[發明專利]一種網絡威脅監測方法、裝置及電子設備

在審

• 申請號: 202111567191.6
• 申請日: 2021-12-20
• 公開（公告）號: CN114285620A
• 公開（公告）日: 2022-04-05
• 發明（設計）人: 孫鵬
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京科衡知識產權代理有限公司 11928
• 代理人: 王淑靜

1.一種網絡威脅監測方法，其特征在于，應用于電子設備，包括：

在所述電子設備的操作系統的內核中，實時監控各進程的網絡連接的建立，以及通過所述網絡連接傳輸的IO數據包；

基于監控得到的所述IO數據包，獲取所述各進程的聯網信息，所述聯網信息包括所述網絡連接的對端IP信息；

針對所述各進程的所述對端IP信息，分別確定所述各進程中每個進程的網絡連接的首個IO數據包是否為攻擊載荷，得到表示該進程的網絡連接是否具有攻擊威脅的攻擊威脅信息；

對應展示所述各進程的進程信息、所述聯網信息和所述攻擊威脅信息。

2.根據權利要求1所述的方法，其特征在于，還包括：

當攻擊威脅信息表示進程的網絡連接具有攻擊威脅時，針對具有攻擊威脅的進程的對端IP進行封禁處理。

3.根據權利要求1所述的方法，其特征在于，所述針對所述各進程的所述對端IP信息，分別確定所述各進程中每個進程的網絡連接的首個IO數據包是否為攻擊載荷，包括：

向蜜罐服務器發送所述各進程的網絡連接的首個IO數據包，使得所述蜜罐服務器采用蜜罐技術，分別確定每個進程的網絡連接的首個IO數據包是否為攻擊載荷，得到表示該進程的網絡連接是否具有攻擊威脅的攻擊威脅信息；

接收所述蜜罐服務器返回的所述各進程的所述攻擊威脅信息。

4.根據權利要求3所述的方法，其特征在于，還包括：

將具有攻擊威脅的進程的網絡連接，轉向所述蜜罐服務器，使得所述蜜罐服務器對該網絡連接進行網絡威脅跟蹤處理。

5.一種網絡威脅監測裝置，其特征在于，應用于電子設備，包括：

進程監控模塊，用于在所述電子設備的操作系統的內核中，實時監控各進程的網絡連接的建立，以及通過所述網絡連接傳輸的IO數據包；

信息獲取模塊，用于基于監控得到的所述IO數據包，獲取所述各進程的聯網信息，所述聯網信息包括所述網絡連接的對端IP信息；

威脅判斷模塊，用于針對所述各進程的所述對端IP信息，分別確定所述各進程中每個進程的網絡連接的首個IO數據包是否為攻擊載荷，得到表示該進程的網絡連接是否具有攻擊威脅的攻擊威脅信息；

信息展示模塊，用于對應展示所述各進程的進程信息、所述聯網信息和所述攻擊威脅信息。

6.根據權利要求5所述的裝置，其特征在于，還包括：

IP封禁模塊，用于當攻擊威脅信息表示進程的網絡連接具有攻擊威脅時，針對具有攻擊威脅的進程的對端IP進行封禁處理。

7.根據權利要求5所述的裝置，其特征在于，所述威脅判斷模塊，具體用于向蜜罐服務器發送所述各進程的網絡連接的首個IO數據包，使得所述蜜罐服務器采用蜜罐技術，分別確定每個進程的網絡連接的首個IO數據包是否為攻擊載荷，得到表示該進程的網絡連接是否具有攻擊威脅的攻擊威脅信息；以及接收所述蜜罐服務器返回的所述各進程的所述攻擊威脅信息。

8.根據權利要求7所述的裝置，其特征在于，還包括：

連接轉向模塊，用于將具有攻擊威脅的進程的網絡連接，轉向所述蜜罐服務器，使得所述蜜罐服務器對該網絡連接進行網絡威脅跟蹤處理。

9.一種電子設備，其特征在于，所述電子設備包括：殼體、處理器、存儲器、電路板和電源電路，其中，電路板安置在殼體圍成的空間內部，處理器和存儲器設置在電路板上；電源電路，用于為上述電子設備的各個電路或器件供電；存儲器用于存儲可執行程序代碼；處理器通過讀取存儲器中存儲的可執行程序代碼來運行與可執行程序代碼對應的程序，用于執行權利要求1-4任一所述的方法。

10.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有一個或者多個程序，所述一個或者多個程序可被一個或者多個處理器執行，以實現權利要求1-4任一所述的方法。