CN107689965A - 网络设备的防护方法、装置及*** - Google Patents

网络设备的防护方法、装置及*** Download PDF

Info

Publication number
CN107689965A
CN107689965A CN201710923180.4A CN201710923180A CN107689965A CN 107689965 A CN107689965 A CN 107689965A CN 201710923180 A CN201710923180 A CN 201710923180A CN 107689965 A CN107689965 A CN 107689965A
Authority
CN
China
Prior art keywords
domain name
network equipment
domain
information
default
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201710923180.4A
Other languages
English (en)
Inventor
刘健皓
宋戈
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Qihoo Technology Co Ltd
Original Assignee
Beijing Qihoo Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Qihoo Technology Co Ltd filed Critical Beijing Qihoo Technology Co Ltd
Priority to CN201710923180.4A priority Critical patent/CN107689965A/zh
Publication of CN107689965A publication Critical patent/CN107689965A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种网络设备的防护方法、装置及***。其中，方法包括：获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；当查询结果为是时，针对所述域名解析请求执行预设的防护处理。采用本方案，可以实现对网络设备的安全防护，保证网络设备的正常运行，避免因对网络设备的恶意攻击而影响连接网络设备的物联网***的安全。

Description

网络设备的防护方法、装置及***
技术领域
本发明涉及电子信息技术领域，具体涉及一种网络设备的防护方法、装置及***。
背景技术
随着信息科技的不断发展，物联网已逐渐渗透人们的工作生活。物联网是利用局部网络或互联网等通信技术把传感器、控制器、机器、人员和物品等联在一起，形成人与物、物与物相联，实现信息化、远程管理控制和智能化的网络。物联网中包含有多个网络设备，如与路由器连接的摄像头等。
但是，发明人在实现本发明的过程中，发现现有技术中的上述方式至少存在如下问题：目前，针对物联网中网络设备的恶意攻击层出不穷，攻击者通过窃取用户账号及密码，非法登录网络设备，或者在用户使用网络设备中劫持网络设备的网络请求，从而访问恶意地址，影响网络设备的安全性，甚至影响包含该网络设备的整个物联网***的正常运行。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的网络设备的防护方法、装置及***。
根据本发明的一个方面，提供了一种网络设备的防护方法，包括：
获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；
根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；
当查询结果为是时，针对所述域名解析请求执行预设的防护处理。
根据本发明的另一方面，提供了一种网络设备的防护装置，包括：
获取模块，适于获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；
查询模块，适于根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；
防护模块，适于当查询模块查询结果为是时，针对所述域名解析请求执行预设的防护处理。
根据本发明的再一方面，提供了一种网络设备的防护***，包括：上述网络设备的防护装置。
根据本发明的又一个方面，提供了一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述网络设备的防护方法对应的操作。
根据本发明的又一个方面，提供了一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行上述网络设备的防护方法对应的操作。
根据本发明提供的网络设备的防护方法、装置及***，通过获取来自网络设备的域名解析请求，并确定与所述域名解析请求相对应的域名解析结果；并进一步根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；当查询结果为是时，针对所述域名解析请求执行预设的防护处理。采用本方案，可以实现对网络设备的安全防护，保证网络设备的正常运行，避免因对网络设备的恶意攻击而影响连接网络设备的物联网***的安全。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了根据本发明一个实施例提供的网络设备的防护方法的流程图；
图2示出了根据本发明另一个实施例提供的网络设备的防护方法的流程图；
图3示出了根据本发明一个实施例提供的网络设备的防护装置的结构框图；
图4示出了根据本发明一个实施例提供的网络设备的防护***的结构框图；
图5示出了根据本发明一个实施例提供的一种电子设备的结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
图1示出了根据本发明一个实施例提供的网络设备的防护方法的流程图。如图1所示，该方法包括：
步骤S110，获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果。
