[发明专利]一种基于威胁情报判别仿冒网站的方法

权利要求书

1.一种基于威胁情报判别仿冒网站的方法，其特征在于，包括以下步骤：

(1)将威胁情报库中的域名信息库与网页库中的内容进行相似度比较；

(1.1)对域名情报库中的网站首页页面<title><meta>中的内容进行分析，采用语义分析算法进行识别；提取出相似度高于预设阈值的网站群体，以用于下一步分析；或者，

(1.2)指定目标站点，提取该站点的<title><meta>中的内容，在域名信息库中查找到与其相比相似度高于预设阈值的网站群体，以用于下一步分析；

(2)分析网站群体中各站点的备案主体，对其ICP备案单位进行匹配；

(2.1)确认站点是否已经备案；若未备案，则计入恶意站点；

(2.2)确认站点备案单位的属性，如属于政府机关或事业单位，则排除仿冒可疑；

(2.3)对备案单位中的个人和企业进行分析，如已在威胁情报库中被标记为可疑单位，则计入备案可疑站点；

(2.4)对备案单位的其他站点进行关联分析，如存在其他恶意网站记录，则计入备案可疑站点；

(3)对于备案单位未检测到异常的站点，采用对注册人信息进行关联分析的方式，对注册人信息进行匹配：

(3.1)通过站点注册人反查其历史注册站点，如关联站点曾有恶意网站记录，则计入注册可疑站点；

(3.2)通过站点注册邮箱反查其历史注册站点，如关联站点曾有恶意网站记录，则计入注册可疑站点；

(4)对站点布署地址IP进行分析；

(4.1)如站点的布署地点在境外或港澳台地区，且与备案地点以及网站备案单位所在地不同，则计入布署可疑站点；

(4.2)从布署的IP反查站点，如存在可疑站点，则计入布署可疑站点；

(5)对页面特征进行分析：

(5.1)在页面的全部链接中，如坏链的占比超过预设值，则计入恶意仿冒站点；

(5.2)在页面的全部链接中，如指向外部同一域名地址的链接的占比超过预设值，则计入恶意仿冒站点；

(5.3)在页面内容中，如存在潜在或显示的预设敏感内容的关键词与链接内容，则计入恶意仿冒站点；

(6)对站点的仿冒站点疑似程度进行判断：

依据步骤(2)至(5)的分析结果，采用下述加权算法对站点是否属于仿冒进行综合分析：

ε＝α×ICPD+β×REGD+γ×IPD+δ×PGD

其中，ICPD是指对ICP备案单位进行匹配的结果、REGD是指对注册人信息进行匹配的结果、IPD是指对站点布署地址IP进行分析的结果、PGD是指对页面特征进行分析的结果；ICPD、REGD、IPD、PGD的取值为[0，1]，当匹配或分析结果为负面时取1；系数α、β、γ、δ的取值分别为0.2，0.2，0.3，0.3，当综合得分ε在0.5分以上时，判断为仿冒站点；

(7)在判断为仿冒站点后，在威胁情报库中将该站点的备案单位、注册人、注册邮箱信息、网站地址均打上标签，标记为仿冒站点。

2.根据权利要求1所述的方法，其特征在于，所述步骤(5.3)中的敏感内容是指涉及博彩、医疗广告、色情和游戏的网页内容。