[發明專利]一種基于附件格式的郵件病毒檢測方法和裝置

在審

• 申請號: 201210564964.X
• 申請日: 2012-12-24
• 公開（公告）號: CN103546449A
• 公開（公告）日: 2014-01-29
• 發明（設計）人: 肖新光;童志明;沈長偉;張栗偉
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/58
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于附件格式的郵件病毒檢測方法，其特征在于，包括：

步驟a、從網絡數據流中獲取完整的郵件文件并對郵件協議進行解析，獲取所傳輸的郵件附件；

步驟b、判斷所述郵件附件的文件格式并記錄其文件格式信息；

步驟c、統計郵件附件中可執行格式的文件的傳輸次數，如果在設定時間間隔內同一可執行格式的文件重復傳輸的次數超過閾值，則判定所傳輸的郵件附件中可執行格式的文件為威脅文件。

2.如權利要求1所述的方法，其特征在于，還包括：從所述威脅文件中提取病毒特征碼。

3.如權利要求1所述的方法，其特征在于，步驟b具體包括：判斷所述郵件附件的文件格式并記錄其文件格式信息；如果所述郵件附件為包裹文件，則對包裹文件解壓縮后記錄所述包裹中的文件格式信息。

4.如權利要求1所述的方法，其特征在于，步驟c由以下步驟替換：

步驟d、如果在設定時間間隔內所傳輸的郵件附件中可執行格式的文件的數量占傳輸的郵件附件數量的比例超出閾值，則判定所傳輸的郵件附件中可執行格式的文件為威脅文件。

5.如權利要求1所述的方法，其特征在于，步驟c由以下步驟替換：

步驟e、如果在設定時間間隔內傳輸的郵件附件中可執行格式的文件的數量占傳輸的郵件數量的比例超出閾值，則判定所傳輸的郵件附件中可執行格式的文件為威脅文件。

6.一種基于附件格式的郵件病毒檢測裝置，其特征在于，包括：

解析模塊，用于從網絡數據流中獲取完整的郵件文件并對郵件協議進行解析，獲取所傳輸的郵件附件；

統計模塊，用于判斷所述郵件附件的文件格式并記錄其文件格式信息；

第一判斷模塊，用于統計郵件附件中可執行格式的文件的傳輸次數，如果在設定時間間隔內同一可執行格式的文件重復傳輸的次數超過閾值，則判定所傳輸的郵件附件中可執行格式的文件為威脅文件。

7.如權利要求6所述的裝置，其特征在于，還包括：

規則提取模塊，用于從所述威脅文件中提取病毒特征碼。

8.如權利要求6所述的裝置，其特征在于，所述統計模塊具體用于判斷所述郵件附件的文件格式并記錄其文件格式信息；如果所述郵件附件為包裹文件，則對包裹文件解壓縮后記錄所述包裹中的文件格式信息。

9.如權利要求6所述的裝置，其特征在于，還包括：

第二判斷模塊，用于如果在設定時間間隔內所傳輸的郵件附件中可執行格式的文件的數量占傳輸的郵件附件數量的比例超出閾值，則判定所傳輸的郵件附件中可執行格式的文件為威脅文件。

10.如權利要求6所述的裝置，其特征在于，還包括：

第三判斷模塊，用于如果在設定時間間隔內傳輸的郵件附件中可執行格式的文件的數量占傳輸的郵件數量的比例超出閾值，則判定所傳輸的郵件附件中可執行格式的文件為威脅文件。