网络设备在进行网络访问的过程中，首先需进行域名解析，即通过域名解析服务器解析到与该域名相对应的访问地址，然后根据该访问地址访问与该访问地址相对应的资源。
本步骤中可在网络设备发出域名解析请求后，获取该域名解析请求，并进一步确定与该域名解析请求相对应的域名解析结果。其中，域名解析结果中包含域名信息，如域名信息可以为与域名解析请求中的域名相对应的访问地址等。
步骤S120，根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息，若是，则执行步骤S130。
其中，预设的威胁情报库中存储有与域名信息相关的安全等级信息，例如预设的威胁情报库中存储有域名或与域名相对应的访问地址的白名单、黑名单、和/或灰名单等。通过该安全等级信息，可以确定域名解析结果中包含的域名信息是否为恶意信息。例如，当域名解析结果中的域名信息中包含与该域名相对应的IP地址，而预设的威胁情报库中存储有IP地址黑名单，当该IP地址与IP地址黑名单中的某个地址相匹配时，确定该域名信息为恶意信息，则执行步骤S130。
步骤S130，针对所述域名解析请求执行预设的防护处理。
若步骤S120中查询的域名信息为恶意信息，则针对于该域名信息相对应的解析请求执行防护处理，如直接拦截该域名解析请求，阻止网络设备访问该域名解析请求相对应的解析结果中的访问地址。
由此可见，本发明提供的网络设备的防护方法，在网络设备访问网络资源之前，获取来自网络设备的域名解析请求，并确定与所述域名解析请求相对应的域名解析结果；并且，进一步根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；当查询结果为是时，针对域名解析请求执行预设的防护处理。从而避免了网络设备直接访问具有安全隐患的网络资源，实现对网络设备的安全防护，保证网络设备的正常运行，避免因对网络设备的恶意攻击而影响连接网络设备的物联网***的安全。
图2示出了根据本发明另一个实施例提供的网络设备的防护方法的流程图。如图2所示，该方法包括：
步骤S210，获取来自网络设备的域名解析请求。
其中，网络设备包括路由设备，并且，该路由设备与至少一个物联网设备相连。路由设备及与其相连的物联网设备可集成于一体，也可分离设置，例如，网络摄像头包含摄像装置及与摄像装置相连的路由设备，摄像装置及路由单元集成于一体；而物联网中的空气净化器通常与其连接的路由设备分离设置。
具体地，物联网设备在进行网络请求时，需先通过与其相连的路由设备转发其域名解析请求。本步骤中，在路由设备转发与其相连的物联网设备的域名解析请求后，获取该域名解析请求。其中，该域名解析请求中包含物联网设备欲访问的域名信息。
步骤S220，将域名解析请求发送给预设的域名解析服务器，接收域名解析服务器返回的与该域名解析请求相对应的域名解析结果。
其中，预设的域名解析服务器可以为DNS服务器。在将域名解析请求发送给预设的域名解析服务器后，域名解析服务器根据存储的域名与访问地址(如IP地址)的映射关系等，获得相应的域名解析结果，如获得与域名解析请求中包含的域名所对应的IP地址等。并进一步地接收域名解析服务器返回的与该域名解析请求相对应的域名解析结果。
可选的，域名解析请求和/或域名解析结果可通过基于用户数据报协议(用户数据报协议(User Datagram Protocol,UDP)的消息传输。
步骤S230，将域名解析结果中包含的域名信息发送给预设的威胁情报服务器，并接收威胁情报服务器根据预设的威胁情报库查询该域名解析结果中包含的域名信息是否为恶意信息后返回的查询结果。
其中，域名解析结果中包含的域名信息包括域名和/或IP地址。在将域名解析结果中包含的域名信息发送给预设的威胁情报服务器后，威胁情报服务器可查询威胁情报库，判断该域名信息是否为恶意信息。例如，威胁情报库中可包含IP地址黑名单和/或白名单。当域名信息中的IP地址位于IP地址黑名单时，则确定该IP地址所对应的域名信息为恶意信息；若域名信息中的IP地址位于IP地址白名单时，则确定该IP地址所对应的域名信息为非恶意信息。又或者，威胁情报库中包含域名黑名单和/或白名单，根据预设的匹配规则，当域名信息中的域名与域名黑名单中的某个域名相匹配时，则确定该域名信息为恶意信息，例如，当域名信息中的域名与域名黑名单中的某个域名完全一致，或者当域名信息中的域名中某个域名字段与域名黑名单中的某个域名字段相同时(如域名信息中的域名为黑名单中某个域名的子域名，则域名信息中的域名与该黑名单中的域名具有某个相同的域名字段)时，确定该域名信息为恶意信息。若域名信息中的域名与域名白名单中的某个域名匹配，则确定该域名信息为非恶意信息。
在威胁情报服务器根据预设的威胁情报库查询该域名解析结果中包含的域名信息是否为恶意信息后，接收该威胁情报服务器所返回的查询结果。其中，查询结果中包含域名信息是否为恶意信息的相关信息。查询结果的具体形式本领域技术人员可自行设置，例如可通过预设字符代表域名信息是否为恶意信息(如，查询结果为“N”，则表明该域名信息为恶意信息)。
可选的，威胁情报库中的信息可根据物联网中各个网络设备的信息来确定。例如，可通过预设的多个信息抓取节点，通过并行的方式获取物联网中各个网络设备的状态信息，并将该状态信息进行细粒度划分，存储至相应的数据库***中，如可存储至HBase分布式数据库中。并可通过相应的搜索引擎，搜索各个网络设备的状态信息，从而获取可存储于威胁情报库中的信息。例如，可搜索多个网络设备的日志记录，分析多个网络设备是否在访问某个IP地址或域名后发生运行异常的情况，如耗费流量激增和/或运行故障等，若是，则将该IP地址或域名存储至威胁情报库中的黑名单中。进一步可选的，威胁情报库中的信息可根据预设的周期进行更新，当达到预设的更新周期时，通过获取各个网络设备新增的状态信息，获取可存储于威胁情报库中的信息，从而对威胁情报库中的信息进行更新。
步骤S240，若域名信息为恶意信息，针对所述域名解析请求执行预设的防护处理。
在一种实施方式中，若步骤S230中接收到的查询结果中确定域名信息为恶意信息，则对该域名解析请求进行拦截。即阻止与该域名解析请求相对应的物联网设备通过与其相连的路由设备访问该域名解析结果中的访问地址。例如，可为物联网设备返回环回地址或无效IP地址，从而使得物联网设备无法通过与其相连的路由设备访问该域名解析结果中的访问地址。
