[发明专利]网络安全分析处置方法及系统

权利要求书

1.网络安全分析处置方法，应用于一局域网，其特征在于：所述局域网内设置有网络防火墙和主机防火墙，所述网络防火墙设置在网络层，所述主机防火墙设置在电脑终端，包括根据重要程度将所述电脑终端分为I类电脑终端和II类电脑终端；

在网络防火墙中添加域名黑名单，所述域名黑名单用于网络层的访问控制，在I类电脑终端中添加域名白名单，所述域名白名单用于I类电脑的访问控制，在II类电脑终端中添加域名黑名单和域名白名单，所述域名黑名单和域名白名单用于II类电脑终端进行恶意域名分析，并根据恶意域名分析结果进行II类电脑终端的访问控制；

根据所述恶意域名分析结果，更新所述域名黑名单和域名白名单。

2.根据权利要求1所述的网络安全分析处置方法，其特征在于：所述域名黑名单和域名白名单用于II类电脑终端进行恶意域名分析，具体包括

提取域名黑名单和域名白名单中每个样本的特征数据，作为数据样本；

提取待测域名的特征数据，加入样本数据中进行聚类分析；

根据聚类分析结果，得到待测域名所在的簇，以待测域名为圆心，以R为半径做圆，得到N个域名，如果N个域名中非恶意域名的个数大于M，则判定待测域名为非恶意域名。

3.根据权利要求2所述的网络安全分析处置方法，其特征在于：还包括

如果N个域名中非恶意域名的个数在M个以内，则判定为恶意域名。

4.根据权利要求3所述的网络安全分析处置方法，其特征在于：还包括

保存恶意域名检测报告、并进行显示，向用户提供用于人工审核的控件一；

接收用户通过所述控件一发出的审核结果一；

如果审核结果一表明该域名为非恶意域名，将该域名加入域名白名单。

5.根据权利要求2所述的网络安全分析处置方法，其特征在于：每个样本的特征数据包括内部特征和外部特征，内部特征包括域名是否随机生成、每日请求次数和平均TTL值，外部特征包括IP地址所属的ASN的数量、注册国家。

6.根据权利要求1所述的网络安全分析处置方法，其特征在于：所述域名黑名单用于网络层的访问控制，具体为：

所有在域名黑名单之内的域名访问被拦截，所有在域名黑名单之外的域名访问被允许。

7.根据权利要求1所述的网络安全分析处置方法，其特征在于：所述域名白名单用于I类电脑的访问控制，具体为：

所有在域名白名单之内的域名访问被允许，所有在域名白名单之外的域名访问被拦截。

8.根据权利要求1所述的网络安全分析处置方法，其特征在于：还包括

网络防火墙和I类电脑终端的主机防火墙输出拦截记录，并向用户提供用于人工审核的控件二；

接收用户通过所述控件二发出的审核结果二；

根据审核结果二，更新所述域名黑名单和域名白名单。

9.网络安全分析处置系统，应用于一局域网，其特征在于：所述局域网内设置有网络防火墙和主机防火墙，所述网络防火墙设置在网络层，所述主机防火墙设置在电脑终端，包括

第一分类单元，用于根据重要程度将所述电脑终端分为I类电脑终端和II类电脑终端；

第一处理单元，用于在网络防火墙中添加域名黑名单，所述域名黑名单用于网络层的访问控制，在I类电脑终端中添加域名白名单，所述域名白名单用于I类电脑的访问控制，在II类电脑终端中添加域名黑名单和域名白名单，所述域名黑名单和域名白名单用于II类电脑终端进行恶意域名分析，并根据恶意域名分析结果进行II类电脑终端的访问控制；

第二处理单元，根据所述恶意域名分析结果，更新所述域名黑名单和域名白名单。

10.网络安全分析处置系统，其特征在于：包括

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序实现如权利要求1-8任一项所述的网络安全分析处置方法的步骤。