[发明专利]威胁数据处理的方法、设备、系统和介质

权利要求书

1.一种威胁数据处理的方法，其特征在于，方法包括：

获取第一白名单和第二白名单，其中，所述第一白名单包含已注册的正规DGA域名，所述第二白名单包含正规厂商的域名；

更新所述第一白名单和第二白名单，并定时将更新后的所述第一白名单和第二白名单传输至检测平台；

所述检测平台对待处理数据进行匹配检测，当所述待处理数据与所述第一白名单和第二白名单不匹配时，若所述待处理数据访问恶意网站，将所述待处理数据的检测结果发送至显示终端，否则，将所述待处理数据加入所述第二白名单；

将所述待处理数据分别与所述第一白名单和第二白名单进行匹配检测，若所述待处理数据在所述第一白名单和/或在所述第二白名单时，丢弃所述待处理数据，否则，若所述待处理数据不在所述第一白名单和所述第二白名单中，根据不同类型的待处理数据进行分类检测并记录检测结果；

其中，所述待处理数据的类型包括TPD、DGA或CC中的至少一种，判断所述待处理数据的类型的方法包括：

通过解析出二级域名到数据库中的查询结果，确定所述待处理数据是否为TPD类型；根据ioc类型的返回值，确定所述待处理数据是否为CC类型；根据标签，确定所述待处理数据是否为DGA类型；

其中，所述将所述待处理数据的检测结果发送至显示终端还包括：

对所述检测结果进行聚合及关联处理，并将处理后的所述检测结果发送至所述显示终端；

所述显示终端的显示信息包括所述检测结果、恶意家族信息及类型信息。

2.根据权利要求1所述的威胁数据处理的方法，其特征在于，所述方法还包括：

对所述待处理数据进行分类，根据分类结果将所述待处理数据存储至数据库，并对所述待处理数据建立索引。

3.根据权利要求1所述的威胁数据处理的方法，其特征在于，所述第一白名单为DGA白名单，所述第二白名单为top 10w白名单。

4.根据权利要求1所述的威胁数据处理的方法，其特征在于，所述检测结果为一种及以上的威胁指标信息。

5.一种威胁数据处理的电子设备，其特征在于，包括：

处理器；

存储器，其存储有计算机可执行程序，所述程序在被所述处理器执行时，使得所述处理器执行如权利要求1-4中威胁数据处理的方法。

6.一种威胁数据处理的系统，其特征在于，所述威胁数据处理的系统包括：

获取模块，获取第一白名单和第二白名单，其中，所述第一白名单包含已注册的正规DGA域名，所述第二白名单包含正规厂商的域名；

更新模块，更新所述第一白名单和第二白名单，并定时将更新后的所述第一白名单和第二白名单传输至检测平台；

匹配检测模块，所述检测平台对待处理数据进行匹配检测，当所述待处理数据与所述第一白名单和第二白名单不匹配时，若所述待处理数据访问恶意网站，将所述待处理数据的检测结果发送至显示终端，否则，将所述待处理数据加入所述第二白名单；将所述待处理数据分别与所述第一白名单和第二白名单进行匹配检测，若所述待处理数据在所述第一白名单和/或在所述第二白名单时，丢弃所述待处理数据，否则，若所述待处理数据不在所述第一白名单和所述第二白名单中，根据不同类型的待处理数据进行分类检测并记录检测结果；

其中，所述待处理数据的类型包括TPD、DGA或CC中的至少一种，判断所述待处理数据的类型的方法包括：

通过解析出二级域名到数据库中的查询结果，确定所述待处理数据是否为TPD类型；根据ioc类型的返回值，确定所述待处理数据是否为CC类型；根据标签，确定所述待处理数据是否为DGA类型；

其中，所述将所述待处理数据的检测结果发送至显示终端还包括：

对所述检测结果进行聚合及关联处理，并将处理后的所述检测结果发送至所述显示终端；

所述显示终端的显示信息包括所述检测结果、恶意家族信息及类型信息。

7.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-4中威胁数据处理的方法。