[發明專利]網絡攻擊分析方法、網絡攻擊分析裝置、計算設備和介質

有效

• 申請號: 201911406914.7
• 申請日: 2019-12-31
• 公開（公告）號: CN111163095B
• 公開（公告）日: 2022-08-30
• 發明（設計）人: 向祖庭;劉洪亮;索海東;談文彬;陳超
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 熊文鑫

1.一種由服務器端執行的網絡攻擊分析方法，包括：

響應于接收到第一網絡數據流，對所述第一網絡數據流進行檢測，以確定所述第一網絡數據流是否存在網絡攻擊文件，包括：

響應于接收到第一網絡數據流，對所述第一網絡數據流進行文件類型識別，以確定所述第一網絡數據流中是否包括指定文件類型的文件，其中，所述對所述第一網絡數據流進行文件類型識別包括：

對所述第一網絡數據流進行特征提取以得到流量特征，

將所述流量特征與指定文件特征進行匹配，

如果確定存在匹配結果則確定所述第一網絡數據流中存在指定文件類型的文件，

如果確定匹配結果為空則獲得所述第一網絡數據流包括的各文件的文件后綴，將各文件的文件后綴與指定文件后綴進行匹配，

如果確定存在匹配結果，則確定所述第一網絡數據流中存在指定文件類型的文件；

如果確定所述第一網絡數據流中包括指定文件類型的文件，則對所述指定文件類型的文件進行編譯，以獲得操作碼；以及

對所述操作碼進行敏感函數檢測和/或敏感參數檢測，以確定所述第一網絡數據流是否存在網絡攻擊文件；

如果確定所述第一網絡數據流存在網絡攻擊文件，則獲得所述網絡攻擊文件的路徑信息；以及

響應于接收到請求，對所述請求進行攻擊分析，以確定與所述路徑信息對應的電子設備是否正被網絡攻擊，

其中，所述請求包括所述網絡攻擊文件的路徑信息，所述請求屬于第二網絡數據流，所述第二網絡數據流的接收時間晚于所述第一網絡數據流的接收時間。

2.根據權利要求1所述的方法，其中，所述獲得所述網絡攻擊文件的路徑信息包括：

獲得所述網絡攻擊文件的上傳路徑；以及

從所述操作碼中確定與所述上傳路徑對應的路徑標識參數。

3.根據權利要求2所述的方法，其中，所述響應于接收到請求，對所述請求進行攻擊分析，以確定與所述路徑信息對應的電子設備是否正被網絡攻擊包括：

如果確定所述請求的參數包括所述路徑標識參數，則確定所述路徑信息對應的電子設備正被網絡攻擊。

4.根據權利要求1所述的方法，其中，所述對所述操作碼進行敏感函數檢測和/或敏感參數檢測包括：

獲得所述操作碼中的指定函數關聯信息；以及

對所述指定函數關聯信息進行敏感函數檢測和/或敏感參數檢測，以確定所述指定文件類型的文件是否包括敏感函數和/或敏感參數。

5.根據權利要求4所述的方法，還包括：在確定所述指定文件類型的文件包括敏感函數和/或敏感參數之后，

分析所述指定文件類型的文件的文本信息，以確定所述文本信息中是否存在指定文本信息的匹配結果，所述指定文本信息表征所述指定文件類型的文件包括敏感信息；以及

如果確定所述匹配結果為空，則確定所述第一網絡數據流包括網絡攻擊文件。

6.根據權利要求1所述的方法，還包括：在確定所述路徑信息對應的電子設備正被網絡攻擊之后，

獲取所述請求在所述電子設備的處理結果；

如果所述處理結果包括信息返回成功，則確定所述網絡攻擊文件為存活網絡攻擊文件。