[发明专利]一种基于特征检测的恶意网页发现方法及系统

权利要求书

1.一种基于特征检测恶意网页发现方法，包括以下步骤：

通过读取URL文件，提取URL相关网络行为特征；其中所述提取URL相关网络行为特征包括：读取URL文件，通过Referer字段建立起每一个源IP基于时间序列的用户访问模型，记录用户访问时有所跳转的一连串URL，同时将访问过的相同URL在时间序列上串联；根据每一个源IP和目的IP对，记录其访问的URL和访问时间序列；

通过读取DNS文件，提取域名相关网络行为特征；其中所述提取域名相关网络行为特征方法为：读取DNS文件，根据源IP和域名，建立每一个用户的域名请求模型，记录其请求的所有要解析的域名和请求时间序列，同时，向权威统计网站发送HTTP请求，从返回内容中解析出域名注册时长、PR值；所述域名相关网络行为特征包括：域名请求/响应对准情况、域名记录解析类型、访问带有域名字段的URL是否有域名请求过程、访问URL时带有的域名字段和目的IP是否匹配、域名PageRank值、域名注册时长、是否固定间隔发送域名请求；

通过读取NetFlow文件，提取流量相关网络行为特征；其中所述流量相关网络行为特征包括：HTTP通信流量特征及URL统计特征；所述HTTP通信流量特征包括：并发链接同一服务器数目、并发链接同一目的端口数目、连接时长、固定起始和终止连接时间、上行流量，下行流；

针对URL相关网络行为特征，域名相关网络行为特征及流量相关网络行为特征进行规则匹配，根据匹配结果识别恶意URL。

2.如权利要求1所述的基于特征检测恶意网页发现方法，其特征在于，还包括通过实时捕获流量进行解析和/或读取网络流量Pcap包进行测试获取包含URL文件、DNS文件及NetFlow文件的网络流量数据。

3.如权利要求1所述的基于特征检测恶意网页发现方法，其特征在于，所述URL相关网络行为特征包括：URL请求相关行为特征及URL请求响应相关行为特征。

4.如权利要求1所述的基于特征检测恶意网页发现方法，其特征在于，所述规则匹配为通过正则表达式进行匹配，以发现恶意URL。

5.一种基于特征检测恶意网页发现系统，其特征在于，包括：

URL相关网络行为特征提取子模块，用以通过读取URL文件，提取URL相关网络行为特征；其中所述提取URL相关网络行为特征包括：读取URL文件，通过Referer字段建立起每一个源IP基于时间序列的用户访问模型，记录用户访问时有所跳转的一连串URL，同时将访问过的相同URL在时间序列上串联；根据每一个源IP和目的IP对，记录其访问的URL和访问时间序列；

域名相关网络行为特征提取子模块，用以通过读取DNS文件，提取域名相关网络行为特征；其中所述提取域名相关网络行为特征方法为：读取DNS文件，根据源IP和域名，建立每一个用户的域名请求模型，记录其请求的所有要解析的域名和请求时间序列，同时，向权威统计网站发送HTTP请求，从返回内容中解析出域名注册时长、PR值；所述域名相关网络行为特征包括：域名请求/响应对准情况、域名记录解析类型、访问带有域名字段的URL是否有域名请求过程、访问URL时带有的域名字段和目的IP是否匹配、域名PageRank值、域名注册时长、是否固定间隔发送域名请求；

流量相关网络行为特征提取子模块，用以通过读取NetFlow文件，提取流量相关网络行为特征；其中所述流量相关网络行为特征包括：HTTP通信流量特征及URL统计特征；所述HTTP通信流量特征包括：并发链接同一服务器数目、并发链接同一目的端口数目、连接时长、固定起始和终止连接时间、上行流量，下行流；

规则匹配子模块，用以针对URL相关网络行为特征，域名相关网络行为特征及流量相关网络行为特征进行规则匹配，根据匹配结果识别恶意URL。

6.如权利要求5所述的基于特征检测恶意网页发现系统，其特征在于，还包括一网络流量获取工具，用以通过实时捕获流量进行解析和/或读取网络流量Pcap包进行测试获取包含URL文件、DNS文件及NetFlow文件的网络流量数据。