公开(公告)号：CN109472138A

公开(公告)日：2019-03-15

申请号：CN201711250085.9

申请日：2017-12-01

Applicant: 北京安天网络安全技术有限公司

Inventor： 关墨辰 ,  李林哲 ,  王小丰 ,  肖新光

IPC: G06F21/56

Abstract: 本发明实施例提供了一种检测snort规则冲突的方法、装置及存储介质，用以判定snort规则之间是否冲突。该方法包括：从获取到的snort规则中提取所述获取到的snort规则的ID字段；按照设定的编码规则，根据提取到的snort规则的ID字段和获取到snort规则的情报源的编码，生成所述获取到的snort规则的编码；其中，生成的snort规则的编码与snort规则是一一对应的；确定生成的所述获取到的snort规则的编码与本地存储的snort规则的编码不同，则所述获取到的snort规则与本地存储的snort规则不冲突。

公开(公告)号：CN109471697A

公开(公告)日：2019-03-15

申请号：CN201711250086.3

申请日：2017-12-01

Applicant: 北京安天网络安全技术有限公司

Inventor： 关墨辰 ,  王永亮 ,  李林哲 ,  王小丰 ,  肖新光

IPC: G06F9/455

Abstract: 本发明实施例提供了一种监控虚拟机中系统调用的方法、装置及存储介质，用以解决目前的监控方法既容易被恶意软件发现和规避又容易影响客户机的稳定性的问题。该方法包括：针对需要监控的虚拟机，从配置文件中读取所述虚拟机对应的描述信息；根据读取出的描述信息，确定所述虚拟机中被监控的进程的内存段；根据确定的内存段中存储的数据，获取被监控的进程的信息；根据获取的被监控的进程的信息，确定当前正在执行的系统调用是由正在运行的被监控的进程发起的系统调用；对当前正在执行的系统调用的相关信息进行处理。

公开(公告)号：CN108881146A

公开(公告)日：2018-11-23

申请号：CN201711471137.5

申请日：2017-12-28

Applicant: 北京安天网络安全技术有限公司

Inventor： 李林哲 ,  关墨辰 ,  王小丰 ,  肖新光

IPC: H04L29/06 ,  H04L29/12

Abstract: 本发明的实施例公开一种域名系统劫持的识别方法、装置、电子设备及存储介质，涉及网络安全领域，能够及时发现对于不在威胁检测库里的DNS劫持威胁，增强威胁检测能力。所述识别方法应用于旁路检测设备，所述识别方法包括：记录用户接收到的与所述用户的域名系统访问对应的第一域名系统应答信息；访问与所述用户的域名系统访问的域名同样的域名，接收与所述访问对应的第二域名系统应答信息；根据所述第一域名系统应答信息和所述第二域名系统应答信息，确定所述用户的域名系统访问是否被劫持，本发明适用于计算机网络安全的防护。

公开(公告)号：CN108881145A

公开(公告)日：2018-11-23

申请号：CN201711439076.4

申请日：2017-12-26

Applicant: 北京安天网络安全技术有限公司

Inventor： 李林哲 ,  张浩 ,  关墨辰 ,  王小丰 ,  肖新光

IPC: H04L29/06 ,  H04L29/08

Abstract: 本发明的实施例公开一种入侵检测规则优化方法、装置、电子设备及存储介质，涉及网络安全技术领域，能够防止来自于非标准端口的网络数据的漏检。所述入侵检测规则优化方法，包括：获取以指定端口为过滤条件的初始的入侵检测规则；确定所述初始的入侵检测规则所对应的底层应用协议；取消指定端口的过滤条件，添加底层应用协议的过滤条件，以生成优化后的入侵检测规则。本发明适用于对入侵检测规则的优化。

公开(公告)号：CN108874658A

公开(公告)日：2018-11-23

申请号：CN201711426404.7

申请日：2017-12-25

Applicant: 北京安天网络安全技术有限公司

Inventor： 李林哲 ,  王永亮 ,  孙博轩 ,  关墨辰 ,  王小丰 ,  肖新光

IPC: G06F11/36

Abstract: 本发明实施例公开一种沙箱分析方法、装置、电子设备及存储介质，涉及信息安全技术领域，能够大大减少样本逃避检测的几率，有效提升沙箱检测能力。所述方法包括：运行输入沙箱的程序样本并监测所述程序样本运行中是否存在创建定时任务的操作；在所述程序样本运行中存在创建定时任务的操作的情况下，触发创建的所述定时任务提前执行。本发明可用于沙箱分析中。

公开(公告)号：CN108366042A

公开(公告)日：2018-08-03

申请号：CN201710224478.6

申请日：2017-04-07

Applicant: 北京安天网络安全技术有限公司

Inventor： 李林哲 ,  张浩 ,  关墨辰 ,  张栗伟

IPC: H04L29/06

Abstract: 本发明提出了一种基于探针的自动流量特征收集方法及系统，通过在终端部署探针进行用户、进程行为识别，并在网络侧部署探针进行流量捕获，并在终端行为与网络流量间建立关联，以此来进行流量特征自动提取与收集，并通过大数据分析得到终端侧操作与网络侧数据的联动关系，以及动态判断历史网络流量特征的有效性。本发明可实现基于终端、网络探针联合的自动化网络流量特征收集；可实现动态收集和维护特征库数据，并能充分保证特征的完整性和准确性。

