[发明专利]一种可切换的非完整流和完整流检测方法及系统

说明书

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种可切换的非完整流和完整流检测方法及系统。 

背景技术

目前，反病毒引擎是通过获取网络数据包，将网络数据包还原完整后，对文件进行病毒特征码检测。由于网络上传输的数据包有一定几率会丢失，并且可能同一个数据流来自于不同的数据源，都会导致无法获取全部数据包，从而不能将文件还原完整。

而且，有些恶意代码的特征在数据流的起始部分就已经开始体现，并能够正确检测，如果在这种情况下依然还原完整数据流再进行检测的话，不仅浪费系统资源，而且影响检测效率。同时，如果只是对数据流的起始部分进行检测，可能存在起始部分中不包含可用于检测的特征片段，这样影响了检出率。

发明内容

针对上述技术问题，本发明提供了一种可切换的非完整流和完整流检测方法及系统，该方法首先基于获取的数据流的首部分数据进行非完整流检测，并基于检测结果判定是否需要进行完整流检测，从而提高了检测效率，减少了对系统的占用。 

本发明采用如下方法来实现：一种可切换的非完整流和完整流检测方法，包括：

获取网络数据流前部预设数量的数据包并进行还原，然后对还原出的部分数据进行病毒的检测；

继续获取所述数据流的数据包，如果数据包接收失败或者所述数据流的数据包已经接收完成，则对所接收的所有数据包进行还原并进行病毒检测。

方法中，所述获取网络数据流前部预设数量的数据包并进行还原，然后对还原出的部分数据进行病毒的检测包括，如果检测出恶意代码则结束检测，否则继续获取所述数据流的数据包，如果数据包接收失败或者所述数据流的数据包已经接收完成，则对所接收的数据包进行还原并进行病毒检测。

方法中，所述获取网络数据流前部预设数量的数据包并进行还原，然后对还原的部分数据进行病毒的检测包括：如果未检测出恶意代码，则进一步提取所述还原出的部分数据特征，如果所述特征同时存在于正常文件和恶意代码文件中，则继续获取所述数据流的数据包，如果数据包接收失败或者所述数据流的数据包已经接收完成，则对所接收的所有数据包进行还原并进行病毒检测。

上述方法中，所述获取网络数据流前部预设数量的数据包并进行还原包括：还原前部预设数量的数据包得到的数据长度不超过指定长度。

上述方法中，如果所述数据流的全部数据包数量少于所述网络数据流前部预设数量，则还原所述数据流的全部数据包并进行病毒检测。

一种可切换的非完整流和完整流检测系统，包括： 

非完整流检测模块，获取网络数据流前部预设数量的数据包并进行还原，然后对还原出的部分数据进行病毒的检测；

完整流检测模块，继续获取所述数据流的数据包，如果数据包接收失败或者所述数据流的数据包已经接收完成，则对所接收的所有数据包进行还原并进行病毒检测。

系统中，所述获取网络数据流前部预设数量的数据包并进行还原，然后对还原出的部分数据进行病毒的检测包括，如果检测出恶意代码则结束检测，否则继续获取所述数据流的数据包，如果数据包接收失败或者所述数据流的数据包已经接收完成，则对所接收的数据包进行还原并进行病毒检测。

系统中，所述获取网络数据流前部预设数量的数据包并进行还原，然后对还原的部分数据进行病毒的检测包括：如果未检测出恶意代码，则进一步提取所述还原出的部分数据特征，如果所述特征同时存在于正常文件和恶意代码文件中，则继续获取所述数据流的数据包，如果数据包接收失败或者所述数据流的数据包已经接收完成，则对所接收的所有数据包进行还原并进行病毒检测。

上述系统中，所述获取网络数据流前部预设数量的数据包并进行还原包括：还原前部预设数量的数据包得到的数据长度不超过指定长度。

上述系统中，如果所述数据流的全部数据包数量少于所述网络数据流前部预设数量，则还原所述数据流的全部数据包并进行病毒检测。

综上所述，本发明提供了一种可切换的非完整流和完整流检测方法及系统，首先获取待检测数据流的预设数量的数据包并还原，对于还原的数据进行病毒检测；同时，可以继续获取所述数据流的数据包，对接收的所有数据包进行还原并进行病毒检测。从而既提高了检测效率，由保证了检出率。

附图说明

为了更清楚地说明本发明的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。