[发明专利]一种恶意进程阻断方法及相关组件

说明书

本发明公开了一种恶意进程阻断方法及相关组件，在预存储的域名与IP对应关系中包括了恶意域名和与恶意域名对应的预设IP的对应关系。由于预设IP为与所述恶意域名的真实IP不同的安全IP，因此在本机中的进程请求解析的域名为恶意域名时，本机中的进程会访问预存储的域名与IP对应关系中储存的与恶意域名对应的预设IP，使得本机中的进程不会访问与恶意域名对应的真实IP，因此达到了阻断威胁的目的，提高了主机的安全性。

技术领域

本发明涉及信息安全领域，特别是涉及一种恶意进程阻断方法及相关组件。

背景技术

现如今，网络威胁时刻威胁着互联网安全，例如，CC(Command and ControlServer，命令和控制服务器)僵尸网络、挖矿和DGA(Domain Generation Algorithm，域名生成算法)域名等远程控制类威胁，隐蔽性高，免杀能力强。现有技术通过网络流量感知设备来对主机的网络传输通道上的流量进行解析，并将主机要访问的域名与网络流量感知设备中储存的恶意域名表中的恶意域名进行对比，从而确定请求访问恶意域名的主机，但是网络流量感知设备无法阻断主机访问恶意域名，降低了主机的安全性。

发明内容

本发明的目的是提供一种恶意进程阻断方法及相关组件，使得本机中的进程不会访问与恶意域名对应的真实IP，因此达到了阻断威胁的目的，提高了主机的安全性。

为解决上述技术问题，本发明提供了一种恶意进程阻断方法，包括：

在接收到本机中的进程发送的域名解析请求时，根据所述域名解析请求确定所述进程请求解析的域名；

若预存储的域名与IP对应关系中存在所述域名，根据所述域名和所述预存储的域名与IP对应关系确定与所述域名对应的IP；所述预存储的域名与IP对应关系包括恶意域名和预设IP的对应关系，所述预设IP为与所述恶意域名的真实IP不同的安全IP；

将与所述域名对应的IP发送给所述进程，以便所述进程访问与所述域名对应的IP。

优选的，所述预设IP指向本机；

所述恶意进程阻断方法还包括：

在监测到存在进程访问所述预设IP时，判定访问所述预设IP的进程为恶意进程。

优选的，判定访问所述预设IP的进程为恶意进程之后，还包括：

根据所述恶意域名和预设IP的对应关系和所述预设IP确定与被访问的预设IP对应的恶意域名，所述预设IP与所述恶意域名一一对应；

确定所述恶意进程的名称及所述恶意进程的存储路径。

优选的，确定所述恶意进程的名称及所述恶意进程的存储路径之后，还包括：

上报所述恶意进程的名称、所述恶意进程的存储路径和与被访问的预设IP对应的恶意域名到服务端。

优选的，所述预存储的域名与IP对应关系存储在hosts文件中。

优选的，还包括：

在监测所述本机的操作系统记录的日志更新时，读取所述操作系统记录的进程的域名访问记录，所述本机上安装有sysmon服务；

根据所述恶意域名和预设IP的对应关系和所述域名访问记录判断是否存在访问恶意域名的进程；

若存在，则判定访问恶意域名的进程为恶意进程；

根据所述域名访问记录确定被访问的恶意域名、所述恶意进程的名称及所述恶意进程的存储路径。

优选的，还包括：

周期性的发送所述恶意域名和预设IP的对应关系的更新请求至服务端；