在另一种实施方式中，若步骤S230中接收到的查询结果中确定域名信息为恶意信息，则将与该域名解析请求相对应的域名解析结果返回给相应的网络设备，并且，向该网络设备返回用于提示域名解析结果中包含的域名信息为恶意信息的查询结果，以供该网络设备针对域名解析请求进行拦截。具体地，向该网络设备中的路由设备返回用于提示域名解析结果中包含的域名信息为恶意信息的查询结果，以供路由设备针对该域名解析请求进行拦截。其中，用于提示域名解析结果中包含的域名信息为恶意信息的查询结果的具体方式，本领域技术人员可自行设置。例如，可以以报文、语音、文字弹窗、和/或报警鸣笛等方式进行提示。举例来说，若步骤S220中接收到的域名解析结果为一IP地址，而该IP地址位于威胁情报服务器中的IP黑名单中，则会接收到威胁服务器返回的该IP地址为恶意信息的查询结果，则可将该IP地址返回给相应的路由设备，但同时以报文等提示方式提示该IP地址为恶意地址，路由设备可根据设备本地的安全防护逻辑，在接收到恶意信息提示时自动拦截域名解析请求；或者，向与该路由设备相对应的用户进行报警提示，在接收到用户的阻止指令后，拦截域名解析请求，阻止与该路由设备相连的物联网设备访问该IP地址。
步骤S250，向与网络设备相对应的预设接收方发送告警信息。
具体地，可确定该网络设备的域名解析请求中包含的路由设备的路由设备标识信息和/或与该路由设备相连的物联网设备的物联网设备标识信息，根据路由设备标识信息、物联网设备标识信息、域名解析结果中包含的域名信息生成告警消息。其中，路由设备的路由设备标识信息包括路由设备的设备名称和/或MAC地址等，与该路由设备相连的物联网设备的物联网设备标识信息包括该物联网设备的设备名称和/或MAC地址。例如，路由设备在发送的域名解析请求中通常含有该路由设备的MAC地址，以及含有与该路由设备相连的物联网设备的MAC地址，若该域名解析请求相对应的域名解析结果为一IP地址，且该IP地址确定为恶意信息，则可根据该路由设备的MAC地址、该物联网设备的MAC地址以及该IP地址生成相应的告警信息。其中，告警信息的具体形式本领域技术人员可自行设置。
进一步地，将告警消息存储到预设的分布式消息队列中，根据分布式消息队列中存储的告警消息向与该网络设备相对应的预设接收方发送告警信息。其中，预设的分布式消息队列可以为基于kafka分布式***的消息队列。将该告警消息存储至消息队列后，订阅该消息的消息消费方消费该告警信息。其中，该消息的消息消费方为该网络设备相对应的预设接收方，也可以为预设的推送服务器，其中，预设的推送服务器在消费告警消息后向对应的预设接收方发送告警信息。可选的，网络设备相对应的预设接收方可以为网络设备厂商。
举例来说，网络设备均有其相对应的网络设备厂商，网络设备可通过其包含的路由设备的设备标识和/或与该路由设备相连的物联网设备标识与网络设备厂商建立相应的映射关系，该映射关系可存储于预设的推送服务器中。在根据路由设备标识信息、物联网设备标识信息、域名解析结果中包含的域名信息生成告警消息后，将该告警信息存储至预设的分布式消息队列中，预设的推送服务器可订阅该分布式消息队列中的告警信息，每当有告警消息存储至该消息队列时，预设的推送服务器可获取该告警信息，并根据该告警信息中包含的路由设备的设备标识和/或与该路由设备相连的物联网设备标识，查询与其相对应的网络设备厂商，从而将该告警信息推送给与该告警信息相对应的网络设备厂商。该网络设备厂商可根据告警信息修补网络设备的安全漏洞，从而提高网络设备的安全性。
另外，本实施例中的威胁情报库可通过对海量的物联网设备的监控结果确定，从而基于大数据来确定威胁情报信息，进而能够更加有效地防护物联网设备的安全。
由此可见，本发明提供的网络设备的防护方法，在网络设备访问网络资源之前，获取来自网络设备的域名解析请求，并将域名解析请求发送给预设的域名解析服务器，并接收域名解析服务器返回的与该域名解析请求相对应的域名解析结果。并将域名解析结果中包含的域名信息发送给预设的威胁情报服务器，以供威胁情报服务器确定域名解析结果中的域名信息是否为恶意信息，若是，则可直接拦截该域名解析请求，或者想网络设备发送告警信息，以供网络设备拦截该域名解析请求，从而阻止网络设备访问该恶意信息，实现对网络设备的安全防护，保证网络设备的正常运行，避免因对网络设备的恶意攻击而影响连接网络设备的物联网***的安全。并且，可向与网络设备相对应的预设接收方发送告警信息，从而使得预设接收方，如网络设备厂商可根据告警信息对网络设备进行安全漏洞修复，从而进一步加固网络设备的安全防护，提高网络设备的安全性。
图3示出了根据本发明一个实施例提供的网络设备的防护装置的结构框图。如图3所示，该装置包括：获取模块31、查询模块32、以及防护模块33。
获取模块31，适于获取来自网络设备的域名解析请求，确定与域名解析请求相对应的域名解析结果。
可选的，网络设备包括：路由设备，并且，所述路由设备与至少一个物联网设备相连。
可选的，获取模块31进一步适于：获取所述路由设备转发的与其相连的物联网设备的域名解析请求。
可选的，获取模块31进一步适于：将所述域名解析请求发送给预设的域名解析服务器，接收所述域名解析服务器返回的与所述域名解析请求相对应的域名解析结果。
查询模块32，适于根据预设的威胁情报库查询域名解析结果中包含的域名信息是否为恶意信息。
可选的，查询模块32进一步适于：将所述域名解析结果中包含的域名信息发送给预设的威胁情报服务器，接收所述威胁情报服务器根据所述预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息后返回的查询结果。
可选的，域名解析请求和/或域名解析结果通过基于用户数据报协议的消息传输；并且，域名信息包括：域名和/或IP地址。
防护模块33，适于当查询模块查询结果为是时，针对域名解析请求执行预设的防护处理。
可选的，防护模块33进一步适于：对域名解析请求进行拦截；或者，将与域名解析请求相对应的域名解析结果返回给网络设备，并且，向网络设备返回用于提示域名解析结果中包含的域名信息为恶意信息的查询结果，以供网络设备针对域名解析请求进行拦截。
可选的，防护模块33进一步适于：向路由设备返回用于提示域名解析结果中包含的域名信息为恶意信息的查询结果，以供路由设备针对域名解析请求进行拦截。
可选的，本装置还包括：发送告警模块，适于向与所述网络设备相对应的预设接收方发送告警信息。
