[發明專利]惡意軟件和惡意應用的檢測方法和裝置

有效

• 申請號: 201680030266.8
• 申請日: 2016-05-25
• 公開（公告）號: CN107667510B
• 公開（公告）日: 2020-11-24
• 發明（設計）人: 大衛·麥西格魯;安德魯·扎瓦道斯基;唐納文·歐哈拉;沙拉瓦南·拉達克里希南;托馬斯·佩妮;丹尼爾·G·溫
• 申請（專利權）人: 思科技術公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京東方億思知識產權代理有限責任公司 11258
• 代理人: 陳蒙

一種方法，包括：在網絡基礎設施設備處接收分組流；使用網絡基礎設施設備并且針對分組的第一子集來確定第一子集對應于第一數據報，并且確定第一數據報的第一長度；使用網絡基礎設施設備并且針對分組的第二子集確定第二子集對應于在第一數據報之后接收到的第二數據報，并且確定第二數據報的第二長度；使用網絡基礎設施設備來確定第一數據報的第一到達時間與第二數據報的第二到達時間之間的持續時間值；向與網絡基礎設施設備分離的收集器設備發送第一長度、第二長度和持續時間值以供分析。

技術領域

本公開一般涉及計算機網絡安全領域中的改進的方法、計算機軟件和計算機硬件。本公開更具體地涉及可以執行跨網絡數據流的分類的改進的基于計算機的網絡基礎設施設備和計算機實現的技術。

背景技術

本節所描述的方法可以被采用，但不一定是先前設想或采用的方法。因此，除非本文另外指出，否則本節所描述的方法不是本申請中的權利要求的現有技術，并且不因被包括在本節中而被認為是現有技術。

計算機網絡的規模和復雜性不斷增長。每天，在單獨網絡內以及在網絡間，有難以估量的信息量被發送。從文本和圖片到歌曲和電影，任何類型的信息都可以在計算機網絡上被發送。在計算機網絡上發送的信息可以采用許多不同的格式，既有加密的也有未加密的。在計算機網絡上發送的一些信息可能從惡意程序和/或設備被發送、被發送到惡意程序和/或設備、或與惡意程序和/或設備相關聯。如果開發出改進的檢測跨計算機網絡傳播的潛在惡意信息的方法，則網絡管理員和用戶將受益匪淺。

發明內容

根據本公開實施例的一個方面，提供了一種通過發送數據報數據而不是分組數據來提高數據分類效率的方法，所述方法包括：在網絡基礎設施設備處接收包括多個分組的流；使用所述網絡基礎設施設備并且針對所述多個分組的第一子集來確定所述第一子集對應于第一數據報，并且確定所述第一數據報的第一長度；使用所述網絡基礎設施設備并且針對所述多個分組的第二子集來確定所述第二子集對應于在所述第一數據報之后接收到的第二數據報，并且確定所述第二數據報的第二長度，所述第一數據報和所述第二數據報各自對應于由傳輸協議攜帶的單個消息；使用所述網絡基礎設施設備來確定所述第一數據報的第一到達時間與所述第二數據報的第二到達時間之間的持續時間值；向與所述網絡基礎設施設備分離的收集器設備發送所述第一長度、所述第二長度和所述持續時間值以供分析；其中，所述方法是使用一個或多個計算設備來執行的。

根據本公開實施例的另一個方面，提供了一種通過發送數據報數據而不是分組數據來提高數據分類效率的系統，所述系統包括：網絡基礎設施設備，包括存儲器單元和被配置為執行存儲在所述存儲器單元中的指令的一個或多個處理器，所述指令被編程為執行：接收包括多個分組的流；針對所述多個分組的第一子集確定所述第一子集對應于第一數據報，并且確定所述第一數據報的第一長度；針對所述多個分組的第二子集確定所述第二子集對應于在所述第一數據報之后接收到的第二數據報，并且確定所述第二數據報的第二長度，所述第一數據報和所述第二數據報各自對應于由傳輸協議攜帶的單個消息；確定所述第一數據報的第一到達時間與所述第二數據報的第二到達時間之間的持續時間值；向與所述網絡基礎設施設備分離的收集器設備發送所述第一長度、所述第二長度和所述持續時間值以供分析。

根據本公開實施例的又一個方面，提供了一個或多個非暫態計算機可讀介質，包括用于通過發送數據報數據而不是分組數據來提高數據分類效率的指令，該指令在由一個或多個處理器執行時使得：接收包括多個分組的流；針對所述多個分組的第一子集確定所述第一子集對應于第一數據報，并且確定所述第一數據報的第一長度；針對所述多個分組的第二子集確定所述第二子集對應于在所述第一數據報之后接收到的第二數據報，并且確定所述第二數據報的第二長度，所述第一數據報和所述第二數據報各自對應于由傳輸協議攜帶的單個消息；確定所述第一數據報的第一到達時間與所述第二數據報的第二到達時間之間的持續時間值；發送所述第一長度、所述第二長度和所述持續時間值以供分析。

附圖說明

在附圖中：