公开(公告)号：CN106777288A

公开(公告)日：2017-05-31

申请号：CN201611247188.5

申请日：2016-12-29

Applicant: 北京安天网络安全技术有限公司

Inventor： 李林哲 ,  关墨辰 ,  张栗伟

IPC: G06F17/30

Abstract: 本发明公开了一种快速拆分虚拟化磁盘镜像的系统及方法，包括：分区表解析模块，解析目标分区、虚拟化磁盘文件物理地址；磁盘解析模块，基于物理地址判断虚拟化磁盘文件是否在目标分区范围，不在报错退出，在则对虚拟化磁盘文件解析，获取文件分区表和文件分配表；文件分配表提取模块，基于文件分配表判断所述文件分区表中文件是否按原样保存在虚拟化磁盘，记录可被直接提取的文件的文件分配记录；分区解析模块，对目标分区解析，获取目标分区文件分配表位置；冲突解决模块，比对文件分配记录和目标分区中文件名，文件名相同则对文件分配记录文件名修改；文件分配表写入模块，基于目标分区文件分配表，将文件分配记录写入目标分区，并删除原文件。

公开(公告)号：CN304821491S

公开(公告)日：2018-09-18

申请号：CN201730680515.5

申请日：2017-12-29

Applicant: 北京安天网络安全技术有限公司

Designer： 李慧芬 ,  关墨辰 ,  王小丰 ,  肖新光

Abstract: 1．本外观设计产品的名称：带系统配置界面的显示设备。
2．本外观设计产品的用途：本外观设计产品用于运行及演示程序，显示在对用户网络中的文件进行鉴定分析统计时的系统配置的界面；3．本外观设计产品的设计要点：在于屏幕中的图形用户界面的界面内容，显示设备为现有设计。
4．最能表明本外观设计设计要点的图片或照片：主视图。
5．界面说明：界面用途：用于展示在对用户网络中的文件进行鉴定分析统计时的系统配置；界面变化状态图1为初始状态图，界面变化状态图1所示的界面中展示了对文件进行分析鉴定时的分析列队，展示了不同鉴定引擎中等待分析的文件数量和正在分析的文件的数量，另外，可以通过点击界面下方的“正在分析”的标签和“等待分析”的标签，选择仅显示正在分析的文件数量，或仅显示等待分析的文件的数量，还可以选择既显示正在分析的文件数量，也显示等待分析的文件数量；例如，界面变化状态图 1所示的界面中显示了不同鉴定引擎中等待分析的文件数量和正在分析的文件数量；界面变化状态图2所示的界面中仅显示了不同鉴定引擎中正在分析的文件数量；界面变化状态图3所示的界面中仅显示了不同鉴定引擎中等待分析的文件数量；点击界面变化状态图1所示的界面上方的“硬件资源”的标签，跳转至显示系统资源的界面，如界面变化状态图4所示，显示内容包括硬盘使用情况、内存和CPU随时间变化的使用情况，其中，饼图表示了硬盘的使用情况，包括已用空间和可用空间，两条折线图分别表示了内存使用率和CPU使用率，当鼠标悬停到界面中的饼图上或者折线图上的时间点上时，显示鼠标悬停处的具体数据；例如，在界面变化状态图5中鼠标悬停在一条折线图上，显示了鼠标悬停处的内存使用率的具体数据，在界面变化状态图6中鼠标悬停在另一条折线图上，显示了鼠标悬停处的CPU使用率的具体数据，在界面变化状态图7中，鼠标悬停在饼图上，显示了鼠标悬停处的硬盘使用的具体数据。
另外，在显示系统资源的界面中系统资源实时更新，例如界面变化状态图4显示了14:50:30到14:52:00时间段的系统资源，界面变化状态图5显示了14:52:15到14:53:45时间段的系统资源，界面变化状态图6显示了14:54:00到14:55:15时间段的系统资源，界面变化状态图7显示了14:54:15到14:55:45时间段的系统资源。

公开(公告)号：CN305509968S

公开(公告)日：2019-12-24

申请号：CN201930076921.X

申请日：2019-02-26

Applicant: 北京安天网络安全技术有限公司

Designer： 李慧芬 ,  刘闯 ,  关墨辰 ,  肖新光

Abstract: 1．本外观设计产品的名称：带自定义沙箱环境界面的电脑；2．本外观设计产品的用途：本外观设计产品用于显示沙箱环境自定义过程中的配置界面；3．本外观设计产品的设计要点：在于屏幕中的图形用户界面的界面内容，电脑为现有设计。
4．最能表明本外观设计设计要点的图片或照片：主视图。
5．省略视图：由于电脑为现有设计且本外观设计产品的其它面无设计要点，故省略其它视图。
6．界面说明：界面用途：展示用户自定义沙箱环境功能的配置；主视图所示界面为初始界面，在初始界面中，点击“上传”标签，可以选择要上传的软件包，上传过的软件包也可以在界面中显示，如界面变化状态图1所示；在界面变化状态图1中，点击“上传”标签，界面可能切换至界面变化状态图2至界面变化状态图4中的一个；在界面变化状态图1中，可以选择对上传过的软件包一键清理，界面切换至初始界面，也可以选择对上传过的软件包手动清理，界面切换至界面变化状态图5。
在界面变化状态图2中，将光标移动到“创建”标签左侧的对话框并点击，界面切换至界面变化状态图6，选择其中一个，生成一个新的镜像，例如，选择“win7”，界面切换至界面变化状态图7；在界面变化状态图7中，可以选择其中一个镜像删除，例如，选择“WinXP”删除，界面切换至界面变化状态图8。

