[發(fā)明專利]一種識(shí)別程序的網(wǎng)絡(luò)行為是否異常的方法、裝置及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201210189695.3
• 申請(qǐng)日: 2012-06-08
• 公開(kāi)（公告）號(hào): CN102694817A
• 公開(kāi)（公告）日: 2012-09-26
• 發(fā)明（設(shè)計(jì)）人: 劉海粟;張聰;熊昱之
• 申請(qǐng)（專利權(quán)）人: 奇智軟件（北京）有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 北京市德權(quán)律師事務(wù)所 11302
• 代理人: 劉麗君

1.一種識(shí)別程序的網(wǎng)絡(luò)行為是否異常的方法，其特征在于，包括：

在程序訪問(wèn)網(wǎng)絡(luò)的過(guò)程中，監(jiān)控所述程序的當(dāng)前網(wǎng)絡(luò)行為；

告知服務(wù)器所述當(dāng)前網(wǎng)絡(luò)行為所屬的程序；

查找所述當(dāng)前網(wǎng)絡(luò)行為所屬的程序的已知正常網(wǎng)絡(luò)行為；

將所述程序的當(dāng)前網(wǎng)絡(luò)行為與所述程序的已知正常網(wǎng)絡(luò)行為進(jìn)行對(duì)比；

根據(jù)所述對(duì)比結(jié)果，識(shí)別所述程序的當(dāng)前網(wǎng)絡(luò)行為是否異常。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，還包括：

服務(wù)器接收客戶端發(fā)送的所述程序的屬性信息，根據(jù)所述程序的屬性信息確定所述程序是否屬于特定類別；

如果屬于特定類別，則指示客戶端告知所述程序的當(dāng)前網(wǎng)絡(luò)行為所屬的程序。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述特定類別具體包括：

當(dāng)前一定時(shí)間段內(nèi)容易受到病毒攻擊的程序類別和/或容易被病毒利用的程序類別。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述告知服務(wù)器所述當(dāng)前網(wǎng)絡(luò)行為所屬的程序包括：

向服務(wù)器發(fā)送所述當(dāng)前網(wǎng)絡(luò)行為的信息以及所述當(dāng)前網(wǎng)絡(luò)行為所屬程序的標(biāo)識(shí)。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述向服務(wù)器發(fā)送所述當(dāng)前網(wǎng)絡(luò)行為的信息以及所述當(dāng)前網(wǎng)絡(luò)行為所屬的程序的標(biāo)識(shí)包括：

為所述程序的當(dāng)前網(wǎng)絡(luò)行為的信息添加網(wǎng)絡(luò)防御標(biāo)簽，所述網(wǎng)絡(luò)防御標(biāo)簽包括所述當(dāng)前網(wǎng)絡(luò)行為所屬的程序的標(biāo)識(shí)；

向服務(wù)器發(fā)送帶有所述網(wǎng)絡(luò)防御標(biāo)簽的當(dāng)前網(wǎng)絡(luò)行為的信息。

6.根據(jù)權(quán)利要求1至5中任一項(xiàng)所述的方法，其特征在于，所述查找所述當(dāng)前網(wǎng)絡(luò)行為所屬程序的已知正常網(wǎng)絡(luò)行為包括：

根據(jù)所述當(dāng)前網(wǎng)絡(luò)行為所屬程序的標(biāo)識(shí)，查找所述程序的已知正常網(wǎng)絡(luò)行為。

7.根據(jù)權(quán)利要求6所述的方法，其特征在于，所述根據(jù)所述當(dāng)前網(wǎng)絡(luò)行為所屬程序的標(biāo)識(shí)，查找所述程序的已知正常網(wǎng)絡(luò)行為包括：

預(yù)先收集多種程序的正常網(wǎng)絡(luò)行為，并建立程序的標(biāo)識(shí)及其正常網(wǎng)絡(luò)行為之間的對(duì)應(yīng)關(guān)系；

根據(jù)所述當(dāng)前網(wǎng)絡(luò)行為所屬程序的標(biāo)識(shí)，查找該程序的標(biāo)識(shí)對(duì)應(yīng)的正常網(wǎng)絡(luò)行為，將所述查找到的正常網(wǎng)絡(luò)行為作為所述程序的已知正常網(wǎng)絡(luò)行為。

8.根據(jù)權(quán)利要求1至5中任一項(xiàng)所述的方法，其特征在于，所述監(jiān)控所述程序的當(dāng)前網(wǎng)絡(luò)行為包括：

通過(guò)在客戶端注冊(cè)協(xié)議驅(qū)動(dòng)，截獲所述程序的當(dāng)前網(wǎng)絡(luò)行為的信息；

或者，

通過(guò)創(chuàng)建與操作系統(tǒng)相似的過(guò)濾驅(qū)動(dòng)，截獲所述程序的當(dāng)前網(wǎng)絡(luò)行為的信息；

或者，

利用操作系統(tǒng)提供的應(yīng)用程序編程接口函數(shù)截獲所述程序的當(dāng)前網(wǎng)絡(luò)行為的信息；

或者，

接管程序調(diào)用網(wǎng)絡(luò)編程接口函數(shù)的請(qǐng)求，截獲所述程序的當(dāng)前網(wǎng)絡(luò)行為的信息；

或者，

利用注冊(cè)防火墻回調(diào)，截獲所述程序的當(dāng)前網(wǎng)絡(luò)行為的信息。

9.根據(jù)權(quán)利要求1至5中任一項(xiàng)所述的方法，其特征在于，所述根據(jù)所述對(duì)比結(jié)果，識(shí)別所述程序的網(wǎng)絡(luò)行為是否異常包括：

如果對(duì)比結(jié)果不一致，識(shí)別所述程序的當(dāng)前網(wǎng)絡(luò)行為為異常網(wǎng)絡(luò)行為；

如果對(duì)比結(jié)果一致，識(shí)別所述程序的當(dāng)前網(wǎng)絡(luò)行為為正常網(wǎng)絡(luò)行為。

10.根據(jù)權(quán)利要求9所述的方法，其特征在于，如果識(shí)別所述程序的當(dāng)前網(wǎng)絡(luò)行為為異常網(wǎng)絡(luò)行為，還包括：

暫停或攔截所述程序的當(dāng)前異常網(wǎng)絡(luò)行為；

或者，

暫停或攔截所述程序的全部網(wǎng)絡(luò)行為；

或者，

暫停或攔截所述程序的全部網(wǎng)絡(luò)行為和全部本地行為。

11.根據(jù)權(quán)利要求10所述的方法，其特征在于：

檢測(cè)到所述程序的異常網(wǎng)絡(luò)行為是非惡意的網(wǎng)絡(luò)行為，暫停或攔截所述程序的異常網(wǎng)絡(luò)行為；

或者，

檢測(cè)到所述程序的異常網(wǎng)絡(luò)行為是惡意的網(wǎng)絡(luò)行為，但不確定所述程序是否為惡意程序，暫停或攔截所述程序的全部網(wǎng)絡(luò)行為；

或者，

檢測(cè)到所述程序的異常網(wǎng)絡(luò)行為是惡意的網(wǎng)絡(luò)行為，并且所述程序?yàn)閻阂獬绦颍瑫和；驍r截所述程序的全部網(wǎng)絡(luò)行為和全部本地行為。