[发明专利]一种失陷主机检测方法、装置、设备及介质

权利要求书

1.一种失陷主机检测方法，其特征在于，应用于网络安全设备，包括：

在监听到的DNS流量请求中存在威胁信息的情况下，提取所述DNS流量请求中的目标信息；

利用预设网段IP地址中的追踪IP地址和所述目标信息构造所述DNS流量请求对应的DNS回复报文并将所述DNS回复报文原路返回；所述追踪IP地址为不存在于本地保存的追踪IP地址和DNS域名对应表中的可用的追踪IP地址；

向预设的终端安全应用管理平台发送包括所述追踪IP地址的通知信息，以便所述终端安全应用管理平台向目标终端发送所述追踪IP地址，并根据所述目标终端反馈的查询结果确定出失陷主机，其中，所述查询结果为所述目标终端根据本地已记录的域名和IP地址记录表和所述追踪IP地址确定出的结果。

2.根据权利要求1所述的失陷主机检测方法，其特征在于，所述提取所述DNS流量请求中的目标信息，包括：

提取所述DNS流量请求中的目标信息，其中，所述目标信息包括所述DNS流量请求中的源IP地址、目的IP地址以及DNS域名；

相应地，所述利用预设网段IP地址中的追踪IP地址和所述目标信息构造所述DNS流量请求对应的DNS回复报文，包括：

将所述DNS流量请求中的源IP地址作为所述DNS回复报文中的目的IP地址，所述DNS流量请求中的目的IP地址作为所述DNS回复报文中的源IP地址，所述追踪IP地址及所述DNS域名作为所述DNS回复报文中的预设字段的内容。

3.一种失陷主机检测方法，其特征在于，应用于终端安全应用管理平台，包括：

接收网络安全设备发送的通知信息，其中，所述通知信息包括追踪IP地址，所述追踪IP地址为所述网络安全设备在监听到的DNS流量请求中存在威胁信息的情况下，针对监听到的所述DNS流量请求构造DNS回复报文时利用的预设网段IP地址中的IP地址；所述追踪IP地址为不存在于本地保存的追踪IP地址和DNS域名对应表中的可用的追踪IP地址；

向目标终端发送所述追踪IP地址，以便所述目标终端根据本地已记录的域名和IP地址记录表和所述追踪IP地址确定查询结果；

根据所述目标终端反馈的查询结果确定出失陷主机。

4.根据权利要求3所述的失陷主机检测方法，其特征在于，所述根据所述目标终端反馈的查询结果确定出失陷主机之后，还包括：

接收所述目标终端反馈的失陷主机检测结果；

向所述网络安全设备反馈所述失陷主机检测结果，以便所述网络安全设备根据所述失陷主机检测结果进行相应的处理。

5.一种失陷主机检测方法，其特征在于，应用于目标终端，包括：

接收终端安全应用管理平台在接收到网络安全设备发送的通知信息后发送的追踪IP地址，其中，所述追踪IP地址为所述网络安全设备在监听到的DNS流量请求中存在威胁信息的情况下，针对监听到的所述DNS流量请求构造DNS回复报文时利用的预设网段IP地址中的IP地址；所述追踪IP地址为不存在于本地保存的追踪IP地址和DNS域名对应表中的可用的追踪IP地址；

查询已记录的域名和IP地址记录表是否包括所述追踪IP地址，以确定出查询结果，其中，所述域名和IP地址记录表为所述目标终端对本地接收到的DNS回复报文进行解析并记录得到的；

将所述查询结果反馈给所述终端安全应用管理平台，以便所述终端安全应用管理平台根据所述查询结果确定出失陷主机。

6.根据权利要求5所述的失陷主机检测方法，其特征在于，所述将所述查询结果反馈给所述终端安全应用管理平台之后，还包括：

如果所述域名和IP地址记录表包括所述追踪IP地址，则利用预设进程查询指令和所述追踪IP地址确定威胁进程的进程PID，其中，所述威胁进程为发起所述DNS流量请求的进程；

利用所述进程PID杀死所述威胁进程。