[发明专利]记录APT攻击操作的方法及装置

权利要求书

1.一种记录高级持续性威胁APT攻击操作的方法，其特征在于，包括：

当进程启动时，获取与所述进程相关的APT轨迹数据，所述APT轨迹数据包括与所述APT攻击相关的用户态数据和内核态数据；

其中，内核态钩子程序获取基本数据，基本数据包括但不限于文件操作相关数据，用户态钩子程序获取基本数据之外的其他数据；

在获取与所述进程相关的APT轨迹数据之后，所述方法还包括：

判断获取的所述APT轨迹数据是否为预设类型数据，所述预设类型数据包括以下任一项或多项：传输控制协议TCP连接相关的数据和域名系统DNS查询相关的数据；

若是，则记录所述APT轨迹数据；

在记录所述APT轨迹数据之后，所述方法还包括：

接收服务端的查询指令，所述查询指令携带所述APT攻击的属性信息；

若确定存在与所述属性信息相关的APT轨迹数据，则向所述服务端发送所述与所述属性信息相关的APT轨迹数据，以使得所述服务端根据与所述属性信息相关的APT轨迹数据确定发起所述APT攻击的设备。

2.根据权利要求1所述的方法，其特征在于，所述记录所述APT轨迹数据，包括：

将所述APT轨迹数据转化为事件树格式的数据；

记录事件树格式的所述APT轨迹数据。

3.根据权利要求1所述的方法，其特征在于，在所述记录所述APT轨迹数据之后，所述方法还包括：

获取所述APT轨迹数据的特征码；

若所述特征码包括预设特征码，则向服务端发送告警消息，所述告警消息携带有所述APT轨迹数据。

4.一种记录APT攻击操作的装置，其特征在于，包括：

获取模块，用于当进程启动时，获取与所述进程相关的APT轨迹数据，所述APT轨迹数据包括与所述APT攻击相关的用户态数据和内核态数据；

其中，内核态钩子程序获取基本数据，基本数据包括但不限于文件操作相关数据，用户态钩子程序获取基本数据之外的其他数据；

所述装置还包括判断模块、记录模块；

所述判断模块，还用于判断获取的所述APT轨迹数据是否为预设类型数据，所述预设类型数据包括以下任一项或多项：TCP连接相关的数据和DNS查询相关的数据；

所述记录模块，还用于若确定获取的所述APT轨迹数据为预设类型数据，则记录所述APT轨迹数据；

所述装置还包括接收模块、发送模块；

所述接收模块，用于接收服务端的查询指令，所述查询指令携带所述APT攻击的属性信息；

所述发送模块，还用于若确定存在与所述属性信息相关的APT轨迹数据，则向所述服务端发送所述与所述属性信息相关的APT轨迹数据，以使得所述服务端根据与所述属性信息相关的APT轨迹数据确定发起所述APT攻击的设备。

5.根据权利要求4所述的装置，其特征在于，所述记录模块，具体用于将所述APT轨迹数据转化为事件树格式的数据；记录事件树格式的所述APT轨迹数据。

6.根据权利要求4所述的装置，其特征在于，所述装置还包括发送模块；

所述获取模块，还用于获取所述APT轨迹数据的特征码；

所述发送模块，用于若所述特征码包括预设特征码，则向服务端发送告警消息，所述告警消息携带有所述APT轨迹数据。