六風(fēng)險(xiǎn)分值W及第屯風(fēng)險(xiǎn)分值。
[0061] 優(yōu)選地，域名風(fēng)險(xiǎn)等級評估模塊還用于將進(jìn)行了風(fēng)險(xiǎn)等級評估的域名W及與域名 相對應(yīng)的風(fēng)險(xiǎn)等級評估結(jié)果錄入到域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中。
[0062] 本發(fā)明實(shí)施例的各個(gè)模塊可WW硬件實(shí)現(xiàn)，或者W在一個(gè)或者多個(gè)處理器上運(yùn)行 的軟件模塊實(shí)現(xiàn)，或者W它們的組合實(shí)現(xiàn)。本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)理解，可W在實(shí)踐中使用 微處理器或者數(shù)字信號處理器值S巧來實(shí)現(xiàn)根據(jù)本發(fā)明實(shí)施例的醫(yī)療化驗(yàn)單圖像分類裝 置中的一些或者全部部件的一些或者全部功能。本發(fā)明還可W實(shí)現(xiàn)為用于執(zhí)行運(yùn)里所描述 的方法的一部分或者全部的設(shè)備或者裝置程序（例如，計(jì)算機(jī)程序和計(jì)算機(jī)程序產(chǎn)品）。運(yùn) 樣的實(shí)現(xiàn)本發(fā)明的程序可W存儲在計(jì)算機(jī)可讀介質(zhì)上，或者可W具有一個(gè)或者多個(gè)信號的 形式。運(yùn)樣的信號可W從因特網(wǎng)網(wǎng)站上下載得到，或者在存儲載體上提供，或者W任何其他 形式提供。
[0063] 本發(fā)明已經(jīng)通過上述實(shí)施例進(jìn)行了說明，但應(yīng)當(dāng)理解的是，上述實(shí)施例只是用于 舉例和說明的目的，而非意在將本發(fā)明限制于所描述的實(shí)施例范圍內(nèi)。此外本領(lǐng)域技術(shù)人 員可W理解的是，本發(fā)明并不局限于上述實(shí)施例，根據(jù)本發(fā)明的教導(dǎo)還可W做出更多種的 變型和修改，運(yùn)些變型和修改均落在本發(fā)明所要求保護(hù)的范圍W內(nèi)。本發(fā)明的保護(hù)范圍由 附屬的權(quán)利要求書及其等效范圍所界定。
【主權(quán)項(xiàng)】
1. 一種基于惡意域名檢測的APT攻擊檢測方法，其特征在于，所述APT攻擊檢測方法包 括： 獲取網(wǎng)絡(luò)中的通信數(shù)據(jù)； 對所述通信數(shù)據(jù)進(jìn)行解析，以提取出所述通信數(shù)據(jù)中涉及到的源主機(jī)的IP、所述源主 機(jī)所查詢的域名以及查詢所述域名的時(shí)間；以及 查詢域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫，以確定所述源主機(jī)所查詢的域名是否存在于所述域名風(fēng)險(xiǎn) 等級數(shù)據(jù)庫中，如果存在，則從所述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中取出并呈現(xiàn)與所述域名相對應(yīng) 的風(fēng)險(xiǎn)等級結(jié)果，如果不存在，則對所述域名進(jìn)行風(fēng)險(xiǎn)等級評估并呈現(xiàn)風(fēng)險(xiǎn)等級評估結(jié)果， 以用于確定所述源主機(jī)是否受到APT攻擊， 其中，所述風(fēng)險(xiǎn)等級評估包括異常心跳分析和子域名語義分析，所述異常心跳分析和 所述子域名語義分析分別被分配第一權(quán)重和第二權(quán)重，所述異常心跳分析判定所述源主機(jī) 在單位時(shí)間間隔內(nèi)對所述域名的查詢請求是否存在規(guī)律性并基于判定結(jié)果和所述第一權(quán) 重計(jì)算所述域名的第一風(fēng)險(xiǎn)分值，所述子域名語義分析判定所述源主機(jī)所查詢的域名的子 域名是否具有實(shí)際意義并基于判定結(jié)果和所述第二權(quán)重計(jì)算所述域名的第二風(fēng)險(xiǎn)分值，所 述風(fēng)險(xiǎn)等級評估結(jié)果的計(jì)算基于所述第一風(fēng)險(xiǎn)分值和所述第二風(fēng)險(xiǎn)分值。2. 如權(quán)利要求1所述的APT攻擊檢測方法，其特征在于，所述風(fēng)險(xiǎn)等級評估還包括域 名注冊信息關(guān)聯(lián)分析，所述域名注冊信息關(guān)聯(lián)分析被分配第三權(quán)重，所述域名注冊信息關(guān) 聯(lián)分析判定所述域名的注冊信息的全面性和/或真實(shí)性并基于判定結(jié)果和所述第三權(quán)重 計(jì)算所述域名的第三風(fēng)險(xiǎn)分值，并且所述風(fēng)險(xiǎn)等級評估結(jié)果的計(jì)算還基于所述第三風(fēng)險(xiǎn)分 值。