[发明专利]一种未知恶意代码的预警方法、设备和系统

权利要求书

1.一种未知恶意代码的预警方法，其特征在于，包括：

对数据包进行特征检测；

通过检测结果判断所述数据包是否包含可疑代码；

如果包含，记录所述可疑代码的源地址；

向监控设备发送包含所述源地址的预警信息；

接收所述监控设备发送的报警信息，所述报警信息包含所述可疑代码的恶意性、或所述可疑代码的恶意性以及僵尸网络拓扑信息。

2.如权利要求1所述的方法，其特征在于，所述对数据包进行特征检测包括以下至少一项：

检测数据流中是否包含所述可疑代码的名称；

检测数据流中是否包含所述可疑代码的文件头。

3.如权利要求1所述的方法，其特征在于，还包括：

根据所述可疑代码的恶意性，拦截具有恶意的可疑代码；或

根据所述可疑代码的恶意性以及僵尸网络拓扑信息，拦截具有恶意的可疑代码以及所述僵尸网络拓扑信息对应的僵尸网络中的数据包。

4.一种网络设备，其特征在于，包括：

第一检测模块，用于对数据包进行特征检测；

第一判断模块，用于通过第一检测模块的检测结果判断所述数据包是否包含可疑代码；

第一记录模块，用于在第一判断模块判断为包含的情况下，记录所述可疑代码的源地址；

第一发送模块，用于向监控设备发送包含所述源地址的预警信息；

第一接收模块，用于接收所述监控设备发送的报警信息，所述报警信息包含所述可疑代码的恶意性、或所述可疑代码的恶意性以及僵尸网络拓扑信息。

5.如权利要求4所述的网络设备，其特征在于，第一检测模块包括： 

第一检测子模块，用于检测数据流中是否包含所述可疑代码的名称；和/或

第二检测子模块，用于检测数据流中是否包含所述可疑代码的文件头。

6.如权利要求4所述的网络设备，其特征在于，还包括：

第一拦截模块，用于根据所述可疑代码的恶意性，拦截具有恶意的可疑代码；或

第二拦截模块，用于根据所述可疑代码的恶意性以及僵尸网络拓扑信息，拦截具有恶意的可疑代码以及所述僵尸网络拓扑信息对应的僵尸网络中的数据包。

7.一种未知恶意代码的预警系统，其特征在于，包括：

如权利要求4-6中任意一项所述的网络设备；

监控设备，用于接收预警信息；解析所述预警信息中的源地址；下载所述源地址对应的可疑代码；判断所述可疑代码是否恶意；在判断为具有恶意时，发送报警信息。