[发明专利]一种威胁检测方法及装置

摘要

本申请实施例提供一种威胁检测方法及装置，涉及网络安全领域，能够有效的检测反弹端口型木马程序。该方法包括：获取第一设备和第二设备之间的传输控制协议TCP会话中的报文，TCP会话的发起端设备为第一设备；获取TCP会话中从第一设备传输到第二设备的第一数据流和从第二设备传输到第一设备的第二数据流；获取第一数据流的多个第一报文中每个第一报文的时间信息以及第二数据流的多个第二报文中每个第二报文的时间信息；根据每个第一报文的时间信息和每个第二报文的时间信息，计算激活率、响应率以及交互次数；若激活率大于或等于第一阈值、响应率大于或等于第二阈值、且交互次数大于或等于第三阈值，确定第一设备受到威胁。

主权项

1.一种威胁检测方法，其特征在于，包括：威胁检测装置获取第一设备和第二设备之间的一个传输控制协议TCP会话中的报文，所述TCP会话的发起端设备为所述第一设备，所述第一设备位于受保护网络，所述第二设备位于另一网络；所述威胁检测装置获取所述TCP会话中的第一数据流和第二数据流，所述第一数据流为从所述第一设备传输到所述第二设备的数据流，所述第二数据流为从所述第二设备传输到所述第一设备的数据流；所述威胁检测装置获取多个第一报文中每个第一报文的时间信息以及多个第二报文中每个第二报文的时间信息，其中，所述多个第一报文是指所述第一数据流中的报文，所述多个第二报文是指所述第二数据流中的报文；所述威胁检测装置根据所述每个第一报文的时间信息和所述每个第二报文的时间信息，计算激活率、响应率以及交互次数，所述激活率是指在所述TCP会话中所述第一设备向所述第二设备发送的数据是由所述第二设备触发的概率，所述响应率是指在所述TCP会话中所述第二设备向所述第一设备发送的数据得到所述第一设备及时响应的概率，所述交互次数为在所述TCP会话中所述第一设备与所述第二设备之间交互的次数；若所述激活率大于或等于第一阈值、所述响应率大于或等于第二阈值、且所述交互次数大于或等于第三阈值，所述威胁检测装置确定所述第一设备与所述第二设备之间的连接方式为反向连接；若所述第一设备与所述第二设备之间的连接方式为反向连接，所述威胁检测装置确定所述第一设备受到威胁。