3. 如權(quán)利要求1所述的APT攻擊檢測方法，其特征在于，所述風(fēng)險(xiǎn)等級評估還包括高頻 訪問名單分析，所述高頻訪問名單分析被分配第四權(quán)重，所述高頻訪問名單分析判定所述 域名當(dāng)前和在過去的預(yù)設(shè)時(shí)間段內(nèi)是否均在或者是否均不在所述源主機(jī)訪問頻率最高的 前若干位域名名單內(nèi)并基于判定結(jié)果和所述第四權(quán)重計(jì)算所述域名的第四風(fēng)險(xiǎn)分值，并且 所述風(fēng)險(xiǎn)等級評估結(jié)果的計(jì)算還基于所述第四風(fēng)險(xiǎn)分值。4. 如權(quán)利要求1所述的APT攻擊檢測方法，其特征在于，所述風(fēng)險(xiǎn)等級評估還包括故障 監(jiān)測分析，所述故障監(jiān)測分析被分配第五權(quán)重，所述故障監(jiān)測分析用于在所述域名的域名 服務(wù)器發(fā)生故障時(shí)監(jiān)測對所述域名服務(wù)器發(fā)送重新查詢請求的主機(jī)數(shù)目并基于監(jiān)測結(jié)果 和所述第五權(quán)重計(jì)算所述域名的第五風(fēng)險(xiǎn)分值，并且所述風(fēng)險(xiǎn)等級評估結(jié)果的計(jì)算還基于 所述第五風(fēng)險(xiǎn)分值。5. 如權(quán)利要求1所述的APT攻擊檢測方法，其特征在于，所述風(fēng)險(xiǎn)等級評估還包括搜索 引擎收錄情況分析，所述搜索引擎收錄情況分析被分配第六權(quán)重，所述搜索引擎收錄情況 分析判定所述域名是否被搜索引擎所收錄并分析搜索引擎對所述域名的網(wǎng)頁級別評分，并 基于分析判定結(jié)果和所述第六權(quán)重計(jì)算所述域名的第六風(fēng)險(xiǎn)分值，并且所述風(fēng)險(xiǎn)等級評估 結(jié)果的計(jì)算還基于所述第六風(fēng)險(xiǎn)分值。6. 如權(quán)利要求1所述的APT攻擊檢測方法，其特征在于，所述風(fēng)險(xiǎn)等級評估還包括互聯(lián) 網(wǎng)檔案館分析，所述互聯(lián)網(wǎng)檔案館分析被分配第七權(quán)重，所述互聯(lián)網(wǎng)檔案館分析用于在互 聯(lián)網(wǎng)檔案館中查詢并分析所述域名的歷史活動記錄和/或歷史快照并基于分析結(jié)果和所 述第七權(quán)重計(jì)算所述域名的第七風(fēng)險(xiǎn)分值，并且所述風(fēng)險(xiǎn)等級評估結(jié)果的計(jì)算還基于所述 第七風(fēng)險(xiǎn)分值。7. 如權(quán)利要求1-6中的任一項(xiàng)所述的APT攻擊檢測方法，其特征在于，所述APT攻擊檢 測方法還包括：在進(jìn)行風(fēng)險(xiǎn)等級評估之后，將所述域名以及與所述域名相對應(yīng)的所述風(fēng)險(xiǎn) 等級評估結(jié)果錄入到所述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中。8. -種基于惡意域名檢測的APT攻擊檢測裝置，其特征在于，所述APT攻擊檢測裝置包 括： 數(shù)據(jù)獲取模塊，用于獲取網(wǎng)絡(luò)中的通信數(shù)據(jù)； 數(shù)據(jù)解析模塊，用于對所述通信數(shù)據(jù)進(jìn)行解析，以提取出所述通信數(shù)據(jù)中涉及到的源 主機(jī)的IP、所述源主機(jī)所查詢的域名以及查詢所述域名的時(shí)間； 數(shù)據(jù)查詢模塊，用于查詢域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫，以確定所述源主機(jī)所查詢的域名是否 存在于所述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中； 域名風(fēng)險(xiǎn)等級評估模塊，用于在所述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中不存在所述源主機(jī)所查詢 的域名時(shí)對所述域名進(jìn)行風(fēng)險(xiǎn)等級評估；以及 評估結(jié)果顯示模塊，用于在所述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中存在所述源主機(jī)所查詢的域名 時(shí)呈現(xiàn)從所述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中提取的與所述域名相對應(yīng)的風(fēng)險(xiǎn)等級結(jié)果，并且在所 述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中不存在所述源主機(jī)所查詢的域名時(shí)呈現(xiàn)所述域名風(fēng)險(xiǎn)等級評估 