可选的，发送告警模块进一步适于：确定域名解析请求中包含的路由设备的路由设备标识信息和/或与路由设备相连的物联网设备的物联网设备标识信息，根据路由设备标识信息、物联网设备标识信息、域名解析结果中包含的域名信息生成告警消息；将告警消息存储到预设的分布式消息队列中，根据分布式消息队列中存储的告警消息向与网络设备相对应的预设接收方发送告警信息。
其中，本实施例提供的网络设备的防护装置的各个功能模块的具体原理及实施方式等，可参照图1和/或图2所示的网络设备的防护方法实施例中相应步骤中的阐述，在此不做赘述。
由此可见，本发明提供的网络设备的防护装置，在网络设备访问网络资源之前，获取来自网络设备的域名解析请求，并确定与所述域名解析请求相对应的域名解析结果；并且，进一步根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；当查询结果为是时，针对域名解析请求执行预设的防护处理。从而避免了网络设备直接访问具有安全隐患的网络资源，实现对网络设备的安全防护，保证网络设备的正常运行，避免因对网络设备的恶意攻击而影响连接网络设备的物联网***的安全。
图4示出了根据本发明一个实施例提供的网络设备的防护***的结构框图。如图4所示，该***包括：如图3所示的网络设备的防护装置41。
可选的，该***还包括：域名解析服务器42、威胁情报服务器43。
其中，域名解析服务器42，适于接收网络设备的防护装置发送的域名解析请求，并解析域名解析请求，获得域名解析结果；
威胁情报服务器43，适于根据预设的威胁情报库查询域名解析结果中包含的域名信息是否为恶意信息，并将查询结果发送至网络设备的防护装置。
根据本发明一个实施例提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的网络设备的防护方法。
图5示出了根据本发明一个实施例提供的电子设备的结构示意图，本发明具体实施例并不对电子设备的具体实现做限定。
如图5所示，该电子设备可以包括：处理器(processor)502、通信接口(Communications Interface)504、存储器(memory)506、以及通信总线508。
其中：处理器502、通信接口504、以及存储器506通过通信总线508完成相互间的通信。
通信接口504，用于与其它设备比如客户端或其它服务器等的网元通信。
处理器502，用于执行程序510，具体可以执行上述网络设备的防护方法实施例中的相关步骤。
具体地，程序510可以包括程序代码，该程序代码包括计算机操作指令。
处理器502可能是中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。电子设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。
存储器506，用于存放程序510。存储器506可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。
程序510具体可以用于使得处理器502执行以下操作：
获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；
根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；
当查询结果为是时，针对所述域名解析请求执行预设的防护处理。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
对所述域名解析请求进行拦截；或者，
将与所述域名解析请求相对应的域名解析结果返回给所述网络设备，并且，向所述网络设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述网络设备针对所述域名解析请求进行拦截。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
将所述域名解析请求发送给预设的域名解析服务器，接收所述域名解析服务器返回的与所述域名解析请求相对应的域名解析结果。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
将所述域名解析结果中包含的域名信息发送给预设的威胁情报服务器，接收所述威胁情报服务器根据所述预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息后返回的查询结果。
在一种可选的实施方式中，所述网络设备包括：路由设备，并且，所述路由设备与至少一个物联网设备相连。则程序510具体可以用于使得处理器502执行以下操作：
获取所述路由设备转发的与其相连的物联网设备的域名解析请求；
向所述路由设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述路由设备针对所述域名解析请求进行拦截。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
向与所述网络设备相对应的预设接收方发送告警信息。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
确定所述域名解析请求中包含的路由设备的路由设备标识信息和/或与所述路由设备相连的物联网设备的物联网设备标识信息，根据所述路由设备标识信息、物联网设备标识信息、所述域名解析结果中包含的域名信息生成告警消息；
将所述告警消息存储到预设的分布式消息队列中，根据所述分布式消息队列中存储的告警消息向与所述网络设备相对应的预设接收方发送告警信息。
在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述，构造这类***所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的网络设备的防护装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
本发明公开了：A1.一种网络设备的防护方法，包括：
获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；
根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；
