[发明专利]一种进程定位方法、装置、设备及机器可读存储介质

说明书

本公开提供一种进程定位方法、装置、设备及机器可读存储介质，该方法包括：抓取当前启动的进程，获取进程信息并存储进程信息至信息库；抓取待发送报文，解析待发送报文的DNS协议，获取报文关联的域名，根据报文关联的域名是否匹配恶意域名，判断该报文是否是恶意报文；提取恶意报文的五元组信息，根据五元组信息在存储进程信息的信息库中匹配关联的进程。通过本公开的技术方案，抓取网络侧的报文流量，找到匹配恶意域名的恶意报文，以恶意报文的报文五元组信息去匹配当前计算机设备启动的进程的进程信息，从而匹配到恶意进程，使恶意流量与恶意进程得以关联，打通流程，便于排查处理网络安全问题。

技术领域

本公开涉及通信技术领域，尤其是涉及一种进程定位方法、装置、设备及机器可读存储介质。

背景技术

当前，基于安全威胁情报的安全事件检测方法大规模运用在网络安全领域，使得网络安全检测更加便捷和准确。安全威胁情报主要的分类是IP情报，域名情报，URL情报，MD5情报等。基于安全威胁情报的安全事件检测方法的主要原理是通过捕获网络中的流量，识别并且与威胁情报进行匹配。其中域名情报的使用方式是，截取主机的请求的DNS域名请求，再根据已知的黑域名情报库进行匹配，匹配到认为主机具有很大失陷可能。当此类恶意域名请求事情发生后，排查人员第一时间需要对主机进行排查取证，需要找到请求该恶意域名的进程，从而定点判定和清除恶意软件。但这两个过程是隔离的，匹配恶意域名使用的是网络侧的流量，流量中没有具体的进程信息，而主机侧没有域名请求的信息，因而网络侧和主机侧无法关联起来，不能打通整个流程。

发明内容

有鉴于此，本公开提供一种进程定位方法、装置及电子设备、机器可读存储介质，以改善上述恶意流量和恶意进程无法关联的问题。

具体地技术方案如下：

本公开提供了一种进程定位方法，应用于计算机设备，所述方法包括：抓取当前启动的进程，获取进程信息并存储进程信息至信息库；抓取待发送报文，解析待发送报文的DNS协议，获取报文关联的域名，根据报文关联的域名是否匹配恶意域名，判断该报文是否是恶意报文；提取恶意报文的五元组信息，根据五元组信息在存储进程信息的信息库中匹配关联的进程。

作为一种技术方案，所述提取恶意报文的五元组信息，根据五元组信息在存储进程信息的信息库中匹配关联的进程，包括：认为匹配到的关联的进程为恶意进程，输出恶意进程的进程信息。

作为一种技术方案，所述抓取当前启动的进程，获取进程信息并存储进程信息至信息库，包括：为信息库中存储的进程信息设置老化时间，老化存储时间达到老化时间的进程信息。

作为一种技术方案，所述抓取当前启动的进程，获取进程信息并存储进程信息至信息库，包括：按照预设周期，周期性地抓取当前启动的进程，获取进程信息并存储进程信息至信息库。

本公开同时提供了一种进程定位装置，应用于计算机设备，所述装置包括：进程模块，用于抓取当前启动的进程，获取进程信息并存储进程信息至信息库；报文模块，用于抓取待发送报文，解析待发送报文的DNS协议，获取报文关联的域名，根据报文关联的域名是否匹配恶意域名，判断该报文是否是恶意报文；匹配模块，用于提取恶意报文的五元组信息，根据五元组信息在存储进程信息的信息库中匹配关联的进程。

作为一种技术方案，所述提取恶意报文的五元组信息，根据五元组信息在存储进程信息的信息库中匹配关联的进程，包括：认为匹配到的关联的进程为恶意进程，输出恶意进程的进程信息。

作为一种技术方案，所述抓取当前启动的进程，获取进程信息并存储进程信息至信息库，包括：为信息库中存储的进程信息设置老化时间，老化存储时间达到老化时间的进程信息。

作为一种技术方案，所述抓取当前启动的进程，获取进程信息并存储进程信息至信息库，包括：按照预设周期，周期性地抓取当前启动的进程，获取进程信息并存储进程信息至信息库。