模塊對所述域名的風(fēng)險(xiǎn)等級評估結(jié)果，以用于確定所述源主機(jī)是否受到APT攻擊， 其中，所述域名風(fēng)險(xiǎn)等級評估模塊包括： 異常心跳分析模塊，用于判定所述源主機(jī)在單位時(shí)間間隔內(nèi)對所述域名的查詢請求是 否存在規(guī)律性并基于判定結(jié)果和所分配的第一權(quán)重計(jì)算所述域名的第一風(fēng)險(xiǎn)分值；以及 子域名語義分析模塊，用于判定所述源主機(jī)所查詢的域名的子域名是否具有實(shí)際意義 并基于判定結(jié)果和所分配的第二權(quán)重計(jì)算所述域名的第二風(fēng)險(xiǎn)分值， 其中，所述風(fēng)險(xiǎn)等級評估結(jié)果的計(jì)算基于所述第一風(fēng)險(xiǎn)分值和所述第二風(fēng)險(xiǎn)分值。9. 如權(quán)利要求8所述的APT攻擊檢測裝置，其特征在于，所述域名風(fēng)險(xiǎn)等級評估模塊還 包括以下模塊中的至少一個(gè)： 域名注冊信息關(guān)聯(lián)分析模塊，用于判定所述域名的注冊信息的全面性和/或真實(shí)性并 基于判定結(jié)果和所分配的第三權(quán)重計(jì)算所述域名的第三風(fēng)險(xiǎn)分值； 高頻訪問名單分析模塊，用于判定所述域名當(dāng)前和在過去的預(yù)設(shè)時(shí)間段內(nèi)是否均在或 者是否均不在所述源主機(jī)訪問頻率最高的前若干位域名名單內(nèi)并基于判定結(jié)果和所分配 的第四權(quán)重計(jì)算所述域名的第四風(fēng)險(xiǎn)分值； 故障監(jiān)測分析模塊，用于在所述域名的域名服務(wù)器發(fā)生故障時(shí)監(jiān)測對所述域名服務(wù)器 發(fā)送重新查詢請求的主機(jī)數(shù)目并基于監(jiān)測結(jié)果和所分配的第五權(quán)重計(jì)算所述域名的第五 風(fēng)險(xiǎn)分值； 搜索引擎收錄情況分析模塊，用于判定所述域名是否被搜索引擎所收錄并分析搜索引 擎對所述域名的網(wǎng)頁級別評分，并基于分析判定結(jié)果和所分配的第六權(quán)重計(jì)算所述域名的 第六風(fēng)險(xiǎn)分值；以及 互聯(lián)網(wǎng)檔案館分析模塊，用于在互聯(lián)網(wǎng)檔案館中查詢并分析所述域名的歷史活動記錄 和/或歷史快照并基于分析結(jié)果和所分配的第七權(quán)重計(jì)算所述域名的第七風(fēng)險(xiǎn)分值， 其中，所述風(fēng)險(xiǎn)等級評估結(jié)果的計(jì)算還基于以下中的至少一個(gè)：所述第三風(fēng)險(xiǎn)分值、所 述第四風(fēng)險(xiǎn)分值、所述第五風(fēng)險(xiǎn)分值、所述第六風(fēng)險(xiǎn)分值以及所述第七風(fēng)險(xiǎn)分值。10.如權(quán)利要求8或9所述的APT攻擊檢測裝置，其特征在于，所述域名風(fēng)險(xiǎn)等級評估 模塊還用于將進(jìn)行了風(fēng)險(xiǎn)等級評估的域名以及與所述域名相對應(yīng)的風(fēng)險(xiǎn)等級評估結(jié)果錄 入到所述域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中。
【專利摘要】本發(fā)明提供了基于惡意域名檢測的APT攻擊檢測方法及裝置。該APT攻擊檢測方法包括：獲取網(wǎng)絡(luò)中的通信數(shù)據(jù)；對通信數(shù)據(jù)進(jìn)行解析，以提取出通信數(shù)據(jù)中涉及到的源主機(jī)的IP、源主機(jī)所查詢的域名以及查詢域名的時(shí)間；查詢域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫，以確定源主機(jī)所查詢的域名是否存在于域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中，如果存在，則從域名風(fēng)險(xiǎn)等級數(shù)據(jù)庫中取出并呈現(xiàn)與域名相對應(yīng)的風(fēng)險(xiǎn)等級結(jié)果，如果不存在，則對域名進(jìn)行風(fēng)險(xiǎn)等級評估并呈現(xiàn)風(fēng)險(xiǎn)等級評估結(jié)果，以用于確定源主機(jī)是否受到APT攻擊，其中，該風(fēng)險(xiǎn)等級評估包括異常心跳分析和子域名語義分析。本發(fā)明所提供的APT攻擊檢測方法及裝置能夠準(zhǔn)確檢測未知惡意域名，從而及時(shí)檢測到APT攻擊，減少APT攻擊造成的后果。
【IPC分類】H04L29/06
【公開號】CN105141598
【申請?zhí)枴緾N201510502853
【發(fā)明人】黃瑋, 范文慶, 安靖, 李美聰, 鄒權(quán)臣, 李建方, 王永濱, 隋愛娜
【申請人】中國傳媒大學(xué)
【公開日】2015年12月9日
【申請日】2015年8月14日