[发明专利]一种基于IP地址画像的装置

摘要

一种基于IP地址画像的装置涉及信息技术领域的信息安全技术，本发明由数据采集器、数据挖掘器、多维画像器组成；数据采集器由数据获取模块、数据清洗模块、数据格式化模块组成；数据挖掘器由关联分析模块、数据建模模块组成；多维画像器由标签匹配模块、多维画像模块组成；使用本发明的装置可以通过聚合多个数据源，打破数据孤岛，形成一个针对IP地址的360度视觉，包括他们行为和事件的实时分析，形成对IP地址的精准、丰富的画像。

主权项

一种基于IP地址画像的装置，其特征在于由数据采集器、数据挖掘器、多维画像器组成；数据采集器由数据获取模块、数据清洗模块、数据格式化模块组成；数据挖掘器由关联分析模块、数据建模模块组成；多维画像器由标签匹配模块、多维画像模块组成；数据获取模块由IP备案数据获取模块、爬虫数据获取模块、域名注册信息获取模块、IP接入数据获取模块、域名解析数据获取模块、DNS日志数据获取模块、网站备案数据获取模块、违法违规及黑名单网站数据获取模块、网络安全事件获取模块、诈骗网站信息获取模块、恶意网站信息获取模块组成；IP备案数据获取模块的功能是通过接口方式获得IP地址所属接入单位、使用单位、分配来源、接入网站等；爬虫数据获取模块的功能是通过网络爬虫可以获取网站内容数据，并对内容进行分类，获取网站所属行业信息；域名注册信息获取模块的功能是通过离线方式获得域名注册信息，例如注册时间、过期时间、注册人等；IP接入数据获取模块的功能是通过离线方式IP接入网站、接入商、接入机房等信息；域名解析数据获取模块的功能是通过离线方式获得域名权威解析信息，例如IP地址、解析状态、托管开始时间等；DNS日志数据获取模块的功能是通过在DNS节点部署探针，对流量进行镜像，采集UDP协议的响应包，并从数据中提取DNS六元组信息，DNS六元组信息包括：CNAME，源IP，目的IP，解析IP，Domain，访问时间；网站备案数据获取模块的功能是通过离线方式获得网站备案单位名称、地址、备案状态等信息；违法违规及黑名单网站数据获取模块的功能是通过接口方式获得违法违规及黑名单网站信息；网络安全事件获取模块的功能是通过接口方式获得存在网络安全问题的网站列表信息；诈骗网站信息获取模块的功能是通过接口方式获得目前已知的诈骗网站列表；恶意网站信息获取模块的功能是通过接口方式获得恶意网站信息列表；数据清洗模块的功能是利用大数据技术将采集到的数据进行清洗降噪，去除残缺数据、错误数据和重复数据；数据格式化模块的功能是将采集到的数据进行格式化，以统一格式进行存储，例如：统一使用文本格式数据，例如：统一使用XML格式数据，例如：统一使用JSON格式数据，统一数据格式为方便大数据处理的数据类型，并且对字段进行规整；数据挖掘器的关联分析模块将经过数据格式化模块处理后的数据进行关联分析，在形成完整的IP地址信息库的同时得出IP地址上接入的网站列表；数据挖掘器的数据建模模块通过域名注册数据获知网站最新的状态，是正常状态、禁止解析状态或者停止状态；通过域名注册数据获知网站年龄、域名是否频繁更换域名注册服务商；通过权威解析数据可以得知网站解析状态是否正常、域名是否频繁更换权威解析服务商；通过DNS日志数据，可以分析出网站访问量信息、网站流量异常信息、网站存活时间；通过备案数据获知网站备案状态，如果网站未备案，则违规风险较高；违法违规及黑名单网站数据，与网站信息库进行比对，发现网站的违规历史记录；通过将诈骗信息库与网站信息库比对，发现网站是否曾经存在诈骗行为；通过将恶意网站库与网站信息库进行比对，发现网站是否存在恶意行为；通过网络安全时间信息库与网站信息库进行比对，发现网站是否存在安全事件；通过IP地址接入数据，了解IP地址所在接入商、接入机房、接入网站等信息；通过爬虫数据对内容进行爬取，再结合网站分类技术，对网站所属行业进行归类，并分析网站是否存在挂马；数据建模模块根据IP地址上接入网站的网站状态、解析状态、网站年龄、网站注册商变化频度、网站接入商变化频度、网站权威解析商变化频度、网站备案状态、网站诈骗史、网站违规史、网站是否进入黑名单、网站是否存在恶意行为、网站接入信息和注册人信息真实性、IP地址所属单位/个人信用历史等作为输入进行建模，形成IP地址的综合信用指数；数据建模模块对IP地址上接入网站的访问量信息进行排名，同时结合网站存活时间、网站年龄等作为输入，形成IP地址的影响力指数；多维画像器的标签匹配模块将数据挖掘器的数据建模模块得到的结果，作为IP地址特征标签进行标记，特征标签包括：IP地址的所属单位/个人、接入商、接入网站、接入机房、所属行业、网站状态、网站年龄、网站注册商变化轨迹、权威解析商变化轨迹、接入商变化轨迹、访问量信息、流量变化情况、流量是否存在异常、是否存在安全事件、网站备案状态、网站所属单位、是否存在诈骗、是否存在违规行为、是否进入黑名单、是否存在恶意行为、IP所属单位/个人信用指数、违规历史；多维画像器的多维画像模块综合特征标签以及综合信用指数、影响力指数，形成对IP地址的全方位画像。