[發明專利]一種病毒檢測方法及系統

在審

• 申請號: 201410508765.6
• 申請日: 2014-09-28
• 公開（公告）號: CN104243486A
• 公開（公告）日: 2014-12-24
• 發明（設計）人: 李偉杰;張云勇;周巍
• 申請（專利權）人: 中國聯合網絡通信集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 王丹;栗若木

1.一種病毒檢測方法，應用于網絡側，包括：

創建病毒特征庫，所述病毒特征庫中的病毒特征和病毒信息按照如下關系記錄：一個病毒信息包含一個或多個病毒特征，每個病毒特征對應一個或多個病毒信息；

將采集到的網絡數據包重組解析后，采用多模式匹配算法與所述病毒特征庫中的病毒特征進行匹配，當匹配到一條病毒特征時，結合已匹配到的病毒特征，判斷是否可以組成一條或多條完整的病毒信息，如果可以，則病毒信息匹配成功，否則，等待下次匹配到新的病毒特征后繼續判斷。

2.如權利要求1所述的方法，其特征在于：

所述創建病毒特征庫，所述病毒特征庫中的病毒特征和病毒信息按照如下關系記錄，包括：

采用兩個結構體來記錄病毒特征和病毒信息，所述病毒特征的結構體包括四個域，分別用于表示病毒特征的唯一標識、病毒特征的特征值、指向所有包含此條病毒特征的病毒信息的指針以及指向下一個病毒特征結點的指針；所述病毒信息的結構體包括3個域，分別用于表示病毒的唯一標識、病毒包含的病毒特征數和指向下一個病毒信息結點的指針；

其中，每個病毒特征會形成一個病毒特征結點，每個病毒信息會形成一個病毒信息結點。

3.如權利要求1所述的方法，其特征在于：

當匹配到一條病毒特征時，所述方法還包括：

判斷該病毒特征是否已被保存過，如果已被保存過，則不保存該匹配到的病毒特征，如果沒有被保存過，則保存該匹配到的病毒特征。

4.如權利要求1所述的方法，其特征在于：

在病毒信息匹配成功后，所述方法還包括：

將匹配到的病毒信息以及該病毒信息對應的網絡數據包上的時間戳和用戶的標識保存；

根據所述網絡數據包上的時間戳和用戶的標識對一段時間內匹配到的病毒信息進行統計分析，展示一段時間內所述用戶中毒的統計結果，所述統計結果包括：所述用戶中毒的病毒信息、中毒次數和病毒類型。

5.如權利要求1所述的方法，其特征在于：所述方法還包括：

當出現新的病毒時，對病毒特征庫中的病毒特征和病毒信息進行更新。

6.一種病毒檢測系統，應用于網絡側，包括：

流量采集模塊，用于從網關采集網絡數據包；

病毒特征庫創建與維護模塊，用于創建病毒特征庫，所述病毒特征庫中的病毒特征和病毒信息按照如下關系記錄：一個病毒信息包含一個或多個病毒特征，每個病毒特征對應一個或多個病毒信息；

病毒匹配模塊，用于將采集到的網絡數據包重組解析后，采用多模式匹配算法與所述病毒特征庫中的病毒特征進行匹配，當匹配到一條病毒特征時，結合已匹配到的病毒特征，判斷是否可以組成一條或多條完整的病毒信息，如果可以，則病毒信息匹配成功，否則保存該匹配到的病毒特征，等待下次匹配到新的病毒特征后繼續判斷。

7.如權利要求6所述的系統，其特征在于：

所述病毒特征庫創建與維護模塊，用于創建病毒特征庫，所述病毒特征庫中的病毒特征和病毒信息按照如下關系記錄，包括：

采用兩個結構體來記錄病毒特征和病毒信息，所述病毒特征的結構體包括四個域，分別用于表示病毒特征的唯一標識、病毒特征的特征值、指向所有包含此條病毒特征的病毒信息的指針以及指向下一個病毒特征結點的指針；所述病毒信息的結構體包括3個域，分別用于表示病毒的唯一標識、病毒包含的病毒特征數和指向下一個病毒信息結點的指針；

其中，每個病毒特征會形成一個病毒特征結點，每個病毒信息會形成一個病毒信息結點。

8.如權利要求6所述的系統，其特征在于：還包括與所述病毒匹配模塊相連的存儲模塊，其中：

所述存儲模塊，用于當匹配到一條病毒特征時，判斷該病毒特征是否已被保存過，如果是，則不保存該匹配到的病毒特征，否則保存該匹配到的病毒特征。