[發明專利]一種病毒預警系統和方法

在審

• 申請號: 201710847980.2
• 申請日: 2017-09-19
• 公開（公告）號: CN107733873A
• 公開（公告）日: 2018-02-23
• 發明（設計）人: 林皓;楊軍;張崢嶸;鄧智;陶永波;唐彪
• 申請（專利權）人: 北京北信源軟件股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京東正專利代理事務所(普通合伙)11312
• 代理人: 張亦華

技術領域

本發明涉及計算機技術領域，特別涉及一種病毒預警系統和方法。

背景技術

隨著技術的進步和發展，現在的網絡情況也變得越來越復雜，越來越多的計算機聯接到網絡中。同時，計算機病毒的種類也變得日益繁多，從而病毒問題一直是困擾網絡安全的主要問題。

現有的病毒防范方法一般為：終端用戶基于本地殺毒軟件進行防御，從本地終端上發現病毒的存在；終端用戶本地的殺毒軟件對發現的病毒進行采樣和分析，并向殺毒軟件供應商上報病毒信息；殺毒軟件供應商將上報的病毒信息在自己的網站上公告；其他用戶利用本地殺毒軟件主動從殺毒軟件供應商處下載病毒信息更新，完成對新病毒的預防。

但是，當一種新型的計算機病毒出現時，沒有較好的預防手段，一般都是病毒爆發之后才能引起人們的關注。由于新病毒發現和處理的不及時，不能直接對新病毒進行防范和預警，從而增加了終端用戶的危險性。

發明內容

本發明實施例提供了一種病毒預警系統和方法，能夠對新病毒進行防范和預警，有效的降低了終端用戶的危險性。

第一方面，本發明實施例提供了一種病毒預警系統，該系統包括：處理模塊、統計模塊和分析模塊，其中，

處理模塊，用于對不同類型的正常數據進行處理獲得各個類型對應的維護數據；

統計模塊，用于對不同類型的網絡數據進行統計獲得各個類型對應的統計數據；

分析模塊，用于針對每個類型的數據，將統計數據與維護數據進行對比，獲得異常數據。

優選地，不同類型的數據包括但不限于端口會話數據、終端進程數據和終端URL訪問數據。

優選地，對于端口會話數據，統計模塊具體用于按照端口掃描和端口--端口通信兩種方式進行統計；

對于終端進程數據，統計模塊具體用于按照終端進程名進行統計；

對于終端URL訪問數據，統計模塊具體用于按照URL進行統計。

優選地，對于端口會話數據，分析模塊具體用于將統計數據與維護數據進行對比，篩選出非正常端口掃描和異常端口--端口通信；

對于終端進程數據，分析模塊具體用于將統計數據與維護數據進行對比，抓取統計數據中在維護數據中已知的危險進程、不明進程和在維護數據中未知的新進程；

對于終端URL訪問數據，分析模塊具體用于將統計數據與維護數據進行對比，抓取統計數據中在維護數據中出現的危險URL鏈接、不明URL鏈接和在維護數據中未出現的新URL鏈接。

優選地，該系統進一步包括：展示模塊，用于展示分析模塊獲得的異常數據。

第二方面，本發明實施例提供了一種病毒預警方法，該方法包括：

S1：對不同類型的正常數據進行處理獲得各個類型對應的維護數據；

S2：對不同類型的網絡數據進行統計獲得各個類型對應的統計數據；

S3：針對每個類型的數據，將統計數據與維護數據進行對比，獲得異常數據。

優選地，不同類型的數據包括但不限于端口會話數據、終端進程數據和終端URL訪問數據。

優選地，步驟S2的具體過程包括：對端口會話數據按照端口掃描和端口--端口通信兩種方式進行統計、對終端進程數據按照終端進程名進行統計以及對終端URL訪問數據按照URL進行統計。

優選地，步驟S3的具體過程包括：將統計數據與維護數據進行對比，對于端口會話數據篩選出非正常端口掃描和異常端口--端口通信、對于終端進程數據抓取統計數據中在維護數據中已知的危險進程、不明進程和在維護數據中未知的新進程以及對于終端URL訪問數據抓取統計數據中在維護數據中出現的危險URL鏈接、不明URL鏈接和在維護數據中未出現的新URL鏈接。

優選地，在步驟S3之后，本方法進一步包括：展示獲取的異常數據。

與現有技術相比，本發明至少具有以下有益效果：

(1)病毒擴散行為的定位方式全面，從端口擴散、進程擴散、訪問域名URL擴散，多維度抓取病毒擴散行為，有助于快速定位病毒擴散行為進行逆向追溯處理；

(2)數據來源多樣化，不同數據，不同分析方式，定位方法交叉互補。

(3)利用大數據技術，提升數據分類統計和數據分析效率，實現病毒擴散快速發現、快速定位。

附圖說明

為了更清楚地說明本發明實施例或現有技術中的技術方案，下面將對實施例或現有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖是本發明的一些實施例，對于本領域普通技術人員來講，在不付出創造性勞動的前提下，還可以根據這些附圖獲得其他的附圖。