公开(公告)号：CN304898725S

公开(公告)日：2018-11-16

申请号：CN201730680606.9

申请日：2017-12-29

Applicant: 北京安天网络安全技术有限公司

Designer： 李慧芬 ,  关墨辰 ,  王小丰 ,  肖新光

Abstract: 1．本外观设计产品的名称：带统计分析界面的电脑。
2．本外观设计产品的用途：本外观设计产品用于运行及演示程序，显示用户网络中的文件鉴定分析结果的界面。
3．本外观设计产品的设计要点：在于电脑屏幕中的图形用户界面的界面内容，显示设备为现有设计。
4．最能表明本外观设计设计要点的图片或照片：主视图。
5．界面说明：界面用途：用于展示用户网络中的文件鉴定分析结果；界面变化状态图1为初始状态图，界面中展示了最新发现的恶意文件，最近一段时间内的分析次数及发现威胁的数量、文件类型分布、协议类型分布等，所显示的时间段可以选择，例如，8小时内、最近8天、最近8周；在文件类型分布区域，可以选择显示部分的文件类型；在分析次数区域，显示分析次数以及发现威胁次数；在协议类型分布区域，可以选择显示部分的协议类型；当鼠标悬停在文件类型分布区域、分析次数区域或者协议类型分布区域时，显示鼠标指针悬停处的时间段的详细信息；例如，在界面变化状态图1所示的界面中，显示了最近8周内所检测分析的所有类型的文件的数量，最近8周的具体分析次数和发现威胁的次数，以及最近8周内被检测的所有类型的协议的数量；在界面变化状态图2所示的界面中，显示了9月11日开始的8周内所检测分析的所有类型的文件的数量，以及9月11日开始的八周内的所有类型的协议的具体的被检测次数，以及与鼠标指针悬停处的时间段，即10月9日开始的一周内检测到的协议的具体数量；在界面变化状态图3所示的界面中，显示了最近8周内所检测分析的选定类型（除压缩包和文本以外的文件类型）的文件的数量，以及9月11日开始的八周内的所有类型的协议的具体的被检测次数，以及与鼠标指针悬停处的时间段，即10月2日开始的一周内检测到的选定类型的文件的具体数量；在界面变化状态图4所示的界面中，显示了9月11日开始的8周内所检测分析的选定类型（除图片文件类型）的文件的数量，9月11日开始的8周内的选定类型（除SMTP以外的协议类型）的协议的具体的被检测次数，以及9月11日开始的八周内文件被分析的次数，以及与鼠标指针悬停处的时间段，即10月9日开始的一周内文件被分析的具体次数。
点击界面变化状态图1所示的界面上方的“统计”标签，界面跳转至由界面变化状态图5、界面变化状态图6、界面变化状态图7和界面变化状态图8构成的界面（以下简称为由界面变化状态图5‑8构成的界面），通过拖动右侧的滚动条，该界面依次显示为界面变化状态图5、界面变化状态图6、界面变化状态图7和界面变化状态图8；虽然在界面变化状态图5、界面变化状态图6、界面变化状态图7和界面变化状态图8的右上角均显示了日历区域，但是由界面变化状态图5‑8构成的界面只在右上角有日历区域，只是在滚动条向下移动的过程中，日历区域也随之向下移动，一直显示在右上角；另外，在由界面变化状态图5‑8构成的界面中，用户基于界面上方的标签或者界面右侧显示的日历，可以根据需要查看某天、某月、某年、某时间段的分析次数及发现威胁的数量、文件类型分布、协议类型分布、可执行程序中的木马程序文件类型、蠕虫程序文件类型、威胁文件类型增量分布，以及检测到的威胁名称、次数及所占百分比这些项目中的部分或者全部（具体显示哪些由分析的数据决定）；例如，在界面变化状态图5‑8构成的界面中，展示了最近30天的分析次数及发现威胁的数量、文件类型分布、协议类型分布、可执行程序中的木马程序文件类型、蠕虫程序文件类型、威胁文件类型增量分布，以及检测到的威胁名称、次数及所占百分比；其中，分析次数及发现威胁的数量、文件类型分布、协议类型分布这些区域的交互操作与界面变化状态图1中的相应区域的交互操作相同；另外，当鼠标悬停到界面变化状态图8的右侧的饼图时，显示鼠标指针悬停部分所代表的具体的威胁名称及其检测到的次数占所有检测次数的百分比。