[发明专利]一种基于网络数据包检测恶意代码的方法和系统

权利要求书

1.一种基于网络数据包检测恶意代码的方法，其特征在于，包括：

步骤a、在实际要监控的网络环境中，捕获网络连接中的数据包；

步骤b、利用已知的恶意代码的计算规则，对所捕获的当前数据包中部分或者全部的数据或者数据格式进行计算，生成动态检测规则；

步骤c、继续捕获网络连接中的数据包，将与所述当前数据包时序相邻的数据包作为待检测数据包，用所述动态检测规则和与待检测数据包中部分或者全部的数据或者数据格式进行匹配，如果匹配成功则判断存在恶意代码，否则返回步骤b继续监控。

2.如权利要求1所述的基于网络数据包检测恶意代码的方法，其特征在于，步骤b还包括：使用过滤条件对当前数据包进行过滤，利用已知的恶意代码的计算规则对符合过滤条件的所述当前数据包中部分或者全部的数据或者数据格式进行计算，生成动态检测规则。

3.如权利要求2所述的基于网络数据包检测恶意代码的方法，其特征在于，所述过滤条件包括：IP地址、端口、协议类型、数据包的大小。

4.如权利要求2所述的基于网络数据包检测恶意代码的方法，其特征在于，所述过滤条件还包括：预先提取的恶意代码的通信数据包中相同的数据或者数据格式。

5.如权利要求1所述的基于网络数据包检测恶意代码的方法，其特征在于，步骤c还包括：继续捕获网络连接中的数据包，将与所述当前数据包通讯方向相反、时序相邻的数据包作为待检测数据包，用所述动态检测规则和与待检测数据包中部分或者全部的数据或者数据格式进行匹配，如果匹配成功则判断存在恶意代码，否则返回步骤b继续监控。

6.如权利要求1或5所述的基于网络数据包检测恶意代码的方法，其特征在于，记录所述当前数据包的获取时间并设置时间间隔，继续捕获网络连接中的数据包时对于超过所述时间间隔所捕获到的数据包不作为待检测数据包。

7.一种基于网络数据包检测恶意代码的系统，其特征在于，包括：

捕获模块，用于在实际要监控的网络环境中，捕获网络连接中的数据包；

动态规则模块，用于利用已知的恶意代码的计算规则，对所捕获的当前数据包中部分或者全部的数据或者数据格式进行计算，生成动态检测规则；

匹配模块，用于将捕获到的与所述当前数据包时序相邻的数据包或者与所述当前数据包通讯方向相反、时序相邻的数据包作为待检测数据包，用所述动态检测规则和与待检测数据包中部分或者全部的数据或者数据格式进行匹配，如果匹配成功则判断存在恶意代码，否则继续监控。

8.如权利要求7所述的基于网络数据包检测恶意代码的系统，其特征在于，还包括过滤模块，用于设置过滤条件，所述过滤条件包括：IP地址、端口、协议类型、数据包的大小以及预先提取的恶意代码的通信数据包中相同的数据或者数据格式。

9.如权利要求7所述的基于网络数据包检测恶意代码的系统，其特征在于，匹配模块具体还用于记录所述当前数据包的获取时间并设置时间间隔，对于超过所述时间间隔所捕获到的数据包不作为待检测数据包。