当查询结果为是时，针对所述域名解析请求执行预设的防护处理。
A2.根据A1所述的方法，其中，所述针对所述域名解析请求执行预设的防护处理的步骤具体包括：
对所述域名解析请求进行拦截；或者，
将与所述域名解析请求相对应的域名解析结果返回给所述网络设备，并且，向所述网络设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述网络设备针对所述域名解析请求进行拦截。
A3.根据A1或A2所述的方法，其中，所述确定与所述域名解析请求相对应的域名解析结果的步骤具体包括：
将所述域名解析请求发送给预设的域名解析服务器，接收所述域名解析服务器返回的与所述域名解析请求相对应的域名解析结果。
A4.根据A1-A3任一所述的方法，其中，所述根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息的步骤具体包括：
将所述域名解析结果中包含的域名信息发送给预设的威胁情报服务器，接收所述威胁情报服务器根据所述预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息后返回的查询结果。
A5.根据A2-A4任一所述的方法，其中，所述网络设备包括：路由设备，并且，所述路由设备与至少一个物联网设备相连；则所述获取来自网络设备的域名解析请求的步骤具体包括：获取所述路由设备转发的与其相连的物联网设备的域名解析请求；
所述向所述网络设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述网络设备针对所述域名解析请求进行拦截的步骤具体包括：向所述路由设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述路由设备针对所述域名解析请求进行拦截。
A6.根据A5所述的方法，其中，所述针对所述域名解析请求执行预设的防护处理的步骤之后，进一步包括：向与所述网络设备相对应的预设接收方发送告警信息。
A7.根据A6所述的方法，其中，所述向与所述网络设备相对应的预设接收方发送告警信息的步骤具体包括：
确定所述域名解析请求中包含的路由设备的路由设备标识信息和/或与所述路由设备相连的物联网设备的物联网设备标识信息，根据所述路由设备标识信息、物联网设备标识信息、所述域名解析结果中包含的域名信息生成告警消息；
将所述告警消息存储到预设的分布式消息队列中，根据所述分布式消息队列中存储的告警消息向与所述网络设备相对应的预设接收方发送告警信息。
A8.根据A1-A7任一所述的方法，其中，所述域名解析请求和/或域名解析结果通过基于用户数据报协议的消息传输；并且，所述域名信息包括：域名和/或IP地址。
本发明还公开了：B9.一种网络设备的防护装置，包括：
获取模块，适于获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；
查询模块，适于根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；
防护模块，适于当查询模块查询结果为是时，针对所述域名解析请求执行预设的防护处理。
B10.根据B9所述的装置，其中，所述防护模块进一步适于：
对所述域名解析请求进行拦截；或者，
将与所述域名解析请求相对应的域名解析结果返回给所述网络设备，并且，向所述网络设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述网络设备针对所述域名解析请求进行拦截。
B11.根据B9或B10所述的装置，其中，所述获取模块进一步适于：
将所述域名解析请求发送给预设的域名解析服务器，接收所述域名解析服务器返回的与所述域名解析请求相对应的域名解析结果。
B12.根据B9-B11任一所述的装置，其中，所述查询模块进一步适于：
将所述域名解析结果中包含的域名信息发送给预设的威胁情报服务器，接收所述威胁情报服务器根据所述预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息后返回的查询结果。
B13.根据B10-B12任一所述的装置，其中，所述网络设备包括：路由设备，并且，所述路由设备与至少一个物联网设备相连；
则所述获取模块进一步适于：获取所述路由设备转发的与其相连的物联网设备的域名解析请求；
所述防护模块进一步适于：向所述路由设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述路由设备针对所述域名解析请求进行拦截。
B14.根据B13所述的装置，其中，所述装置还包括：
发送告警模块，适于向与所述网络设备相对应的预设接收方发送告警信息。
B15.根据B14所述的装置，其中，所述发送告警模块进一步适于：
确定所述域名解析请求中包含的路由设备的路由设备标识信息和/或与所述路由设备相连的物联网设备的物联网设备标识信息，根据所述路由设备标识信息、物联网设备标识信息、所述域名解析结果中包含的域名信息生成告警消息；
将所述告警消息存储到预设的分布式消息队列中，根据所述分布式消息队列中存储的告警消息向与所述网络设备相对应的预设接收方发送告警信息。
B16.根据B9-B15任一所述的装置，其中，所述域名解析请求和/或域名解析结果通过基于用户数据报协议的消息传输；并且，所述域名信息包括：域名和/或IP地址。
本发明还公开了：C17.一种网络设备的防护***，包括：如B9-B16任一所述的网络设备的防护装置。
C18.根据C17所述的***，其中，所述***还包括：
域名解析服务器，适于接收所述网络设备的防护装置发送的域名解析请求，并解析所述域名解析请求，获得域名解析结果；
威胁情报服务器，适于根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息，并将查询结果发送至所述网络设备的防护装置。
本发明还公开了：D19.一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如A1-A8中任一项所述的网络设备的防护方法对应的操作。
本发明还公开了：E20.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如A1-A8中任一项所述的网络设备的防护方法对应的操作。

