[发明专利]IP处理方法、装置、介质、电子设备

说明书

本发明涉及网络安全技术领域，公开了一种IP处理方法，其包括有以下步骤：获取恶意攻击IP；对所述恶意攻击IP进行端口扫描，并获得与所述恶意攻击IP对应攻击源的端口信息，其中所述端口信息包括攻击源的开放端口；将所述端口信息存入所述恶意攻击IP的对应指纹字段。该IP处理方法通过分别对恶意攻击IP进行扫描，以获得各个恶意攻击IP对应的端口信息，然后将该端口信息存入恶意攻击IP的对应指纹字段，从而丰富恶意攻击IP的字段信息，进而实现从多个数据维度对恶意攻击IP的字段进行分析。本发明还提供了IP处理装置、电子设备以及计算机可读存储介质。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种IP处理方法、装置、介质、电子设备。

背景技术

随着互联网的迅速发展，网络安全也越来越受到重视。从挖矿程序到勒索病毒，攻击的危害程度不断上升，沦陷后的恢复成本也在不断提高，基于对情报和预先防御的需求，威胁情报也慢慢出现在大众的视野中。

威胁情报是基于一定知识的证据，能对现有或是即将出现的威胁、危险采取某种响应和预警，由此可知，威胁情报的核心是信息的收集与分析。

在威胁情报中，通过蜜罐等信息收集方式，每天都能采集到大量的恶意攻击IP。通过分析其行为等方式能得到一些与IP相关的信息，该信息仅有其行为、样本等。即存在IP字段信息少，导致无法有效、正确地对这些IP根据其特征进行信誉度排名，对溯源、攻击者画像描绘等都造成一定的难度和影响。

发明内容

为了克服现有技术的不足，本发明的目的之一在于提供一种IP处理方法，其增加了IP字段的内容。

本发明的目的之一采用如下技术方案实现：一种IP处理方法，包括：

获取恶意攻击IP；

获取端口信息，对所述恶意攻击IP进行端口扫描，并获得与所述恶意攻击IP对应攻击源的端口信息，其中所述端口信息包括攻击源的开放端口；

将所述端口信息存入所述恶意攻击IP的对应指纹字段。

进一步地，获取恶意攻击IP包括以下步骤：

获取具有恶意攻击行为的IP；

对所述具有恶意攻击行为的IP进行去重，并得到恶意攻击IP。

进一步地，采用Nmap对所述恶意攻击IP进行端口扫描。

进一步地，对所述恶意攻击IP进行端口扫描，还包括以下步骤：

判断所述开放端口是否开放了web服务；

若是，则对开放了web服务的所述开放端口进行二次端口扫描，获取与攻击源对应的二次扫描信息，将所述二次扫描信息存入所述端口信息。

进一步地，所述二次扫描信息包括设备信息、web服务所使用的框架信息。

进一步地，获取设备信息包括：通过所述二次端口扫描，获取与所述web服务对应的Banner信息，所述Banner信息关联有HTTP；

将与Banner信息关联的HTTP与第一规则库进行匹配，若匹配成功，则获取与攻击源对应的设备信息，其中所述第一规则库内预存有HTTP，所述第一规则库内预存的HTTP分别与设备信息对应关联。

进一步地，获取web服务所使用的框架信息包括：

通过所述二次端口扫描，获取与所述web服务对应的答应报文；

将与web服务对应的答应报文与第二规则库匹配，若匹配成功，则获取与攻击源对应的框架信息，其中所述第二规则库内预设有答应报文的特征值，所述第二规则库内预存答应报文的特征值分别与框架信息对应关联。