[发明专利]终端恶意流量规则更新方法、云端服务器和安全网关

说明书

本发明涉及一种终端恶意流量规则更新方法，终端恶意流量规则更新方法包括：在接收到安全网关设备发送的规则标识为第一类规则标识，且接收到的用户流量中存在恶意文件时，云端服务器对恶意文件模拟运行，并将恶意文件匹配的第二恶意流量规则以及规则标识下发给安全网关设备，以供安全网关设备将云端服务器下发的第二恶意流量规则以及规则标识添加至恶意流量规则数据库中。本发明还提出一种云端服务器和安全网关。本发明云端服务器不断根据安全网关上传的用户流量提取新的恶意流量规则更新安全网关中的数据库，进而使得网关设备中的恶意规则的数据不断更新，从而当有恶意攻击行为时，能够准确将其识别出来。

技术领域

本发明涉及通信安全技术领域，尤其涉及一种终端恶意流量规则更新方法、云端服务器和安全网关。

背景技术

恶意软件在运行时，可以盗取用户敏感信息，例如游戏账号、网银账号、公司机密信息等，恶意软件可以在用户电脑植入后门来控制用户电脑做非法事情，例如控制用户电脑对外发起攻击等，恶意软件将用户电脑作为跳板，感染公司内部云端服务器，危害非常大。传统的恶意软件的流量识别装置通过在安全网关设备中预存恶意流量规则库来识别恶意流量，而安全网关设备中预存的恶意流量规则库往往是根据现有的恶意软件的外部流量特征生成的，对未知的恶意软件无法识别，往往在出现新的恶意流量规则时通过人工维护该恶意流量规则库，在时间上存在一定的滞后性，恶意流量规则库无法及时更新，从而当有恶意攻击行为时，不能够准确将其识别出来，使得恶意网络流量的识别不够准确。

发明内容

本发明的主要目的是提供一种终端恶意流量规则更新方法、云端服务器和安全网关，旨在使得终端的恶意网络流量的识别更加准确。

本发明提出一种终端恶意流量规则更新方法，其特征在于，所述终端恶意流量规则更新方法包括以下步骤：

接收安全网关设备发送的用户流量以及第一恶意流量规则的规则标识；

在接收到的规则标识为第一类规则标识，且接收到的用户流量中存在恶意文件时，所述云端服务器对所述恶意文件模拟运行，确定所述恶意文件匹配的第二恶意流量规则；

所述云端服务器将匹配的所述第二恶意流量规则以及规则标识下发给安全网关设备，以供所述安全网关设备将所述云端服务器下发的所述第二恶意流量规则以及规则标识添加至所述恶意流量规则数据库中。

优选地，所述接收安全网关设备发送的用户流量以及恶意流量规则的规则标识的步骤之后，该方法包括：

在接收到的规则标识为第一类规则标识，且接收到的用户流量中不存在恶意文件时，或者在接收到的规则标识为第二类规则标识时，所述云端服务器确定接收到的用户流量是否与预设的白名单规则匹配；

在接收到的用户流量与预设的白名单规则匹配时，所述云端服务器向所述安全网关设备下发恶意流量规则删除指令，以供所述安全网关设备基于所述恶意流量规则删除指令确定对应的规则标识，并删除预存的恶意流量规则数据库中该规则标识所对应的所述第一恶意流量规则。

优选地，所述在接收到的规则标识为第一类规则标识，且接收到的用户流量中不存在恶意文件时，或者在接收到的规则标识为第二类规则标识时，所述云端服务器确定接收到的用户流量是否与预设的白名单规则匹配的步骤之后，所述终端恶意流量规则更新方法还包括：

在接收到的用户流量与预设的白名单规则不匹配时，所述云端服务器由接收到的用户流量中提取流量特征；

所述云端服务器将提取的流量特征添加至预设的特征库中。

此外，为实现上述目的，本发明还提出一种终端恶意流量规则更新方法，所述终端恶意流量规则更新方法包括步骤：