Claims (10)

1.一种网络设备的防护方法，包括：
获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；
根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；
当查询结果为是时，针对所述域名解析请求执行预设的防护处理。
2.根据权利要求1所述的方法，其中，所述针对所述域名解析请求执行预设的防护处理的步骤具体包括：
对所述域名解析请求进行拦截；或者，
将与所述域名解析请求相对应的域名解析结果返回给所述网络设备，并且，向所述网络设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述网络设备针对所述域名解析请求进行拦截。
3.根据权利要求1或2所述的方法，其中，所述确定与所述域名解析请求相对应的域名解析结果的步骤具体包括：
将所述域名解析请求发送给预设的域名解析服务器，接收所述域名解析服务器返回的与所述域名解析请求相对应的域名解析结果。
4.根据权利要求1-3任一所述的方法，其中，所述根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息的步骤具体包括：
将所述域名解析结果中包含的域名信息发送给预设的威胁情报服务器，接收所述威胁情报服务器根据所述预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息后返回的查询结果。
5.根据权利要求2-4任一所述的方法，其中，所述网络设备包括：路由设备，并且，所述路由设备与至少一个物联网设备相连；则所述获取来自网络设备的域名解析请求的步骤具体包括：获取所述路由设备转发的与其相连的物联网设备的域名解析请求；
所述向所述网络设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述网络设备针对所述域名解析请求进行拦截的步骤具体包括：向所述路由设备返回用于提示所述域名解析结果中包含的域名信息为恶意信息的查询结果，以供所述路由设备针对所述域名解析请求进行拦截。
6.根据权利要求5所述的方法，其中，所述针对所述域名解析请求执行预设的防护处理的步骤之后，进一步包括：向与所述网络设备相对应的预设接收方发送告警信息。
7.一种网络设备的防护装置，包括：
获取模块，适于获取来自网络设备的域名解析请求，确定与所述域名解析请求相对应的域名解析结果；
查询模块，适于根据预设的威胁情报库查询所述域名解析结果中包含的域名信息是否为恶意信息；
防护模块，适于当查询模块查询结果为是时，针对所述域名解析请求执行预设的防护处理。
8.一种网络设备的防护***，包括：如权利要求9-16任一所述的网络设备的防护装置。
9.一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-6中任一项所述的网络设备的防护方法对应的操作。
10.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-6中任一项所述的网络设备的防护方法对应的操作。
CN201710923180.4A 2017-09-30 2017-09-30 网络设备的防护方法、装置及*** Pending CN107689965A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710923180.4A CN107689965A (zh) 2017-09-30 2017-09-30 网络设备的防护方法、装置及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710923180.4A CN107689965A (zh) 2017-09-30 2017-09-30 网络设备的防护方法、装置及***

