[發明專利]一種病毒傳播行為檢測方法及裝置

有效

• 申請號: 201911165810.1
• 申請日: 2019-11-25
• 公開（公告）號: CN111079144B
• 公開（公告）日: 2022-07-01
• 發明（設計）人: 尚奔奔
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 王茹

一種病毒傳播行為檢測方法及裝置，所述方法包括：獲取待檢測報文中的服務器消息塊SMB的版本信息，并將所述版本信息與對應于待檢測病毒的目標SMB版本進行匹配；所述待檢測報文為用于SMB版本協商的請求報文；如果所述版本信息與所述目標SMB版本匹配，進一步獲取所述待檢測報文的源IP地址，并確定與所述源IP地址對應終端的操作系統；獲取所述操作系統支持的SMB版本，并確定所述操作系統支持的SMB版本，是否包括不同于所述預設的目標SMB版本的SMB版本；如果是，則確定所述待檢測報文有病毒傳播行為。應用本方案，可以及早發現病毒傳播行為，以便及時發出警告、遏止損失。

技術領域

本申請涉及互聯網安全領域，尤其涉及一種病毒傳播行為檢測方法及裝置。

背景技術

在互聯網安全領域，計算機病毒一直是防治的重點。由于計算機病毒更新換代的速度很快，傳統的基于病毒特征庫的查殺往往會比較被動，一般需要在病毒大規模爆發、研究人員得到病毒樣本后，才能夠提取到相應的病毒特征。

以WannaCry勒索病毒為例，其使用Eternal Blue漏洞安裝后門，待病毒大規模爆發、獲取到病毒樣本后，珍貴的文檔文件早已被加密，再進行病毒查殺為時已晚，造成的損失難以挽回。

發明內容

有鑒于此，本申請公開了一種病毒傳播行為檢測方法和裝置。

根據本申請實施例的第一方面，公開了一種病毒傳播行為檢測方法，所述方法包括：

獲取待檢測報文中的服務器消息塊SMB的版本信息，并將所述版本信息與對應于待檢測病毒的目標SMB版本進行匹配；所述待檢測報文為用于SMB版本協商的請求報文；

如果所述版本信息與所述目標SMB版本匹配，進一步確定發送所述待檢測報文的終端的操作系統；

獲取所述操作系統支持的SMB版本，并確定所述操作系統支持的SMB版本，是否包括不同于所述預設的目標SMB版本的SMB版本；如果是，則確定所述待檢測報文有病毒傳播行為。

根據本申請實施例的第二方面，公開了一種病毒傳播行為檢測裝置，所述裝置包括：

版本信息獲取模塊，用于獲取待檢測報文中的服務器消息塊SMB的版本信息，并將所述版本信息與對應于待檢測病毒的目標SMB版本進行匹配；所述待檢測報文為用于SMB版本協商的請求報文；

操作系統確定模塊，用于在所述版本信息與所述目標SMB版本匹配的情況下，進一步確定發送所述待檢測報文的終端的操作系統；

版本信息檢查模塊，用于獲取所述操作系統支持的SMB版本，并確定所述操作系統支持的SMB版本，是否包括不同于所述預設的目標SMB版本的SMB版本；如果是，則確定所述待檢測報文有病毒傳播行為。

以上技術方案中，由于正常流量中的版本協商請求報文會羅列系統支持的所有SMB版本，而待檢測病毒傳播行為僅會列出該病毒傳播所使用的SMB版本，本方案對版本協商請求報文包括的SMB的版本進行了檢查匹配，并進一步與報文源IP對應的終端系統所支持的SMB版本進行比較，即可發現終端系統支持高版本SMB，卻依舊使用低版本SMB的病毒流量，因此可以及早發現病毒傳播行為，以便及時發出警告、遏止損失。

附圖說明

此處的附圖被并入說明書中并構成本說明書的一部分，示出了符合本說明書的實施例，并與說明書文本一同用于解釋原理。

圖1是本說明書示出的一種病毒傳播行為檢測方法的流程示例圖；

圖2是本說明書示出的SMB版本協商的請求報文的結構對比圖；

圖3是本說明書示出的一種操作系統指紋識別技術的實現的交互示例圖；

圖4是本說明書示出的一種病毒傳播行為檢測流程的邏輯示意圖；