[發明專利]一種基于網絡數據包檢測惡意代碼的方法和系統

有效

• 申請號: 201110452032.1
• 申請日: 2011-12-30
• 公開（公告）號: CN102769607A
• 公開（公告）日: 2012-11-07
• 發明（設計）人: 肖新光;李柏松;孟雅靜;崔成
• 申請（專利權）人: 北京安天電子設備有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于網絡數據包檢測惡意代碼的方法，其特征在于，包括：

步驟a、在實際要監控的網絡環境中，捕獲網絡連接中的數據包；

步驟b、利用已知的惡意代碼的計算規則，對所捕獲的當前數據包中部分或者全部的數據或者數據格式進行計算，生成動態檢測規則；

步驟c、繼續捕獲網絡連接中的數據包，將與所述當前數據包時序相鄰的數據包作為待檢測數據包，用所述動態檢測規則和與待檢測數據包中部分或者全部的數據或者數據格式進行匹配，如果匹配成功則判斷存在惡意代碼，否則返回步驟b繼續監控。

2.如權利要求1所述的基于網絡數據包檢測惡意代碼的方法，其特征在于，步驟b還包括：使用過濾條件對當前數據包進行過濾，利用已知的惡意代碼的計算規則對符合過濾條件的所述當前數據包中部分或者全部的數據或者數據格式進行計算，生成動態檢測規則。

3.如權利要求2所述的基于網絡數據包檢測惡意代碼的方法，其特征在于，所述過濾條件包括：IP地址、端口、協議類型、數據包的大小。

4.如權利要求2所述的基于網絡數據包檢測惡意代碼的方法，其特征在于，所述過濾條件還包括：預先提取的惡意代碼的通信數據包中相同的數據或者數據格式。

5.如權利要求1所述的基于網絡數據包檢測惡意代碼的方法，其特征在于，步驟c還包括：繼續捕獲網絡連接中的數據包，將與所述當前數據包通訊方向相反、時序相鄰的數據包作為待檢測數據包，用所述動態檢測規則和與待檢測數據包中部分或者全部的數據或者數據格式進行匹配，如果匹配成功則判斷存在惡意代碼，否則返回步驟b繼續監控。

6.如權利要求1或5所述的基于網絡數據包檢測惡意代碼的方法，其特征在于，記錄所述當前數據包的獲取時間并設置時間間隔，繼續捕獲網絡連接中的數據包時對于超過所述時間間隔所捕獲到的數據包不作為待檢測數據包。

7.一種基于網絡數據包檢測惡意代碼的系統，其特征在于，包括：

捕獲模塊，用于在實際要監控的網絡環境中，捕獲網絡連接中的數據包；

動態規則模塊，用于利用已知的惡意代碼的計算規則，對所捕獲的當前數據包中部分或者全部的數據或者數據格式進行計算，生成動態檢測規則；

匹配模塊，用于將捕獲到的與所述當前數據包時序相鄰的數據包或者與所述當前數據包通訊方向相反、時序相鄰的數據包作為待檢測數據包，用所述動態檢測規則和與待檢測數據包中部分或者全部的數據或者數據格式進行匹配，如果匹配成功則判斷存在惡意代碼，否則繼續監控。

8.如權利要求7所述的基于網絡數據包檢測惡意代碼的系統，其特征在于，還包括過濾模塊，用于設置過濾條件，所述過濾條件包括：IP地址、端口、協議類型、數據包的大小以及預先提取的惡意代碼的通信數據包中相同的數據或者數據格式。

9.如權利要求7所述的基于網絡數據包檢測惡意代碼的系統，其特征在于，匹配模塊具體還用于記錄所述當前數據包的獲取時間并設置時間間隔，對于超過所述時間間隔所捕獲到的數據包不作為待檢測數據包。