Publications (1)

Publication Number Publication Date
CN107689965A true CN107689965A (zh) 2018-02-13

Family

ID=61154168

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710923180.4A Pending CN107689965A (zh) 2017-09-30 2017-09-30 网络设备的防护方法、装置及***

Country Status (1)

Country Link
CN (1) CN107689965A (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109413091A (zh) * 2018-11-20 2019-03-01 中国联合网络通信集团有限公司 一种基于物联网终端的网络安全监控方法和装置
CN110336805A (zh) * 2019-06-27 2019-10-15 维沃移动通信有限公司 网络访问管理方法和移动终端
CN110401614A (zh) * 2018-04-24 2019-11-01 中移（杭州）信息技术有限公司 恶意域名的溯源方法及装置
CN111245784A (zh) * 2019-12-30 2020-06-05 杭州安恒信息技术股份有限公司 多维度检测恶意域名的方法
CN111277585A (zh) * 2020-01-16 2020-06-12 深信服科技股份有限公司 威胁处理方法、装置、设备和可读存储介质
CN114024947A (zh) * 2022-01-05 2022-02-08 北京微步在线科技有限公司 一种基于浏览器的web访问方法及装置
CN116112230A (zh) * 2022-12-30 2023-05-12 安天科技集团股份有限公司 一种ip白名单确定方法、装置、设备及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103607385A (zh) * 2013-11-14 2014-02-26 北京奇虎科技有限公司 基于浏览器进行安全检测的方法和装置
US20140143414A1 (en) * 2011-06-21 2014-05-22 Zte Corporation Method for sending information and gateway
CN103957201A (zh) * 2014-04-18 2014-07-30 上海聚流软件科技有限公司 基于dns的域名信息处理方法、装置及***
US20140304378A1 (en) * 2010-12-30 2014-10-09 Verisign, Inc. Method and system for partitioning recursive name servers
CN104125209A (zh) * 2014-01-03 2014-10-29 腾讯科技（深圳）有限公司 恶意网址提示方法和路由器
CN105763660A (zh) * 2014-12-17 2016-07-13 中兴通讯股份有限公司 一种域名解析方法及装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140304378A1 (en) * 2010-12-30 2014-10-09 Verisign, Inc. Method and system for partitioning recursive name servers
US20140143414A1 (en) * 2011-06-21 2014-05-22 Zte Corporation Method for sending information and gateway
CN103607385A (zh) * 2013-11-14 2014-02-26 北京奇虎科技有限公司 基于浏览器进行安全检测的方法和装置
CN104125209A (zh) * 2014-01-03 2014-10-29 腾讯科技（深圳）有限公司 恶意网址提示方法和路由器
CN103957201A (zh) * 2014-04-18 2014-07-30 上海聚流软件科技有限公司 基于dns的域名信息处理方法、装置及***
CN105763660A (zh) * 2014-12-17 2016-07-13 中兴通讯股份有限公司 一种域名解析方法及装置

