[發(fā)明專利]一種網絡病毒檢測方法、裝置及設備

有效

• 申請?zhí)枺?/td>: 201711014990.4
• 申請日: 2017-10-25
• 公開（公告）號: CN107682354B
• 公開（公告）日: 2020-06-12
• 發(fā)明（設計）人: 李拓;劉芳寧
• 申請（專利權）人: 東軟集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王雪;王寶筠

1.一種網絡病毒檢測方法，其特征在于，所述網絡病毒為蠕蟲病毒，所述方法包括：

采集目標局域網中的網絡流量；

對所述網絡流量進行解析，得到所述網絡流量在連接類別維度、應用層協議類型維度和\或連接成功率維度下的統計信息；

分別計算各個維度下的統計信息的信息熵；所述分別計算各個維度下的統計信息的信息熵，包括：計算所述網絡流量中各種連接類別的占比；并根據各種連接類別的占比，計算所述連接類別維度下的統計信息的信息熵；計算所述網絡流量中各種應用層協議類型的概率；并根據各種應用層協議類型的概率，計算所述應用層協議類型維度下的統計信息的信息熵；計算所述網絡流量中運輸層協議連接成功與失敗的概率；并根據運輸層協議連接成功與失敗的概率，計算所述連接成功率維度下的統計信息的信息熵；

將各個維度下的統計信息的信息熵，分別與對應的維度下的根據所述目標局域網中采集所述網絡流量對應時間段的歷史網絡流量確定的信息熵范圍進行比較，得到所述網絡流量在各個維度下的偏離參數；

根據所述網絡流量在各個維度下的偏離參數，確定所述目標局域網是否感染蠕蟲病毒。

2.根據權利要求1所述的方法，其特征在于，所述根據所述網絡流量在各個維度下的偏離參數，確定所述目標局域網是否感染蠕蟲病毒，包括：

根據所述網絡流量在各個維度下的所述偏離參數，確定所述網絡流量在各個維度下的偏離程度值；

根據所述網絡流量在各個維度下的偏離程度值，確定所述目標局域網是否感染蠕蟲病毒。

3.根據權利要求2所述的方法，其特征在于，所述根據所述網絡流量在各個維度下的所述偏離參數，確定所述網絡流量在各個維度下的偏離程度值包括：

通過公式(1)計算所述網絡流量在各維度下的偏離程度值；

其中，f(δ)表示各維度下的偏離程度值，δ表示各維度下的偏離參數。

4.根據權利要求2所述的方法，其特征在于，所述根據所述網絡流量在各個維度下的偏離程度值，確定所述目標局域網是否感染蠕蟲病毒，包括：

根據所述網絡流量在各個維度下的偏離程度值，計算所述網絡流量的綜合置信度值；

判斷所述綜合置信度值是否大于預設異常門限值；

如果大于預設異常門限值，則確定所述局域網感染蠕蟲病毒。

5.根據權利要求4所述的方法，其特征在于，所述根據所述網絡流量在各個維度下的偏離程度值，計算所述網絡流量的綜合置信度值，包括：

將所述網絡流量在各個維度下的偏離程度值和對應的置信度修正因子的乘積，作為所述網絡流量在檢測維度下的第一置信度分配值，所述第一置信度分配值用于表示所述網絡流量在所述維度下存在異常的可信程度；

將所述網絡流量在各個維度下的第一置信度分配值進行合成，得到所述網絡流量的綜合置信度值。

6.根據權利要求5所述的方法，其特征在于，所述方法還包括：

對于任一維度，將1與對應的置信度修正因子的差值，確定為所述網絡流量在所述維度下的第二置信度分配值，所述第二置信度分配值用于表示在所述維度下不確定所述網絡流量是否存在異常的可信程度；

將所述網絡流量在各個維度下的第二置信度分配值進行合成，得到所述網絡流量的第二置信度分配合成值；

所述判斷所述綜合置信度值是否大于預設異常門限值之前，還包括：

判斷所述網絡流量的綜合置信度值是否大于所述第二置信度分配合成值，如果是，則繼續(xù)執(zhí)行判斷所述綜合置信度值是否大于預設異常門限值的步驟。

7.根據權利要求2所述的方法，其特征在于，所述根據所述網絡流量在各個維度下的所述偏離參數，確定所述網絡流量在各個維度下的偏離程度值之前，還包括：

判斷所述網絡流量在各個維度下的偏離參數是否均為0；

如果所述網絡流量在各個維度下的偏離參數均為0，則直接確定所述目標局域網未感染蠕蟲病毒；

否則，在執(zhí)行根據所述網絡流量在各個維度下的所述偏離參數，確定所述網絡流量在各個維度下的偏離程度值的步驟。