[发明专利]APT攻击检测方法和装置

权利要求书

1.一种APT攻击检测方法，所述方法包括：

获取局域网的出口IP地址；

将所述出口IP地址与预存IP地址文件中的预存IP地址进行对比；

若所述出口IP地址与所述预存IP地址对比一致，则检测局域网访问内容中是否出现文件；

若局域网访问内容中出现文件，则计算所述文件的哈希值；

将所述文件的哈希值与预存哈希值文件中的预存哈希值进行对比；

若所述文件的哈希值与所述预存哈希值对比一致，则产生安全警告并发送至终端。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

检测预存网站是否出现新IP地址和/或新哈希值；

若所述预存网站出现新IP地址和/或新哈希值，则将所述新IP地址和/或新哈希值添加至预存IP地址文件和/或预存哈希值文件中。

3.根据权利要求1所述的方法，其特征在于，在所述若所述文件的哈希值与所述预存哈希值对比一致，则产生安全警告并发送至终端之后，还包括：

获取提供所述文件的第一源IP地址；

将所述第一源IP地址添加至所述预存IP地址文件。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

检测局域网访问内容中是否出现邮件；

若局域网访问内容中出现邮件，则获取所述邮件的邮件源地址和邮件目的地址；

将所述邮件的邮件源地址/邮件目的地址与预存邮件地址进行对比；

若所述邮件的邮件源地址/邮件目的地址与所述预存邮件地址对比一致，则产生安全警告并发送至所述终端。

5.根据权利要求4所述的方法，其特征在于，在所述若所述邮件的邮件源地址/邮件目的地址与所述预存邮件地址对比一致，则产生安全警告并发送至所述终端之后，还包括：

获取与所述邮件源地址对应的第二源IP地址；

将所述第二源IP地址添加至所述预存IP地址文件中。

6.一种APT攻击检测装置，所述装置包括：

出口IP地址获取模块，用于获取局域网的出口IP地址；

IP地址对比模块，用于将所述出口IP地址与预存IP地址进行对比；

文件检测模块，用于若所述出口IP地址与所述预存IP地址对比一致，则检测局域网访问内容中是否出现文件；

文件哈希值计算模块，用于若局域网访问内容中出现文件，则计算所述文件的哈希值；

哈希值对比模块，用于将所述文件的哈希值与预存哈希值文件中的预存哈希值进行对比；

安全警告生成模块，用于若所述文件的哈希值与所述预存哈希值对比一致，则产生安全警告并发送至终端。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第一预存文件更新模块，用于检测预存网站是否出现新IP地址和/或新哈希值，若所述预存网站出现新IP地址和/或新哈希值，则将所述新IP地址和/或新哈希值添加至预存IP地址文件和/或预存哈希值文件中。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第二预存文件更新模块，用于获取提供所述文件的第一源IP地址，将所述第一源IP地址添加至所述预存IP地址文件。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

邮件检测模块，用于检测局域网访问内容中是否出现邮件；

邮件地址获取模块，用于若局域网访问内容中出现邮件，则获取所述邮件的邮件源地址和邮件目的地址；

邮件地址对比模块，用于将所述邮件的邮件源地址/邮件目的地址与预存邮件地址进行对比；

所述安全警告生成模块还用于若所述邮件的邮件源地址/邮件目的地址与所述预存邮件地址对比一致，则产生安全警告并发送至所述终端。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：

第三预存文件更新模块，用于获取与所述邮件源地址对应的第二源IP地址，将所述第二源IP地址添加至所述预存IP地址文件。