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110401614A (zh) * 2018-04-24 2019-11-01 中移（杭州）信息技术有限公司 恶意域名的溯源方法及装置
CN110401614B (zh) * 2018-04-24 2021-08-13 中移（杭州）信息技术有限公司 恶意域名的溯源方法及装置
CN109413091A (zh) * 2018-11-20 2019-03-01 中国联合网络通信集团有限公司 一种基于物联网终端的网络安全监控方法和装置
CN110336805A (zh) * 2019-06-27 2019-10-15 维沃移动通信有限公司 网络访问管理方法和移动终端
CN110336805B (zh) * 2019-06-27 2022-02-08 维沃移动通信有限公司 网络访问管理方法和移动终端
CN111245784A (zh) * 2019-12-30 2020-06-05 杭州安恒信息技术股份有限公司 多维度检测恶意域名的方法
CN111277585A (zh) * 2020-01-16 2020-06-12 深信服科技股份有限公司 威胁处理方法、装置、设备和可读存储介质
CN114024947A (zh) * 2022-01-05 2022-02-08 北京微步在线科技有限公司 一种基于浏览器的web访问方法及装置
CN114024947B (zh) * 2022-01-05 2022-04-01 北京微步在线科技有限公司 一种基于浏览器的web访问方法及装置
CN116112230A (zh) * 2022-12-30 2023-05-12 安天科技集团股份有限公司 一种ip白名单确定方法、装置、设备及存储介质

Similar Documents

Publication Publication Date Title
CN107689965A (zh) 网络设备的防护方法、装置及***
CN103957195B (zh) Dns***以及dns攻击的防御方法和防御装置
CN102687480B (zh) 基于云的防火墙***及服务
US9258289B2 (en) Authentication of IP source addresses
US9648033B2 (en) System for detecting the presence of rogue domain name service providers through passive monitoring
US8904524B1 (en) Detection of fast flux networks
CN105359157B (zh) 用于检测到安全漏洞而生成警报的网络安全***和方法
US20110191849A1 (en) System and method for risk rating and detecting redirection activities
CN105099821A (zh) 基于云的虚拟环境下流量监控的方法和装置
US20130219500A1 (en) Network intrusion detection in a network that includes a distributed virtual switch fabric
KR20060013491A (ko) 어택 서명 생성 방법, 서명 생성 애플리케이션 적용 방법, 컴퓨터 판독 가능 기록 매체 및 어택 서명 생성 장치
AU2018301781A1 (en) Cyberanalysis workflow acceleration
US20180131708A1 (en) Identifying Fraudulent and Malicious Websites, Domain and Sub-domain Names
CN104468554A (zh) 基于ip和host的攻击检测方法和装置
CN103546590A (zh) 一种dns服务器的选择方法与装置
CN109088909B (zh) 一种基于商户类型的服务灰度发布方法及设备
US10659335B1 (en) Contextual analyses of network traffic
CN106453436A (zh) 一种网络安全的检测方法和装置
US11374971B2 (en) Deception server deployment
CN103701816A (zh) 执行拒绝服务攻击的服务器的扫描方法和扫描装置
US11983220B2 (en) Key-value storage for URL categorization
CN103036896A (zh) 用于检测恶意链接的方法及***
US11528291B2 (en) Methods and apparatus for defending against exploitation of vulnerable software
CN107623693A (zh) 域名解析防护方法及装置、***、计算设备、存储介质
Desmet et al. Premadoma: An operational solution to prevent malicious domain name registrations in the. eu tld

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20180213