[發(fā)明專利]一種網(wǎng)絡(luò)系統(tǒng)及網(wǎng)絡(luò)訪問安全檢測方法、裝置和相關(guān)設(shè)備

在審

• 申請?zhí)枺?/td>: 202011582852.8
• 申請日: 2020-12-28
• 公開（公告）號: CN112804369A
• 公開（公告）日: 2021-05-14
• 發(fā)明（設(shè)計）人: 劉源
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L12/24;H04L29/06
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 陳彥如

本申請公開了一種網(wǎng)絡(luò)訪問安全檢測方法、裝置、威脅情報檢測設(shè)備、網(wǎng)絡(luò)系統(tǒng)和計算機可讀存儲介質(zhì)，該方法應(yīng)用于與DNS代理服務(wù)器通信連接的威脅情報檢測設(shè)備，包括：接收DNS代理服務(wù)器定時采集并發(fā)送的DNS解析日志；從中提取各主機的訪問信息，訪問信息包括源主機識別信息和訪問目標(biāo)域名；將訪問信息中的訪問目標(biāo)域名在預(yù)設(shè)的訪問威脅情報庫中進行匹配查找，訪問威脅情報庫中存儲有各類已知的危險域名；將匹配成功的訪問信息所對應(yīng)的主機確定為目標(biāo)主機，生成針對目標(biāo)主機的告警信息。本申請基于DNS代理服務(wù)器生成的DNS解析日志，一一查找是否存在訪問了危險域名的主機，可有效杜絕誤報、漏報現(xiàn)象發(fā)生，提高了檢測結(jié)果的精確度。

技術(shù)領(lǐng)域

本申請涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，特別涉及一種網(wǎng)絡(luò)訪問安全檢測方法、裝置、威脅情報檢測設(shè)備、網(wǎng)絡(luò)系統(tǒng)和計算機可讀存儲介質(zhì)。

背景技術(shù)

在網(wǎng)絡(luò)安全領(lǐng)域中，誘使目標(biāo)訪問一些危險網(wǎng)站(如釣魚網(wǎng)站)，是一些網(wǎng)絡(luò)不法分子的常用手段。對此，當(dāng)前的現(xiàn)有技術(shù)一般基于訪問時所產(chǎn)生的流量數(shù)據(jù)進行安全檢測。

但是，在設(shè)置有DNS(Domain Name Syste，域名系統(tǒng))代理服務(wù)器的網(wǎng)絡(luò)系統(tǒng)中，經(jīng)過DNS代理服務(wù)器的流量數(shù)據(jù)的定位結(jié)果將指向DNS代理服務(wù)器本身，而非原始DNS訪問的源主機，因而造成誤報，漏報了真正的問題主機。此外，由于DNS代理服務(wù)器具備緩存功能，因此，一旦不同的主機訪問了相同的域名，緩存的存在將令DNS代理服務(wù)器不再產(chǎn)生訪問外部DNS服務(wù)器的流量，因此后續(xù)訪問了相同域名的問題主機也將被漏報。

鑒于此，提供一種解決上述技術(shù)問題的方案，已經(jīng)是本領(lǐng)域技術(shù)人員所亟需關(guān)注的。

發(fā)明內(nèi)容

本申請的目的在于提供一種網(wǎng)絡(luò)訪問安全檢測方法、裝置、威脅情報檢測設(shè)備、網(wǎng)絡(luò)系統(tǒng)和計算機可讀存儲介質(zhì)，以便有效提高對危險訪問的識別能力，避免誤報和漏報的現(xiàn)象發(fā)生。

為解決上述技術(shù)問題，一方面，本申請公開了一種網(wǎng)絡(luò)訪問安全檢測方法，應(yīng)用于網(wǎng)絡(luò)系統(tǒng)中與DNS代理服務(wù)器通信連接的威脅情報檢測設(shè)備，所述DNS代理服務(wù)器經(jīng)預(yù)先配置后將自動根據(jù)各主機的域名解析請求而生成DNS解析日志；所述方法包括：

接收所述DNS代理服務(wù)器定時采集并發(fā)送的所述DNS解析日志；

從所述DNS解析日志中提取各所述主機的訪問信息，所述訪問信息包括源主機識別信息和訪問目標(biāo)域名；

將所述訪問信息中的所述訪問目標(biāo)域名在預(yù)設(shè)的訪問威脅情報庫中進行匹配查找，所述訪問威脅情報庫中存儲有各類已知的危險域名；

將匹配成功的所述訪問信息所對應(yīng)的主機確定為目標(biāo)主機，生成針對所述目標(biāo)主機的告警信息。

可選地，所述源主機識別信息包括所述源主機的IP地址、設(shè)備標(biāo)識、序列號或者MAC地址。

可選地，所述接收所述DNS代理服務(wù)器定時采集并發(fā)送的所述DNS解析日志，包括：

基于syslog或者h(yuǎn)ttp接收服務(wù)，接收所述DNS代理服務(wù)器定時采集并發(fā)送的所述DNS解析日志。

可選地，在所述生成針對所述目標(biāo)主機的告警信息之后，還包括：

向所述DNS代理服務(wù)器發(fā)送針對于所述目標(biāo)主機的服務(wù)禁止指令。

可選地，在所述生成針對所述目標(biāo)主機的告警信息之后，還包括：

通過所述DNS代理服務(wù)器向所述目標(biāo)主機發(fā)送告警指令，以便所述目標(biāo)主機進行告警顯示。

又一方面，本申請公開了一種網(wǎng)絡(luò)訪問安全檢測裝置，應(yīng)用于網(wǎng)絡(luò)系統(tǒng)中與DNS代理服務(wù)器通信連接的威脅情報檢測設(shè)備，所述DNS代理服務(wù)器經(jīng)預(yù)先配置后將自動根據(jù)各主機的域名解析請求而生成DNS解析日志；所述裝置包括：