[发明专利]一种定向钓鱼攻击事件发现方法及装置

权利要求书

1.一种定向钓鱼攻击事件发现方法，其步骤包括：

1)获取用户网络访问数据，根据配置规则，筛选出可疑登录行为；

2)根据所述可疑登录行为，获取用户实际登录页面特征；

3)根据所述实际登录页面特征与所述配置规则，及所述实际登录页面特征与官方登录页面特征的仿冒度，发现定向钓鱼攻击事件。

2.如权利要求1所述的方法，其特征在于，所述网络访问数据包括网络流量数据，用户终端获取的主机数据。

3.如权利要求1所述的方法，其特征在于，建立所述配置规则的方法，其步骤包括：

1)设定若干个受监测的目标系统，采集目标系统数据，并进行特征提取；

2)根据目标系统特征，获取用户名密码关键字、定向钓鱼页面域名黑名单、定向钓鱼页面IP黑名单、非定向钓鱼页面域名白名单，作为配置规则。

4.如权利要求3所述的方法，其特征在于，所述目标系统包括通过Web登录方式进行身份认证的邮箱系统、OA系统和网站系统。

5.如权利要求3所述的方法，其特征在于，所述目标系统特征包括从用户访问数据中识别目标系统的IP地址、域名、URL地址、标题内容和样式内容。

6.如权利要求1所述的方法，其特征在于，所述实际登录页面特征为从用户网络访问数据中识别的实际登录页面的IP地址、域名、URL地址、标题内容和样式内容。

7.如权利要求1所述的方法，其特征在于，所述仿冒度指基于域名、URL地址、页面标题和页面样式多维特征计算得出的实际登录页面与官方登录页面的最大相似度。

8.如权利要求1所述的方法，其特征在于，判定所述定向钓鱼攻击事件时，发出告警；所述告警的内容包括钓鱼页面名称、钓鱼页面URL、仿冒对象名称、仿冒对象URL、威胁程度、告警ID、告警时间。

9.一种定向钓鱼攻击事件发现装置，包括：

规则配置与更新模块，用于存储并更新配置规则；

数据获取与筛选模块，用于获取用户网络访问数据，根据配置规则，筛选出可疑登录行为；

特征提取模块，用于根据所述可疑登录行为，获取用户实际登录页面特征；

定向钓鱼攻击事件检测模块，用于根据所述实际登录页面特征与所述配置规则，及所述实际登录页面特征与官方登录页面特征的仿冒度，发现定向钓鱼攻击事件。

10.如权利要求9所述的定向钓鱼攻击事件发现装置，其特征在于，所述配置规则包括用户名密码关键字、定向钓鱼页面域名黑名单、定向钓鱼页面IP黑名单、非定向钓鱼页面域名白名单。