zhǔn)化處理，并存儲。