[发明专利]一种鉴别有效告警信息的系统、方法、装置、设备和介质

说明书

本发明公开了一种鉴别有效告警信息的系统、方法、装置、设备和介质，由于本发明中安全管理设备获取到木马后门连接类型的告警信息中携带的执行命令请求报文后，对执行命令请求报文进行灭活处理，将灭活处理后的执行命令请求报文发送给木马预定攻击的目标IP地址的目标主机群，目标主机群的每一主机对灭活处理后的执行命令请求报文进行重放操作，确定是否有新进程产生的第一结果，有新进程产生时表示灭活处理前的执行命令请求报文属于实际木马后门攻击中的报文，因此安全管理设备确定第一结果为有新进程产生时，确定告警信息为有效告警信息，从而实现自动化地确定告警信息是否有效。

技术领域

本发明涉及网络信息安全技术领域，尤其涉及一种鉴别有效告警信息的系统、方法、装置、设备和介质。

背景技术

随着计算机信息通信技术的高速发展，网络安全事件时有发生，来自网络内部和外部的网络攻击也日益增多。入侵防御系统(Intrusion Prevention System，IPS)被越来越多地用来及时识别产生网络攻击的木马、攻击程序、有害代码及其克隆和变种，并采取预防措施，先期阻止入侵，防患于未然。

安装有IPS的设备拥有数目众多的过滤器，每种过滤器负责分析相对应的数据包，做到逐一字节地检查数据包。随着公司设备和资产的不断增加，设备规模和管控范围不断扩大，网络与信息系统安全方面的潜在隐患和漏洞也越来越多，随之而来的告警信息也快速增长，给网络安全运维带来了巨大的难度，给人工筛选有效告警信息也带来了不小的挑战。

而由于安装有IPS设备会接收到大量试探的木马后门攻击，其并不会导致对设备的影响，但会产生大量无效的木马后门连接类型的告警信息，从而增加了人工筛选有效木马后门连接类型的告警信息的难度，因此如何实现自动鉴别木马后门连接类型的有效告警信息就成为亟待解决的技术问题。

发明内容

本发明提供了一种鉴别有效告警信息的系统、方法、装置、设备和介质，用以解决现有技术中无法实现自动鉴别木马后门连接类型的有效告警信息的问题。

本发明提供了一种鉴别有效告警信息的系统，所述系统包括：安全管理设备和至少一个主机群，任一主机群包含至少一个主机；

所述安全管理设备，用于获取木马后门连接类型的告警信息中携带的目标IP地址以及执行命令请求报文，对所述执行命令请求报文进行灭活处理，得到灭活处理后的执行命令请求报文，将所述灭活处理后的执行命令请求报文发送给所述目标IP地址对应的目标主机群；接收所述目标主机群的任一主机返回的第一结果，若所述第一结果为有新进程产生，则确定所述告警信息为有效告警信息；

所述目标主机群的每一主机，用于接收所述灭活处理后的执行命令请求报文，进行重放操作执行所述灭活处理后的执行命令请求报文中的命令，确定是否有新进程产生的所述第一结果，将所述第一结果返回给所述安全管理设备。

进一步地，所述安全管理设备，还用于若所述第一结果为没有新进程产生，则获取所述告警信息中携带的木马(webshell)文件路径，将所述木马文件路径发送给所述目标IP地址对应的目标主机群；接收所述目标主机群的任一主机返回的第二结果，若所述第二结果为存在预设恶意函数，则确定所述告警信息为有效告警信息；

所述目标主机群的每一主机，还用于接收所述木马文件路径，判断所述木马文件路径对应的存储位置中是否存在包含木马的实体文件；若存在包含木马的实体文件，则对所述实体文进行解码操作得到解码后的文件，确定解码后的文件是否存在预设恶意函数的所述第二结果，将所述第二结果返回给所述安全管理设备。

进一步地，所述目标主机群的每一主机，还用于若不存在包含木马的实体文件，则确定木马为内存马，基于所述木马文件路径将所述内存马的代码写入到当前Java进程的内存空间后，对所述内存空间中的类文件进行反编译操作和解码操作，得到解码后的文件，确定解码后的文件是否存在预设恶意函数的所述第二结果，将所述第二结果返回给所述安全管理设备。