[發(fā)明專利]一種識別未知類遠控木馬的方法及系統(tǒng)有效
| 申請?zhí)枺?/td> | 201611245508.3 | 申請日： | 2016-12-29 |
| 公開（公告）號： | CN106657095B | 公開（公告）日： | 2020-07-28 |
| 發(fā)明（設(shè)計）人： | 劉佳男;李柏松 | 申請（專利權(quán)）人： | 北京安天網(wǎng)絡(luò)安全技術(shù)有限公司 |
| 主分類號： | H04L29/06 | 分類號： | H04L29/06 |
| 代理公司： | 暫無信息 | 代理人： | 暫無信息 |
| 地址： | 100080 北京市海淀區(qū)*** | 國省代碼： | 北京;11 |
| 權(quán)利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關(guān)鍵詞： | 一種 識別 未知 類遠控 木馬 方法 系統(tǒng) | ||
1.一種識別未知類遠控木馬的方法，其特征在于，包括：
對當前網(wǎng)絡(luò)執(zhí)行斷網(wǎng)操作后恢復網(wǎng)絡(luò)，獲取網(wǎng)絡(luò)中的所有流量；
記錄網(wǎng)絡(luò)中的所有流量的五元組信息和上下行數(shù)據(jù)包大小；
將每次恢復網(wǎng)絡(luò)至下次斷網(wǎng)記為一個周期，重復預設(shè)周期的上述操作；
選取五元組信息相同的網(wǎng)絡(luò)流量，并對比預設(shè)周期間的網(wǎng)絡(luò)流量的重合度，若重合度大于等于預設(shè)值則判定存在未知類遠控木馬。
2.如權(quán)利要求1所述的方法，其特征在于，所述獲取網(wǎng)絡(luò)中的所有流量，具體為：通過直路或者旁路的形式獲取網(wǎng)絡(luò)中的所有流量。
3.如權(quán)利要求1所述的方法，其特征在于，所述獲取網(wǎng)絡(luò)中的所有流量之后，還包括：
將網(wǎng)絡(luò)中的所有流量與常規(guī)通信規(guī)則庫進行匹配，放行匹配成功的網(wǎng)絡(luò)流量；其中，所述常規(guī)通信規(guī)則庫中存儲有已知軟件或服務(wù)的數(shù)據(jù)通信規(guī)則。
4.如權(quán)利要求3所述的方法，其特征在于，所述放行匹配成功的網(wǎng)絡(luò)流量后，還包括：
判斷當前網(wǎng)絡(luò)流量是否是始終持續(xù)的數(shù)據(jù)流，若是則繼續(xù)記錄網(wǎng)絡(luò)中的所有流量的五元組信息和數(shù)據(jù)包大小，否則放行當前網(wǎng)絡(luò)流量不做記錄。
5.如權(quán)利要求3所述的方法，其特征在于，還包括：若重合度小于預設(shè)值則判定不存在未知類遠控木馬，并將當前網(wǎng)絡(luò)流量涉及的五元組信息添加至所述常規(guī)通信規(guī)則庫。
6.一種識別未知類遠控木馬的系統(tǒng)，其特征在于，包括：
網(wǎng)絡(luò)流量獲取模塊，用于對當前網(wǎng)絡(luò)執(zhí)行斷網(wǎng)操作后恢復網(wǎng)絡(luò)，獲取網(wǎng)絡(luò)中的所有流量；
流量信息記錄模塊，用于記錄網(wǎng)絡(luò)中的所有流量的五元組信息和上下行數(shù)據(jù)包大小；
周期重復調(diào)用模塊，用于將每次恢復網(wǎng)絡(luò)至下次斷網(wǎng)記為一個周期，重復預設(shè)周期調(diào)用所述網(wǎng)絡(luò)流量獲取模塊和所述流量信息記錄模塊；
重合度計算模塊，用于選取五元組信息相同的網(wǎng)絡(luò)流量，并對比預設(shè)周期間的網(wǎng)絡(luò)流量的重合度，若重合度大于等于預設(shè)值則判定存在未知類遠控木馬。
7.如權(quán)利要求6所述的系統(tǒng)，其特征在于，所述獲取網(wǎng)絡(luò)中的所有流量，具體為：通過直路或者旁路的形式獲取網(wǎng)絡(luò)中的所有流量。
8.如權(quán)利要求6所述的系統(tǒng)，其特征在于，還包括：常規(guī)通信過濾模塊，用于在所述網(wǎng)絡(luò)流量獲取模塊獲取網(wǎng)絡(luò)中的所有流量后，將網(wǎng)絡(luò)中的所有流量與常規(guī)通信規(guī)則庫進行匹配，放行匹配成功的網(wǎng)絡(luò)流量；其中，所述常規(guī)通信規(guī)則庫中存儲有已知軟件或服務(wù)的數(shù)據(jù)通信規(guī)則。
9.如權(quán)利要求8所述的系統(tǒng)，其特征在于，還包括：持續(xù)流量匹配模塊，用于獲取匹配失敗的網(wǎng)絡(luò)流量并判斷當前網(wǎng)絡(luò)流量是否是始終持續(xù)的數(shù)據(jù)流，若是則將數(shù)據(jù)流轉(zhuǎn)發(fā)至所述流量信息記錄模塊繼續(xù)記錄網(wǎng)絡(luò)中的所有流量的五元組信息和數(shù)據(jù)包大小，否則放行當前網(wǎng)絡(luò)流量不做記錄。
10.如權(quán)利要求8所述的系統(tǒng)，其特征在于，還包括：規(guī)則庫維護模塊，用于若重合度小于預設(shè)值則判定不存在未知類遠控木馬，并將當前網(wǎng)絡(luò)流量涉及的五元組信息添加至所述常規(guī)通信規(guī)則庫。
該專利技術(shù)資料僅供研究查看技術(shù)是否侵權(quán)等信息，商用須獲得專利權(quán)人授權(quán)。該專利全部權(quán)利屬于北京安天網(wǎng)絡(luò)安全技術(shù)有限公司，未經(jīng)北京安天網(wǎng)絡(luò)安全技術(shù)有限公司許可，擅自商用是侵權(quán)行為。如果您想購買此專利、獲得商業(yè)授權(quán)和技術(shù)合作，請聯(lián)系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/201611245508.3/1.html，轉(zhuǎn)載請聲明來源鉆瓜專利網(wǎng)。
