公开(公告)号：CN109474568A

公开(公告)日：2019-03-15

申请号：CN201711419692.3

申请日：2017-12-25

Applicant: 北京安天网络安全技术有限公司

Inventor： 邢宝玉 ,  李柏松 ,  王小丰

IPC: H04L29/06

Abstract: 本发明提出一种针对利用域前置技术实现恶意攻击的检测方法及系统，所述方法通过设置终端TLS协议数据报文过滤条件，对数据流进行监控，获得进程PID信息和SNI信息；利用钩子程序对特定进程的流量进行监控，并提取构造的HTTP报文数据的HOST消息，将HOST字段与SNI字段比较，如果返回值为真，则恢复所述进程，否则阻断该进程并发出告警信息。本发明还给出对应系统。通过本发明的技术方案可以提供在终端的检测，避免由于使用HTTPS加密数据而难以检测恶意流量信息。

公开(公告)号：CN116305290A

公开(公告)日：2023-06-23

申请号：CN202310546715.6

申请日：2023-05-16

Applicant: 北京安天网络安全技术有限公司

Inventor： 邢宝玉 ,  白淳升 ,  肖新光

IPC: G06F21/62 ,  G06F21/64 ,  G06F21/60 ,  G06F16/18 ,  G06F16/182

Abstract: 本发明提供了一种系统日志安全检测方法及装置、电子设备及存储介质，该方法包括：响应于目标日志文件的文件头信息内的文件校验和发生改变，从目标日志文件包含的若干原始数据块中确定出至少一个目标数据块；获取目标事件记录信息的当前摘要信息以及历史摘要信息；目标事件记录信息为目标数据块中包含的事件记录信息；若任意目标事件记录信息对应的当前摘要信息和历史摘要信息存在差异，则输出报警提示。本发明在系统日志内容校验算法的基础上，通过记录校验和以及目标日志文件的摘要信息的对比，来检测目标日志文件是否存在被篡改的情况，与现有的日志防篡改技术相比，可以在保护日志的完整性的同时，对目标日志文件进行安全检测。

公开(公告)号：CN109474568B

公开(公告)日：2021-09-28

申请号：CN201711419692.3

申请日：2017-12-25

Applicant: 北京安天网络安全技术有限公司

Inventor： 邢宝玉 ,  李柏松 ,  王小丰

IPC: H04L29/06

Abstract: 本发明提出一种针对利用域前置技术实现恶意攻击的检测方法及系统，所述方法通过设置终端TLS协议数据报文过滤条件，对数据流进行监控，获得进程PID信息和SNI信息；利用钩子程序对特定进程的流量进行监控，并提取构造的HTTP报文数据的HOST消息，将HOST字段与SNI字段比较，如果返回值为真，则恢复所述进程，否则阻断该进程并发出告警信息。本发明还给出对应系统。通过本发明的技术方案可以提供在终端的检测，避免由于使用HTTPS加密数据而难以检测恶意流量信息。