[发明专利]一种基于云的持续更新事件结果与统计信息的系统及方法

说明书

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种基于云的持续更新事件结果与统计信息的系统及方法。

背景技术

随着网络技术的发展，各种网络安全威胁形式逐渐增多，目前URL事件判定方法是即时的，即针对URL事件，依据自身的黑白名单库对URL事件给予判定结果。而这种URL事件判定方法存在一定弊端，其对URL事件判定能力取决于黑白名单库收集是否全面与及时。并且未来的安全威胁多为apt(高级持续威胁)，apt是无法检测和防御的，apt的关键在于在最短时间内发现威胁，而传统的URL事件的检测模型是无法应对apt的。

发明内容

本发明提供一种基于云的持续更新事件结果与统计信息的系统及方法，解决了现有技术中无法判定未知URL事件的问题。

一种基于云的持续更新事件结果与统计信息的系统，包括：客户端设备及云分析系统；

所述客户端设备包括：

URL获取模块，用于客户端循环获取URL事件；

URL处置模块，用于判断所述URL是否能够与白名单或黑名单匹配，如果是，则根据黑名单或白名单进行处置，并将检测结果记录到统计模块，同时更新事件统计列表；否则将所述URL上传到云端分析系统，所述URL的检测结果为待确认，将检测结果记录到统计模块，并更新事件统计列表；

统计模块，用于记录检测结果及事件统计列表；

查询模块，用于按预设时间间隔，向云端分析系统查询所有检测结果为待确认的URL的云端分析结果；判断是否存在URL的云端分析结果，如果存在，则获取云端分析结果，并用所述云端分析结果更新统计模块中对应URL的检测结果及与所述URL相关事件的检测结果，同时更新事件统计列表；如果不存在，则等待下一次查询；

所述云分析系统包括：

获取模块，用于获取客户端引擎装置上传的URL；

分析模块，用于根据所述URL，下载对应文件并进行分析；

记录模块，用于记录分析模块的分析结果，供客户端查询。

所述的系统中，所述的获取的URL事件为用户提交的URL或客户端在网络中捕获的URL。

所述的系统中，所述的事件统计列表为客户端设备及云端分析系统检测到的各事件的统计表。

一种基于云的持续更新事件结果与统计信息的方法，适用于上述系统，包括：

客户端循环获取URL事件；

判断所述URL是否能够与白名单或黑名单匹配，如果是，则根据黑名单或白名单进行处置，并记录检测结果，同时更新事件统计列表；否则将所述URL上传到云端分析系统，所述URL的检测结果为待确认，并记录检测结果，同时更新事件统计列表；

客户端按预设时间间隔，向云端分析系统查询所有检测结果为待确认的URL的云端分析结果；判断是否存在URL的云端分析结果，如果存在，则获取云端分析结果，并用所述云端分析结果更新对应URL的检测结果及与所述URL相关事件的检测结果，同时更新事件统计列表；如果不存在，则等待下一次查询；

所述云分析系统获取客户端引擎装置上传的URL；根据所述URL，下载对应文件并进行分析；记录分析模块的分析结果，供客户端查询。

所述的方法中，所述的获取的URL事件为用户提交的URL或客户端在网络中捕获的URL。

所述的方法中，所述的事件统计列表为客户端设备及云端分析系统检测到的各事件的统计表。

一种基于云的持续更新事件结果与统计信息的方法，适用于上述系统中的客户端设备，包括：

客户端循环获取URL事件；

判断所述URL是否能够与白名单或黑名单匹配，如果是，则根据黑名单或白名单进行处置，并记录检测结果，同时更新事件统计列表；否则将所述URL上传到云端分析系统，所述URL的检测结果为待确认，并记录检测结果，同时更新事件统计列表；

客户端按预设时间间隔，向云端分析系统查询所有检测结果为待确认的URL的云端分析结果；判断是否存在URL的云端分析结果，如果存在，则获取云端分析结果，并用所述云端分析结果更新对应URL的检测结果及与所述URL相关事件的检测结果，同时更新事件统计列表；如果不存在，则等待下一次查询。

所述的方法中，所述的获取的URL事件为用户提交的URL或客户端在网络中捕获的URL。

所述的方法中，所述的事件统计列表为客户端设备及云端分析系统检测到的各事件的统计表。