[发明专利]基于网络流量的使用跨会话技术检测未知木马的方法及系统

说明书

本发明公开了基于网络流量的使用跨会话技术检测未知木马的方法及系统，包括dpdk抓取交换机镜像过来的网络流量、解析数据包、五元组进行会话管理、调换源目的的ip地址、存在方向的ip对会话后判断创建时间、根据两个会话的协议类型剔除正常通信协议与输出木马检测结果七个步骤。本文提出基于对木马的通信行为进行检测，但不是采用统计规律来进行检测，而是由经验丰富的安全分析人员依据大量的实践经验，根据大量多种木马的通信活动总结出的通信特点来进行检测，可以检测出apt这一类的木马通信活动，具有检测新的未知木马能力；通过监控网络流量，判断分析隐藏在计算机木马程序上线激活的步骤，从而发现木马活动，最终发现失陷主机。

技术领域

本发明属于跨会话检测未知木马技术领域，具体涉及基于网络流量的使用跨会话技术检测未知木马的方法及系统。

背景技术

随着网络技术的发展，网络安全已经成为重要的研究课题。目前，主要的安全威胁方式正从入侵攻击、网络蠕虫转向主要通过网页挂马等方式传播木马，攻击者可以通过木马窃取机密文件、隐私信息、各种账号，从而谋取暴利，并组建僵尸网络，发动群体攻击，木马严重威胁着网络用户的隐私和数据安全。因此，在开放的网络环境下，木马检测技术已成为现代计算机安全技术中的一个重要研究课题。按检测对象来划分有检测木马文件、检测木马通信流量、检测木马进程行为三大类。对木马文件进行检测需要事先获取木马样本，提取特征，比如文件的md5值，特征字符串或者二进制特有指令。检测木马进程行为需要在每台计算机上安装、运行检测工具，影响用户使用计算机。检测木马通信流量又可以分为已知流量特征和通信行为检测。流量特征也需要实现掌握对应的真实木马通信流量，然后提取特征。通信行为检测可以研究木马的具体通信行为，掌握通信行为规律，利用通信行为统计特征来进行检测，缺点是需要木马通信比较多，次数比较频繁。

现有的检测方式多基于已知特征的检测，缺点是需要提前获取、提取已知木马的样本，随着技术进步，木马样本可以随意变形，木马迭代升级速度也很快，获取样本的难度越来越大，样本数量极为庞大，以已知特征的检测方式越来越困难。基于通信行为的检测依赖于木马的多次通信行为。但apt类木马的通信次数很少，上线时间很少，大部分时间都在沉睡，这类木马的通信行为检测难度很大，检测样本量很少，为此我们提出基于网络流量的使用跨会话技术检测未知木马的方法及系统来解决现有技术中存在的问题。

发明内容

本发明的目的在于提供基于网络流量的使用跨会话技术检测未知木马的方法及系统，通过监控网络流量，判断分析隐藏在计算机木马程序上线激活的步骤，从而发现木马活动，最终发现失陷主机，以解决上述背景技术中提出现有技术中的问题。

为实现上述目的，本发明采用了如下技术方案：基于网络流量的使用跨会话技术检测未知木马的方法，包括如下步骤：

步骤1、dpdk抓取交换机镜像过来的网络流量；

步骤2、解析数据包，并解析出数据包的各种类型；

步骤3、五元组进行会话管理，保存会话的ip对；

步骤4、调换源目的的ip地址，用ip对在会话表中查询是否已经存在反向的会话；

步骤5、存在方向的ip对会话后判断创建时间是否在10分钟之内；

步骤6、根据两个会话的协议类型剔除ftp，rtsp等正常通信协议；

步骤7、输出木马检测结果：通信的两个ip地址。

优选的，步骤1中，复制数据包到合适大小的进程内存中，同时也使用引用计数方式管理，多处需要缓存数据包时就不再复制数据，仅增加引用计数即可。

优选的，步骤2中，数据包的各种类型包括ip类型，端口类型，协议类型。

优选的，步骤4中，普通会话查找是查找发起连接的ip，而要查找反向连接的会话则需要在历史会话缓存中查找是否存在当前会话ip对交换后的历史会话。