[發(fā)明專利]一種移動互聯(lián)網中僵尸木馬防護方法及其系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201210009443.8
• 申請日: 2012-01-13
• 公開（公告）號: CN102571796A
• 公開（公告）日: 2012-07-11
• 發(fā)明（設計）人: 曾金全
• 申請（專利權）人: 電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 泰和泰律師事務所 51219
• 代理人: 曾祥坤

1.一種移動互聯(lián)網中僵尸木馬防護方法，其特征在于，包括如下步驟：

步驟S1，捕獲移動互聯(lián)網用戶上網網絡數(shù)據(jù)包；

步驟S2，利用移動僵尸木馬特征碼和／或移動僵尸木馬行為特征模型進行移動僵尸木馬的檢測；

步驟S3，利用移動僵尸木馬活動特征碼和／或移動僵尸木馬行為活動特征模型進行移動僵尸木馬活動的檢測；

步驟S4，對發(fā)現(xiàn)的移動僵尸木馬和移動僵尸木馬活動進行告警和防護處理。

2.如權利要求1所述的一種移動互聯(lián)網中僵尸木馬防護方法，其特征在于，所述的進行移動僵尸木馬檢測的步驟包括：

步驟S21，接收網絡數(shù)據(jù)包；

步驟S22，利用移動僵尸木馬特征碼庫判斷網絡數(shù)據(jù)包是否與已知移動僵尸木馬特征相匹配，如果網絡數(shù)據(jù)包與已知移動僵尸木馬特征相匹配，則結束步驟S2，如果網絡數(shù)據(jù)包與已知移動僵尸木馬特征不匹配，則轉到步驟S23；

步驟S23，進行移動僵尸木馬行為特征的檢測，如果檢測到移動僵尸木馬行為，則轉到步驟S24，如果沒有檢測到移動僵尸木馬行為，則結束步驟S2；

步驟S24，將檢測到的移動僵尸木馬行為添加到移動僵尸木馬行為特征庫中；

步驟S25，判斷移動僵尸木馬行為特征庫中的行為特征是否匹配移動僵尸木馬行為模型，如果移動僵尸木馬行為特征庫中的行為特征匹配移動僵尸木馬行為模型，則轉到步驟S26，如果移動僵尸木馬行為特征庫中的行為特征不匹配移動僵尸木馬行為模型，則結束步驟S2；移動僵尸木馬行為模型為

，

其中，為命令與控制通道的權重；為是否檢測到移動僵尸木馬隱藏命令與控制通道的檢測函數(shù)，如果成功檢測到移動僵尸木馬隱藏命令與控制通道其值為1，否則為0；為檢測到的惡意事件，如果檢測到惡意事件其值為1，否則為0；為權重；

步驟S26，將成功檢測到的移動僵尸木馬添加到移動僵尸木馬庫中；

步驟S27，將成功檢測到的移動僵尸木馬進行告警。

3.如權利要求2所述的一種移動互聯(lián)網中僵尸木馬防護方法，其特征在于，所述的移動僵尸木馬行為特征的檢測包括對移動僵尸木馬隱藏命令與控制通道的檢測和／或對移動僵尸木馬活動特征的檢測。

4.如權利要求3所述的一種移動互聯(lián)網中僵尸木馬防護方法，其特征在于，所述的移動僵尸木馬隱藏命令與控制通道的檢測采用特征碼檢測和／或行為檢測的檢測方法。

5.如權利要求3所述的一種移動互聯(lián)網中僵尸木馬防護方法，其特征在于，所述的移動僵尸木馬活動特征的檢測采用特征碼檢測和／或異常網絡數(shù)據(jù)流檢測的檢測方法。