[發明專利]惡意遠程過程調用行為的檢測方法和裝置

有效

• 申請號: 201110449688.8
• 申請日: 2011-12-29
• 公開（公告）號: CN102438023A
• 公開（公告）日: 2012-05-02
• 發明（設計）人: 蔣武;周瑩瑩
• 申請（專利權）人: 成都市華為賽門鐵克科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種惡意遠程過程調用RPC行為的檢測方法，其特征在于，包括：

在客戶機向服務器查詢RPC服務對應的高位端口時，記錄該客戶機請求的所有RPC服務的UUID；

在RPC過程中，對所述客戶機與服務器之間會話連接中所傳輸的數據包進行解析，獲得所述會話連接上承載的RPC流；

根據所述記錄的UUID和RPC流，獲得與所述RPC過程相關的所有UUID；

判斷獲得的所有UUID中的每個UUID是否符合策略庫中預定的控制策略，以此檢測客戶機是否執行了惡意RPC行為。

2.如權利要求1所述的方法，其特征在于，所述獲得所述數據包上承載的RPC流之前，還包括：

根據記錄所述UUID時的先后順序，得到記錄的每個UUID對應的順序號，并保存UUID和順序號的對應關系；

所述根據所述記錄的UUID和RPC流，獲得與所述RPC過程相關的所有UUID，包括：

從所述RPC流中解析出攜帶的每個RPC服務的順序號；

對于每個解析出的順序號，在所述對應關系中查找對應的UUID，從而獲得與所述RPC過程相關的所有UUID。

3.如權利要求1所述的方法，其特征在于，所述判斷獲得的所有UUID中的每個UUID是否符合策略庫中預定的控制策略，包括：

對獲得的與所述RPC過程相關的所有UUID進行篩選，去除其中所述服務器不支持的RPC服務的UUID；

通過查詢策略庫，判斷篩選保留的每個UUID是否符合預定的控制策略。

4.如權利要求1至3中任一所述的方法，其特征在于，所述策略庫中包括正常控制策略或異常控制策略，所述正常控制策略包含正常的RPC行為相關的UUID、所述異常控制策略包括惡意RPC行為相關的UUID；

所述判斷各UUID是否符合策略庫中預定的控制策略，以此檢測客戶機是否執行了惡意RPC行為，包括：

判斷各UUID是否符合策略庫中的正常控制策略，若不符合所述正常控制策略，則確定所述客戶機執行了惡意RPC行為；或/和

判斷各UUID是否符合策略庫中的異常控制策略，若符合所述惡意控制策略，則確定所述客戶機執行了惡意RPC行為。

5.如權利要求2所述的方法，其特征在于，所述根據所述記錄的UUID和RPC流，獲得與所述RPC行為相關的所有UUID后，還包括：

從所述RPC流中解析出攜帶的每個RPC服務的順序號和操作符的組合；

對于每個所述組合，根據其中的順序號在所述對應關系中查找對應的UUID，從而獲得與所述RPC過程相關的所有UUID與操作符的組合。

6.如權利要求5所述的方法，其特征在于，所述通過查詢策略庫，確定各UUID是否符合預定的控制策略，包括：

對獲得的每個UUID、以及每個UUID與操作符的組合進行篩選，去除其中所述服務器不支持的RPC服務的UUID、和不支持的RPC服務的UUID與操作符的組合；

通過查詢策略庫，判斷篩選保留的每個UUID、每個UUID與操作符的組合是否符合預定的控制策略。

7.如權利要求1、2、3、5或6任一所述的方法，其特征在于，所述檢測客戶機執行了惡意RPC行為之后，還包括：

阻斷所述惡意RPC行為對應的數據包。

8.一種惡意RPC行為的檢測裝置，其特征在于，包括：

記錄模塊，用于在客戶機向服務器查詢RPC服務對應的高位端口時，記錄該客戶機請求的所有RPC服務的UUID；

解析模塊，用于在RPC過程中，對所述客戶機與服務器之間會話連接中所傳輸的數據包進行解析，獲得所述會話連接上承載的RPC流；

獲取模塊，用于根據記錄模塊記錄的UUID和解析模塊獲得的RPC流，獲得與所述RPC過程相關的所有UUID；

檢測模塊，用于判斷獲取模塊獲得的所有UUID中的每個UUID是否符合策略庫中預定的控制策略，以此檢測客戶機是否執行了惡意RPC行為。