[发明专利]一种网络验伤方法及设备

权利要求书

1.一种网络验伤方法，应用于验伤服务器，其特征在于，包括：

获取网络安全设备生成的恶意流量信息；所述恶意流量信息，用于确定所述网络安全设备从进出目标网络的数据流量中检测出的恶意流量；

获取所述目标网络中处理所述恶意流量的目标终端设备的事件记录；所述事件记录中包括所述目标终端设备的操作记录以及进出所述目标终端设备的网络数据包记录；

在所述事件记录查找与所述恶意流量相关的目标记录；

根据所述目标记录，确定所述恶意流量的威胁等级。

2.根据权利要求1所述网络验伤方法，其特征在于，在确定所述恶意流量的威胁等级之后，所述方法还包括：

若所述恶意流量的威胁等级符合预设条件，则向所述目标终端设备发送修复指令；所述修复指令，用于指示所述目标终端设备修复处理所述恶意流量所执行的相应操作。

3.根据权利要求1所述网络验伤方法，其特征在于，所述获取所述目标网络中处理所述恶意流量的目标终端设备的事件记录，具体包括：

周期获取所述目标网络中各终端设备的事件记录；

根据所述恶意流量信息，从所述各终端设备的事件记录中选出所述目标终端设备的事件记录；其中，所述恶意流量信息中包含所述目标终端设备的标识。

4.根据权利要求1所述网络验伤方法，其特征在于，若所述恶意流量为恶意文件，则所述根据所述目标记录，确定所述恶意流量的威胁等级，具体包括：

根据所述目标记录，确定所述恶意流量在所述目标终端设备上的活跃进程、自启动项以及所述恶意文件的关联恶意文件的进程、所述恶意文件的关联恶意访问地址的关联进程；

根据所述网络安全设备对所述恶意文件的检测结果，生成第一评分结果；

根据所述恶意流量在所述目标终端设备上的活跃进程以及自启动项，生成第二评分结果；

根据所述恶意文件是否有数字签名，生成第三评分结果；

根据所述恶意文件是否为网络下载，生成第四评分结果；

根据所述目标终端设备上是否运行有所述恶意文件的关联恶意文件的进程，以及是否运行有所述恶意文件的关联恶意访问地址的关联进程，生成第五评分结果；

根据所述第一评分结果、所述第二评分结果、所述第三评分结果、所述第四评分结果、所述第五评分结果，确定所述恶意流量的威胁等级。

5.根据权利要求1所述网络验伤方法，其特征在于，若所述恶意流量为传输对端是恶意访问地址的数据，则所述根据所述目标记录，确定所述恶意流量的威胁等级，具体包括：

根据所述目标记录，确定与所述恶意访问地址进行通讯的活跃进程、在所述目标终端设备上运行的所述恶意访问地址的关联恶意文件的进程，以及所述恶意访问地址的关联恶意访问地址的关联进程；

根据所述网络安全设备对所述恶意访问地址的检测结果，生成第六评分结果；

根据所述目标终端设备与所述恶意访问地址进行通讯的活跃进程，生成第七评分结果；

根据所述目标终端设备上是否运行有所述恶意访问地址的关联恶意文件的进程，以及是否运行有所述恶意访问地址的关联恶意访问地址的关联进程，生成第八评分结果；

根据所述第六评分结果、所述第七评分结果、所述第八评分结果，确定所述恶意流量的威胁等级。

6.一种验伤服务器，其特征在于，包括：

获取单元，用于获取网络安全设备生成的恶意流量信息；所述恶意流量信息，用于确定所述网络安全设备从进出目标网络的数据流量中检测出的恶意流量；

所述获取单元，还用于获取所述目标网络中处理所述恶意流量的目标终端设备的事件记录；所述事件记录中包括所述目标终端设备的操作记录以及进出所述目标终端设备的网络数据包记录；

查询单元，用于在所述事件记录查找与所述恶意流量相关的目标记录；

等级确定单元，用于根据所述目标记录，确定所述恶意流量的威胁等级。