[发明专利]一种恶意URL检测方法及装置

权利要求书

1.一种恶意URL检测方法，其特征在于，包括：

读取并解析待检测日志数据，获得待检测URL；

若判断获知所述待检测URL不在预先配置的黑名单且不在预先配置的白名单中，则将所述待检测URL的哈希值与映射表中的哈希值进行匹配，所述映射表包括已检测的URL的哈希值与告警类型的映射关系；

若判断获知所述待检测URL的哈希值不在所述映射表中，或所述待检测URL对应的告警类型为未知类型，则利用沙箱技术对所述待检测URL对应的待检测日志数据进行恶意URL检测，获得检测结果。

2.根据权利要求1所述的方法，其特征在于，所述利用沙箱技术对所述待检测URL对应的待检测日志数据进行检测，获得检测结果，包括：

获取训练样本，并通过所述训练样本利用沙箱技术对静态沙箱和动态沙箱进行训练；

根据待检测日志数据中的静态数据和所述静态沙箱进行静态分析，获得所述待检测URL的第一分析结果；

根据待检测日志数据对应的动态行为和所述动态沙箱进行动态分析，获得所述待检测URL的第二分析结果，

根据所述第一分析结果和所述第二分析结果获得所述检测结果。

3.根据权利要求1所述的方法，其特征在于，所述方法，还包括：

若根据所述检测结果判断所述待检测URL为恶意URL，则根据所述待检测URL对应的目的IP和资产信息将所述检测结果对应的告警信息进行去重处理，并将去重后的告警信息进行存储。

4.根据权利要求1所述的方法，其特征在于，所述方法，还包括：

将所述待检测URL与所述黑名单和所述白名单进行匹配；

若判断获知所述待检测URL在所述黑名单中，则发出告警信息；

若判断获知所述待检测URL在所述白名单中，则停止对所述待检测URL的检测。

5.根据权利要求1所述的方法，其特征在于，所述将所述待检测URL的哈希值与映射表中的哈希值进行匹配，包括：

将所述待检测URL的哈希值与本地映射表中的哈希值进行匹配，若匹配失败，则将所述待检测URL的哈希值与云端映射表中的哈希值进行匹配。

6.根据权利要求3所述的方法，其特征在于，所述方法，还包括：

预先建立资产表和告警表，将所述待检测日志数据对应的资产信息存入所述资产表中，将所述检测结果对应的告警信息存储到所述告警表中；其中，所述资产表包括源目的IP、源目的端口和已检测URL；所述告警表包括：所述源目的IP、所述已检测URL和恶意类型。

7.根据权利要求1所述的方法，其特征在于，所述方法，还包括：

根据所述待检测日志数据对应的IP地址，判断所述IP地址是否为CDN归属的域名。

8.根据权利要求1所述的方法，其特征在于，所述方法，还包括：

若根据所述检测结果判断所述待检测URL为恶意URL，则对所述待检测URL对应的页面进行截图获得对应的图片，并将所述图片进行存储。

9.根据权利要求1-8任一项所述的方法，其特征在于，所述方法，还包括：

获取所述待检测日志数据的IOC字段，根据本地IOC库和云端IOC库，通过所述待检测日志数据对应的目的IP及URL资产对所述待检测日志数据进行去重处理。

10.一种恶意URL检测装置，其特征在于，包括：

读取模块，用于读取并解析待检测日志数据，获得待检测URL；

第一匹配模块，用于若判断获知所述待检测URL不在预先配置的黑名单且不在预先配置的白名单中，则将所述待检测URL的哈希值与映射表中的哈希值进行匹配，所述映射表包括已检测的URL的哈希值与告警类型的映射关系；

检测模块，用于若判断获知所述待检测URL的哈希值不在所述映射表中，或所述待检测URL对应的告警类型为未知类型，则利用沙箱技术对所述待检测URL对应的待检测日志数据进行恶意URL检测，获得检测结果。