[发明专利]一种未知恶意代码的预警方法、设备和系统

说明书

技术领域

本发明实施例涉及网络安全技术，特别是涉及一种未知恶意代码的预警方法、 设备和系统。

背景技术

随着互联网的广泛应用，对网络安全的需求变得越来越大。在所有的攻击手 段中，对漏洞的利用也越来越频繁。过去安全漏洞被利用一般需要几个月时间。 最近，发现与利用之间的时间间隔已经减少到了数天。漏洞一旦被发现后在很短 的时间内就会被恶意利用，对于这种攻击，厂商大多很久才能够得到恶意代码的 样本，发行相应的补丁也就更慢，所以这种攻击往往能够造成巨大的破坏。MS  Blast(MS风暴)在漏洞被发现不到25天就进行了袭击，Nachi(MS风暴变种) 一周后就发动了袭击。如果能够及早发现恶意代码，就可以及时预防，进而减少 恶意代码造成的损失。

现有技术中，网络设备无法对可疑代码进行上报，当恶意代码攻击发生以后， 厂商需要很久才能获取恶意代码样本。病毒软件虽然可以对已经下载到电脑上的 文件进行分析并上报给监控中心，但是如果处理不当，仍然会受到已经下载的恶 意代码的攻击，并且给用户的电脑带来了很大的负担，另外由于需要安装，给用 户带来了很多麻烦，所以一些用户会拒绝在网络设备上安装杀毒软件，成为了恶 意代码传播的温床。

发明内容

本发明实施例提供了一种未知恶意代码的预警方法、设备和系统。可以在第 一时间主动上报大量可疑代码的源地址，为缩短解决病毒威胁的时间奠定了基 础；并且无需在客户端安装软件，避免安装过程的麻烦。

本发明实施例提供的一种未知恶意代码的预警方法，包括：

对数据包进行特征检测；

通过检测结果判断所述数据包是否包含可疑代码；

如果包含，记录所述可疑代码的源地址；

向监控设备发送包含所述源地址的预警信息；

接收所述监控设备发送的报警信息，所述报警信息包含所述可疑代码的恶意 性、或所述可疑代码的恶意性以及僵尸网络拓扑信息。

本发明实施例提供的一种网络设备，包括：

第一检测模块，用于对数据包进行特征检测；

第一判断模块，用于通过第一检测模块的检测结果判断所述数据包是否包含 可疑代码；

第一记录模块，用于在第一判断模块判断为包含的情况下，记录所述可疑代 码的源地址；

第一发送模块，用于向监控设备发送包含所述源地址的预警信息；

第一接收模块，用于接收所述监控设备发送的报警信息，所述报警信息包含 所述可疑代码的恶意性、或所述可疑代码的恶意性以及僵尸网络拓扑信息。

本发明实施例提供的一种未知恶意代码的预警系统，包括网络设备和监控设 备，其中监控设备用于接收预警信息；解析所述预警信息中的源地址；下载所述 源地址对应的可疑代码；判断所述可疑代码是否恶意；在判断为具有恶意时，发 送报警信息。

本发明实施例提供的一种未知恶意代码的预警方法、设备和系统。可以在第 一时间主动上报大量可疑代码的源地址，从而使得厂商在恶意代码出现后快速获 得样本源地址，并且确保了预警信息来源的全面性，为缩短解决病毒威胁的时间 奠定了基础；并且无需在客户端安装软件，避免安装过程的麻烦。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使 用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实 施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根 据这些附图获得其他的附图。

图1为本发明未知恶意代码的预警方法实施例示意图；

图2为本发明未知恶意代码的预警方法实施例示意图；

图3为本发明网络设备实施例示意图；

图4为本发明未知恶意代码的预警系统实施例示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清 楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全 部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳 动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种结构化信息价值评估方法和设备，下面对本发明实 施例的技术方案做进一步的详细描述。