[发明专利]一种网络威胁的跟踪识别方法及装置

说明书

本申请要求于2011年12月31日提交中国专利局、申请号为201110459214.1、发明名称为“一种支持多受控端口的访问控制方法、装置及系统”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本发明涉及计算机网络技术领域，特别涉及一种网络威胁的跟踪识别方法及装置。

背景技术

随着计算机技术和网络技术的不断发展和应用，计算机和网络已成为人们生活和工作中所必须的工具。与此同时，计算机病毒对计算机及网络的攻击也与日俱增，破坏性日益严重。

目前，针对计算机病毒的防护，一种是：需要在用户端(如计算机，智能手机等)安装病毒防护软件，病毒防护软件对运行在计算机上的恶意软件或代码进行查杀，主要是通过病毒特征匹配技术来查找已知病毒，而对于匹配不成功的病毒特征(即可能是未知的新病毒)，只能向用户提示，用户需要提取该病毒特征的可疑样本，并将可疑样本提交给防病毒厂商进行分析处理，如果防病毒厂商经过处理确认是病毒，则由防病毒厂商提取该病毒特征，并提交到病毒库中，再通过病毒库升级的方式将新的病毒特征更新到该用户本地，进行新病毒的查杀。但是，在对未知新病毒的样本提取方面，由于用户没有相关领域的知识，提交的未知病毒样本的质量通常情况下都会存在问题。因此，安装防病毒软件只对受到威胁的用户终端的安全进行防护，并不能对病毒传染源进行有效的跟踪处理。

另一种是：蜜罐技术，通过在互联网上部署一些蜜罐，被动的等待攻击者对其发动攻击。在捕获到攻击信息时，进行记录与分析。最后，将各个蜜罐收集到的攻击信息加以汇总，从而形成僵尸网络的拓扑信息。但是，这种被动的等待攻击者对蜜罐发动攻击，同时受蜜罐数量，部署位置的影响。

因此，在对现有技术的研究和实践过程中，本发明的发明人发现，现有的实现方式中，只保护受保护对象免受威胁，但不对威胁来源，以及该威胁对其他用户终端可能产生的危害进行跟踪分析。

发明内容

本发明实施例提供一种网络威胁的跟踪识别方法及装置，以解决现有技术中只保护受保护对象免受威胁，不对威胁来源进行跟踪分析，导致其他用户网络访问不安全的技术问题。

为解决上述技术问题，本发明实施例提供一种网络威胁的跟踪识别方法，所述方法包括：

获取网络数据；

获取所述网络数据中的统一资源定位符URL，获取所述网络数据中的访问URL的源端IP地址；

将所获取的网络数据中的URL及所述源端IP地址与预置的威胁跟踪列表中的数据进行匹配；其中，所述预置的威胁跟踪列表中保存有已知的被感染IP地址及恶意URL；

若在所述获取的URL中匹配到有相同的URL，则将访问过所述匹配到的URL的源端IP地址确定为被感染IP地址；

若在所述获取的源端IP地址中匹配到有相同的IP地址，则将匹配到的源端IP地址所访问的URL进行是否是威胁URL的分析，得到存在威胁的URL。

本发明实施例还提供一种网络威胁的跟踪识别方法，所述方法包括：

获取网络数据；

获取所述网络数据中的统一资源定位符URL；

将所述获取的URL与预置的威胁跟踪列表中的数据进行匹配，如果所述获取的URL匹配到有相同的URL，将访问过所述存在威胁的URL的源端IP地址确定为被感染IP地址；其中，所述预置的威胁跟踪列表中保存有已知的恶意URL。

相应的，本发明实施例提供一种网络威胁的跟踪识别装置，所述装置包括：

获取单元，用于获取网络数据；

第一确定单元，用于获取所述网络数据中的统一资源定位符URL，获取所述网络数据中的访问URL的源端IP地址；

匹配单元，用于将所获取的网络数据中的URL及所述源端IP地址与预置的威胁跟踪列表中的数据进行匹配，其中，所述预置的威胁跟踪列表中保存有已知的被感染IP地址及恶意URL；

第二确定单元，用于在所述匹配单元匹配到有相同的URL时，将访问过所述匹配到的URL的源端IP地址确定为被感染IP地址；

检测单元，用于在所述匹配单元匹配到有相同的IP地址时，将匹配到的源端IP地址所访问的URL进行是否是威胁URL的分析，得到存在威胁的URL。