[发明专利]一种基于通信行为的木马检测方法

权利要求书

1.一种基于通信行为的木马检测方法，其特征在于包含以下步骤：

S1：采集网络原始数据包，通过旁路的方式获取网络原始数据包；

S2：对采集到的网络原始数据包进行解析重组，将数据包进行解析，解析出网络接口层、网络层、传输层的相关信息，包括四元组信息，四元组相同的则为同一条流，并在网络层及传输层进行数据包的重组；

S3：识别常用的已知的不可能为木马数据流的协议，并对这些协议数据流进行过滤；

S4：判断同一条流是否同时存在：

（1）心跳行为；

（2）心跳包外的每个上行小包都伴随下行一个或多个连续的大包；

（3）每组“上行小包+下行大包”都至少有人为操作反应的时间间隔；

如果同时满足上述三个条件则判定为木马，否则判定为非木马。

2.根据权利要求1所述的基于通信行为的木马检测方法，其特征在于所述通过旁路的方式包含交换机、路由器镜像。

3.根据权利要求1所述的基于通信行为的木马检测方法，其特征在于步骤2中所述四元组信息包括源IP、目的IP、源端口、目的端口。