[發明專利]一種病毒傳播行為檢測方法及裝置

有效

• 申請號: 201911165810.1
• 申請日: 2019-11-25
• 公開（公告）號: CN111079144B
• 公開（公告）日: 2022-07-01
• 發明（設計）人: 尚奔奔
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 王茹

1.一種病毒傳播行為檢測方法，包括：

獲取待檢測報文中的服務器消息塊SMB的版本信息，并將所述版本信息與對應于待檢測病毒的目標SMB版本進行匹配；所述待檢測報文為用于SMB版本協商的請求報文；

如果所述版本信息與所述目標SMB版本匹配，進一步確定發送所述待檢測報文的終端的操作系統；

獲取所述操作系統支持的SMB版本，并確定所述操作系統支持的SMB版本，是否包括不同于所述預設的目標SMB版本的SMB版本；如果是，則確定所述待檢測報文有病毒傳播行為。

2.根據權利要求1所述的方法，對應于待檢測病毒的目標SMB版本包括SMBv1版本，不包括SMBv2版本或SMBv3版本；

所述將所述版本信息與對應于待檢測病毒的目標SMB版本進行匹配，包括：

如果所述待檢測報文中的SMB的版本信息中，包含SMBv1相關字段，且不包含SMBv2相關字段，且不包含SMBv3相關字段，則匹配成功。

3.根據權利要求1所述的方法，所述確定發送所述待檢測報文的終端的操作系統，包括：

通過操作系統指紋識別技術，分析所述發送所述待檢測報文的終端發出的報文，以獲取所述終端的操作系統信息；或，

根據所述發送所述待檢測報文的終端發送的HTTP GET報文，獲取所述終端的操作系統信息。

4.根據權利要求1所述的方法，所述待檢測病毒通過445端口，使用TCP協議進行傳播，所述方法還包括：

判斷待檢測報文是否滿足使用TCP協議，且目的端口為445的條件，如果否，則確定所述待檢測報文無病毒傳播行為。

5.根據權利要求1所述的方法，所述操作系統支持的SMB版本僅包括所述預設的目標SMB版本，所述方法還包括：

阻斷來自發送所述待檢測報文的終端且目的端口為445的報文，并重置TCP連接，以使其通過其他端口建立共享連接。

6.一種病毒傳播行為檢測裝置，包括：

版本信息獲取模塊，用于獲取待檢測報文中的服務器消息塊SMB的版本信息，并將所述版本信息與對應于待檢測病毒的目標SMB版本進行匹配；所述待檢測報文為用于SMB版本協商的請求報文；

操作系統確定模塊，用于在所述版本信息與所述目標SMB版本匹配的情況下，進一步確定發送所述待檢測報文的終端的操作系統；

版本信息檢查模塊，用于獲取所述操作系統支持的SMB版本，并確定所述操作系統支持的SMB版本，是否包括不同于所述預設的目標SMB版本的SMB版本；如果是，則確定所述待檢測報文有病毒傳播行為。

7.根據權利要求6所述的裝置，對應于待檢測病毒的目標SMB版本包括SMBv1版本，不包括SMBv2版本或SMBv3版本；

所述版本信息獲取模塊，具體用于：

如果所述待檢測報文中的SMB的版本信息中，包含SMBv1相關字段，且不包含SMBv2相關字段，且不包含SMBv3相關字段，則匹配成功。

8.根據權利要求6所述的裝置，所述操作系統確定模塊，具體用于：

通過操作系統指紋識別技術，分析所述發送所述待檢測報文的終端發出的報文，以獲取所述終端的操作系統信息；或，

根據所述發送所述待檢測報文的終端發送的HTTP GET報文，獲取所述終端的操作系統信息。

9.根據權利要求6所述的裝置，所述待檢測病毒通過445端口，使用TCP協議進行傳播，所述裝置還包括：

篩選模塊，用于判斷待檢測報文是否滿足使用TCP協議，且目的端口為445的條件，如果否，則確定所述待檢測報文無病毒傳播行為。

10.根據權利要求6所述的裝置，所述操作系統支持的SMB版本僅包括所述預設的目標SMB版本，所述裝置還包括：

不確定風險處理模塊，用于阻斷來自發送所述待檢測報文的終端且目的端口為445的報文，并重置TCP連接，以使其通過其他端口建立共享連接。