[發(fā)明專利]一種蜜罐系統(tǒng)和運用該系統(tǒng)檢測木馬的方法

有效

• 申請?zhí)枺?/td>: 201310086635.3
• 申請日: 2013-03-18
• 公開（公告）號: CN103150512A
• 公開（公告）日: 2013-06-12
• 發(fā)明（設(shè)計）人: 陳章群;楊銳;陳睿
• 申請（專利權(quán)）人: 珠海市君天電子科技有限公司;北京金山安全軟件有限公司;貝殼網(wǎng)際（北京）安全技術(shù)有限公司;北京金山網(wǎng)絡(luò)科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 廣州新諾專利商標(biāo)事務(wù)所有限公司 44100
• 代理人: 張奇洲;華輝

1.一種蜜罐系統(tǒng)，包括安裝于用戶計算機操作系統(tǒng)的系統(tǒng)客戶端、與所述系統(tǒng)客戶端交互通信的系統(tǒng)服務(wù)器，其特征在于：

在所述系統(tǒng)客戶端設(shè)有病毒作者過濾庫，用于存儲預(yù)存的病毒作者的病毒作者行為規(guī)則，所述病毒作者行為規(guī)則包括安全防護軟件的數(shù)量、安全防護軟件的掃描操作次數(shù)和特征碼定位器；

在所述系統(tǒng)客戶端設(shè)有檢測模塊，用于檢測計算機安全防護軟件的數(shù)量、安全防護軟件的掃描操作次數(shù)、以及計算機中是否包含特征碼定位器；

在所述系統(tǒng)客戶端設(shè)有第一判斷模塊，用于判斷檢測模塊檢測的結(jié)果是否是病毒作者過濾庫中的病毒作者行為規(guī)則；

在所述系統(tǒng)客戶端設(shè)有提示模塊，用于提示計算機操作者使用安全防護軟件掃描的文件是否為病毒文件；

在所述系統(tǒng)客戶端設(shè)有提取模塊，用于上傳病毒作者掃描的文件至系統(tǒng)服務(wù)器；

在所述系統(tǒng)服務(wù)器設(shè)有木馬規(guī)則過濾庫，用于存儲常見的木馬行為規(guī)則；

在所述系統(tǒng)服務(wù)器設(shè)有第二判斷模塊，其根據(jù)木馬規(guī)則過濾庫判斷提取模塊上傳的文件是否為病毒文件，并將判斷結(jié)果反饋至提示模塊，由提示模塊通過窗口提示模式提示用戶。

2.根據(jù)權(quán)利要求1所述的蜜罐系統(tǒng)，其特征在于：所述病毒作者行為規(guī)則包括計算機內(nèi)安裝兩個以上安全防護軟件、24小時內(nèi)安全防護軟件掃描操作兩次以上、以及存在特征碼定位器。

3.根據(jù)權(quán)利要求1或2所述的蜜罐系統(tǒng)，其特征在于：所述檢測模塊檢測結(jié)果與病毒作者行為規(guī)則過濾庫中任一病毒作者行為規(guī)則匹配，則第一判斷模塊判斷該計算機為病毒計算機。

4.一種運用權(quán)利要求1-3任一所述蜜罐系統(tǒng)檢測木馬的方法，用于快速、精確檢測木馬病毒，其特征在于，該檢測方法包括以下步驟：

檢測模塊檢測計算機內(nèi)安裝安全防護軟件的數(shù)量、24小時內(nèi)安全防護軟件掃描操作次數(shù)以及計算機內(nèi)是否存在特征碼定位器；

第一判斷模塊判斷根據(jù)檢測模塊的檢測結(jié)果，通過與病毒作者過濾庫中的病毒作者行為規(guī)則匹配，判斷該計算機是否為病毒計算機；若檢測模塊檢測結(jié)果與病毒作者行為規(guī)則過濾庫中任一病毒作者行為規(guī)則匹配，則第一判斷模塊判斷該計算機為病毒計算機；第一判斷模塊的判斷結(jié)果發(fā)送至提取模塊；

提取模塊提取計算機操作者使用安全防護軟件掃描的文件至系統(tǒng)服務(wù)器；

系統(tǒng)服務(wù)器的第二判斷模塊根據(jù)木馬規(guī)則過濾庫中的木馬行為規(guī)則判斷該文件是否為木馬文件；第二判斷模塊的判斷結(jié)果發(fā)送至系統(tǒng)客戶端的提示模塊；

提示模塊通過提示窗口的模式提示用戶。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于：所述第一判斷模塊把該計算機為病毒計算機的判斷結(jié)果發(fā)送至提取模塊；判斷結(jié)果為非病毒計算機則返回檢測模塊繼續(xù)檢測步驟。

6.根據(jù)權(quán)利要求4所述的方法，其特征在于：所述第二判斷模塊把判斷結(jié)果為木馬文件的判斷結(jié)果發(fā)送至客戶端的提示模塊；判斷結(jié)果為非木馬文件則返回檢測模塊繼續(xù)檢測步驟。