[发明专利]网络攻击处理方法、装置、系统、设备和介质

说明书

本公开提供了一种网络攻击处理方法，涉及信息安全领域。该方法包括：获得溯源信息表，其中，所述溯源信息表包括N条访问信息，其中每条访问信息包括终端设备的设备标识、公网IP地址和公网端口，N大于或等于1；当检测到网络攻击，获取涉及所述网络攻击的公网IP地址和公网端口；根据涉及所述网络攻击的公网IP地址和公网端口，从所述溯源信息表中检索到匹配的公网IP地址和公网端口；根据所述匹配的公网IP地址和公网端口，确定同条访问信息中的设备标识。本公开还提供了一种网络攻击处理装置、设备、存储介质和程序产品。

技术领域

本公开涉及信息安全领域，更具体地，涉及一种网络攻击处理方法、装置、系统、设备、介质和程序产品。

背景技术

一些企业会提供网络服务允许终端设备(如个人终端、移动终端或POS机等)访问内网。当允许访问内网的终端设备失陷，以此作为跳板对企业业务攻击，将会造成较大影响。

因NAT(网络地址转换)协议无法根据公网IP有效定位失陷终端设备，现有的排查方法通常是人工排查接入点日志，但NAT表中会话老化时间(Ageing Time)短，通常难以进行有效排查，无法准确溯源。

发明内容

鉴于上述问题，本公开提供了一种网络攻击处理方法、装置、系统、设备、介质和程序产品。

本公开实施例的一个方面，提供了一种网络攻击处理方法，包括：获得溯源信息表，其中，所述溯源信息表包括N条访问信息，其中每条访问信息包括终端设备的设备标识、公网IP地址和公网端口，N大于或等于1；当检测到网络攻击，获取涉及所述网络攻击的公网IP地址和公网端口；根据涉及所述网络攻击的公网IP地址和公网端口，从所述溯源信息表中检索到匹配的公网IP地址和公网端口；根据所述匹配的公网IP地址和公网端口，确定同条访问信息中的设备标识。

根据本公开的实施例，部署于内网的入侵检测防护设备被配置为检测所述网络攻击，在所述确定同条访问信息中的设备标识之后，所述方法还包括：将所述同条访问信息中的设备标识确定为恶意设备标识；对所述恶意设备标识的访问信息进行指定监控；将所述指定监控到的公网IP地址和公网端口推送至所述入侵检测防护设备，所述入侵检测防护设备被配置为根据推送的公网IP地址和公网端口进行流量阻断。

根据本公开的实施例，所述获得溯源信息表包括：获得第一网络信息表，所述第一网络信息表包括N条第一网络信息，其中每条第一网络信息包括私网IP地址和设备标识；获得第二网络信息表，所述第二网络信息表包括N条第二网络信息，其中每条第二网络信息包括私网IP地址、公网IP地址和公网端口；以具有相同私网IP地址为合并条件，将所述N条第一网络信息与所述N条第二网络信息一一对应地合并，得到所述N条访问信息，形成所述溯源信息表。

根据本公开的实施例，所述对所述恶意设备标识的访问信息进行指定监控包括：指定获取包括所述恶意设备标识的第一网络信息；从指定获取的第一网络信息中提取私网IP地址；指定获取包括所提取出私网IP地址的第二网络信息；将指定获取的第一网络信息和第二网络信息合并，得到攻击防问信息。

根据本公开的实施例，所述对所述恶意设备标识的访问信息进行指定监控包括：指定获取包括所述匹配的公网IP地址的第二网络信息；从指定获取的第二网络信息中提取私网IP地址；指定获取包括提取出私网IP地址的第一网络信息；将指定获取的第一网络信息和第二网络信息合并，得到攻击访问信息。

根据本公开的实施例，在所述确定同条访问信息中的设备标识之后，所述方法还包括：获取所述同条访问信息中的私网IP地址；根据所述同条访问信息中的所述恶意设备标识和私网IP地址得到网络攻击信息，形成网络攻击信息表；其中，所述网络攻击信息还包括网络攻击状态信息，当所述网络攻击状态信息为特定状态时，对所述恶意设备标识的访问信息进行指定监控。

根据本公开的实施例，所述方法还包括：若在第一预定时间段内未检测到网络攻击，更新所述特定状态为第一状态；若所述恶意设备标识涉及的网络攻击威胁解除，更新所述特定状态为第二状态。