[发明专利]一种基于载荷分析的威胁预测方法、装置及存储设备

权利要求书

1.一种基于载荷分析的威胁预测方法_，其特征在于_：

提取载荷样本；

对所述载荷样本进行分析，判断是否为恶意载荷；

若为恶意载荷，提取所述载荷样本的网络联通关系、脱壳dump及内存dump；

提取所述载荷样本的网络联通关系中的资产IP地址，与资产信息库中的资产IP地址进行对比，若网络联通关系中的资产IP地址包含资产信息库中的资产IP地址，则预测下一步攻击对象为资产信息库中IP地址对应的资产；

否则，将所述载荷样本的脱壳dump及内存dump与资产信息库中的资产域名，机器名，主机域账号名，责任人员姓名、维护人员姓名进行对比，若全部命中，则预测下一步攻击对象为资产信息库中资产域名对应的资产；

否则，将所述载荷样本的脱壳dump及内存dump与敏感词库中的敏感词汇进行对比，若命中，则预测下一步攻击对象为敏感词汇对应的资产，其中敏感词库用于集合描述用户业务的敏感词汇。

2.如权利要求1所述的方法，其特征在于，若预测到下一步攻击对象，则通过邮件、短信以及电话的消息方式通知对应用户。

3.一种基于载荷分析的威胁预测装置，其特征在于，所述装置包括存储器和处理器，所述存储器用于存储多条指令，所述处理器用于加载所述存储器中存储的指令以执行：

提取载荷样本；

对所述载荷样本进行分析，判断是否为恶意载荷；

若为恶意载荷，提取所述载荷样本的网络联通关系、脱壳dump及内存dump；

提取所述载荷样本的网络联通关系中的资产IP地址，与资产信息库中的资产IP地址进行对比，若网络联通关系中的资产IP地址包含资产信息库中的资产IP地址，则预测下一步攻击对象为资产信息库中IP地址对应的资产；

否则，将所述载荷样本的脱壳dump及内存dump与资产信息库中的资产域名，机器名，主机域账号名，责任人员姓名、维护人员姓名进行对比，若全部命中，则预测下一步攻击对象为资产信息库中资产域名对应的资产；

否则，将所述载荷样本的脱壳dump及内存dump与敏感词库中的敏感词汇进行对比，若命中，则预测下一步攻击对象为敏感词汇对应的资产，其中敏感词库用于集合描述用户业务的敏感词汇。

4.如权利要求3所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：

若预测到下一步攻击对象，则通过邮件、短信以及电话的消息方式通知对应用户。

5.一种基于载荷分析的威胁预测装置，其特征在于，包括：

载荷提取模块：用于提取载荷样本；

载荷分析模块：用于对所述载荷样本进行分析；

载荷判断模块：用于判断是否为恶意载荷；

提取模块：若为恶意载荷，用于提取所述载荷样本的网络联通关系、脱壳dump及内存dump；

对比预测模块：用于提取所述载荷样本的网络联通关系中的资产IP地址，与资产信息库中的资产IP地址进行对比，若网络联通关系中的资产IP地址包含资产信息库中的资产IP地址，则预测下一步攻击对象为资产信息库中IP地址对应的资产；

否则，将所述载荷样本的脱壳dump及内存dump与资产信息库中的资产域名，机器名，主机域账号名，责任人员姓名、维护人员姓名进行对比，若全部命中，则预测下一步攻击对象为资产信息库中资产域名对应的资产；

否则，将所述载荷样本的脱壳dump及内存dump与敏感词库中的敏感词汇进行对比，若命中，则预测下一步攻击对象为敏感词汇对应的资产，其中敏感词库用于集合描述用户业务的敏感词汇。

6.一种存储设备，其特征在于，所述存储设备中存储有多条指令，所述指令适于由处理器加载并执行权利要求1-2任一所述的方法的步骤。