[发明专利]一种查找被攻击主机的方法及日志管理服务器

说明书

本发明实施例公开了一种查找被攻击主机的方法及日志管理服务器，涉及通信领域，解决了网络管理人员在查找被攻击的主机的过程中，耗费时间长，准确率低的问题。具体方案为：日志管理服务器接收来自于查询设备的查询请求，并根据接收到的查询请求中包括的第一IP地址和目标事件类型，以及预先存储的所有日志数据，确定目标IP地址，该目标IP地址为被管理主机集合中被攻击的主机使用的IP地址，并向查询设备发送确定出的目标IP地址，以便查询设备接收并显示来自于日志管理服务器的目标IP地址。本发明实施例用于查找被攻击的主机的过程。

技术领域

本发明实施例涉及通信领域，尤其涉及一种查找被攻击主机的方法及日志管理服务器。

背景技术

高级持续性威胁(Advanced Persistent Threat，APT)是一种攻击者对特定被攻击对象进行长期持续性网络攻击的攻击形式。APT攻击的高级性体现在攻击者在发动APT攻击之前需要精确地收集被攻击对象的业务流程信息。在收集业务流程信息的过程中，攻击者会主动分析被攻击对象所使用的应用程序的漏洞，利用这些漏洞实施攻击，以达到窃取被攻击对象的核心资料等非法目的，威胁着作为被攻击对象的企业的数据安全。

为了保护企业的数据安全，在APT场景下，企业网络的管理人员可以通过分析企业网络中所有主机的日志数据，发现被攻击的主机，以便对被攻击的主机采取保护措施，从而避免数据被窃取。

现有技术中至少存在如下问题：查找被攻击的主机要依赖于网络管理人员的个人经验。存在着耗费时间长，准确率低的问题。

发明内容

本发明实施例提供一种查找被攻击主机的方法及日志管理服务器，解决了网络管理人员在查找被攻击的主机的过程中，耗费时间长，准确率低的问题。

为达到上述目的，本发明实施例采用如下技术方案：

第一方面，提供一种查找被攻击主机的方法，包括：

日志管理服务器接收来自于查询设备的查询请求，该查询请求中携带第一IP地址和用于指示URL异常的事件的目标事件类型，且第一IP地址为被管理主机集合中的第一主机的IP地址。日志管理服务器在接收到查询请求之后，根据第一IP地址、目标事件类型和预先存储的所有日志数据，确定被管理主机集合中被攻击的主机使用的IP地址，即目标IP地址，并向查询设备发送目标IP地址。

其中，日志数据以条目的方式保存，每条日志数据包含该条日志数据对应的会话的源IP地址、会话访问的URL，源IP地址是被管理主机集合中的一个主机的IP地址。

本发明实施例提供的查找被攻击主机的方法，在日志管理服务器接收到来自于查询设备的查询请求时，通过根据接收到的查询请求和预先存储的日志数据确定出被攻击的主机使用的IP地址，并向查询设备发送被攻击的主机使用的IP地址。使得在网络管理人员需要查找被攻击的主机时，仅需在查询设备上输入主机的IP地址和目标事件类型，便可以直接查看到被攻击的主机使用的IP地址，进而确定被攻击的主机。解决了网络管理人员在查找被攻击的主机的过程中，耗费时间长，准确率低的问题。

结合第一方面，在第一方面的一种可能的实现方式中，日志管理服务器根据第一IP地址、目标事件类型和预先存储的所有日志数据，确定目标IP地址，具体的可以包括：日志管理服务器从预先存储的所有日志数据中获取至少一条包含的源IP地址为第一IP地址的日志数据，以获得第一日志数据集合。并获取第一日志数据集合中每条日志数据包含的URL，以获得第一URL集合。日志管理服务器还获取第一URL集合中符合目标事件类型的URL，作为恶意URL。此时，日志管理服务器从预先存储的所有日志数据中获取至少一条包含的源IP地址为第二IP地址的日志数据，并在确定至少一条包含的源IP地址为第二IP地址的日志数据中的一条日志数据包括恶意URL时，确定该第二IP地址为目标IP地址。其中，第二IP地址为被管理主机集合中的第二主机的IP地址。