[发明专利]一种基于通信行为的木马检测方法有效
| 申请号： | 201710371748.6 | 申请日： | 2017-05-24 |
| 公开（公告）号： | CN106992992B | 公开（公告）日： | 2020-02-11 |
| 发明（设计）人： | 赵军安;孙宏跃;潘彪;吴明 | 申请（专利权）人： | 南京中孚信息技术有限公司 |
| 主分类号： | H04L29/06 | 分类号： | H04L29/06 |
| 代理公司： | 31258 上海海颂知识产权代理事务所(普通合伙) | 代理人： | 任益 |
| 地址： | 211800 江苏省南京市紫金(浦*** | 国省代码： | 江苏;32 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明公开了一种基于通信行为的木马检测方法，首先采集网络原始数据包，通过旁路的方式获取网络原始数据包；接着对采集到的网络原始数据包进行解析重组，将数据包进行解析，解析出网络接口层、网络层、传输层的相关信息，包括四元组信息，四元组相同的则为同一条流，并在网络层及传输层进行数据包的重组；然后识别常用的已知的不可能为木马数据流的协议，并对这些协议数据流进行过滤；最后判断同一条流是否同时存在：心跳行为、心跳包外的每个上行小包都伴随下行一个或多个连续的大包、每组“上行小包+下行大包”都至少有一定的时间间隔，如果同时满足上述三个条件则判定为木马，否则判定为非木马。本发明简化了识别算法，提高了识别准确率。 | ||
| 搜索关键词： | 一种 基于 通信 行为 木马 检测 方法 | ||
【主权项】：
1.一种基于通信行为的木马检测方法，其特征在于包含以下步骤：/nS1：采集网络原始数据包，通过旁路的方式获取网络原始数据包；/nS2：对采集到的网络原始数据包进行解析重组，将数据包进行解析，解析出网络接口层、网络层、传输层的相关信息，包括四元组信息，四元组相同的则为同一条流，并在网络层及传输层进行数据包的重组；/nS3：识别常用的已知的不可能为木马数据流的协议，并对这些协议数据流进行过滤；/nS4：判断同一条流是否同时存在：/n（1）心跳行为；/n（2）心跳包外的每个上行小包都伴随下行一个或多个连续的大包；/n（3）每组“上行小包+下行大包”都至少有人为操作反应的时间间隔；/n如果同时满足上述三个条件则判定为木马，否则判定为非木马。/n
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于南京中孚信息技术有限公司，未经南京中孚信息技术有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201710371748.6/，转载请声明来源钻瓜专利网。
- 上一篇：一种防火电力电缆
- 下一篇：一种具有防结冰功能的输电电缆
