[发明专利]一种鉴别有效告警信息的系统、方法、装置、设备和介质

权利要求书

1.一种鉴别有效告警信息的系统，其特征在于，所述系统包括：安全管理设备和至少一个主机群，任一主机群包含至少一个主机；

所述安全管理设备，用于获取木马后门连接类型的告警信息中携带的目标IP地址以及执行命令请求报文，对所述执行命令请求报文进行灭活处理，得到灭活处理后的执行命令请求报文，将所述灭活处理后的执行命令请求报文发送给所述目标IP地址对应的目标主机群；接收所述目标主机群的任一主机返回的第一结果，若所述第一结果为有新进程产生，则确定所述告警信息为有效告警信息；

所述目标主机群的每一主机，用于接收所述灭活处理后的执行命令请求报文，进行重放操作执行所述灭活处理后的执行命令请求报文中的命令，确定是否有新进程产生的所述第一结果，将所述第一结果返回给所述安全管理设备。

2.根据权利要求1所述的系统，其特征在于，所述安全管理设备，还用于若所述第一结果为没有新进程产生，则获取所述告警信息中携带的木马webshell文件路径，将所述木马文件路径发送给所述目标IP地址对应的目标主机群；接收所述目标主机群的任一主机返回的第二结果，若所述第二结果为存在预设恶意函数，则确定所述告警信息为有效告警信息；

所述目标主机群的每一主机，还用于接收所述木马文件路径，判断所述木马文件路径对应的存储位置中是否存在包含木马的实体文件；若存在包含木马的实体文件，则对所述实体文进行解码操作得到解码后的文件，确定解码后的文件是否存在预设恶意函数的所述第二结果，将所述第二结果返回给所述安全管理设备。

3.根据权利要求2所述的系统，其特征在于，所述目标主机群的每一主机，还用于若不存在包含木马的实体文件，则确定木马为内存马，基于所述木马文件路径将所述内存马的代码写入到当前Java进程的内存空间后，对所述内存空间中的类文件进行反编译操作和解码操作，得到解码后的文件，确定解码后的文件是否存在预设恶意函数的所述第二结果，将所述第二结果返回给所述安全管理设备。

4.根据权利要求2所述的系统，其特征在于，所述安全管理设备，还用于若所述第一结果为没有新进程产生、且所述第二结果为不存在预设恶意函数，则确定所述告警信息为无效告警信息。

5.根据权利要求1所述的系统，其特征在于，所述安全管理设备，具体用于将所述执行命令请求报文中的攻击命令替换为预设命令，得到灭活处理后的执行命令请求报文，其中所述预设命令为打开计算机calc命令、或显示CPU与内存占用率top命令。

6.一种鉴别有效告警信息的方法，其特征在于，所述方法包括：

获取木马后门连接类型的告警信息中携带的目标IP地址以及执行命令请求报文；

对所述执行命令请求报文进行灭活处理，得到灭活处理后的执行命令请求报文，将所述灭活处理后的执行命令请求报文发送给所述目标IP地址对应的目标主机群；

接收所述目标主机群的任一主机返回的第一结果，若所述第一结果为有新进程产生，则确定所述告警信息为有效告警信息。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

若所述第一结果为没有新进程产生，则获取所述告警信息中携带的木马webshell文件路径；

将所述木马文件路径发送给所述目标IP地址对应的目标主机群；

接收所述目标主机群的任一主机返回的第二结果，若所述第二结果为存在预设恶意函数，则确定所述告警信息为有效告警信息。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

若所述第一结果为没有新进程产生、且所述第二结果为不存在预设恶意函数，则确定所述告警信息为无效告警信息。

9.根据权利要求6所述的方法，其特征在于，所述对所述执行命令请求报文进行灭活处理，得到灭活处理后的执行命令请求报文包括：

将所述执行命令请求报文中的攻击命令替换为预设命令，得到灭活处理后的执行命令请求报文，其中所述预设命令为打开计算机calc命令、或显示CPU与内存占用率top命令。