[发明专利]带预警功能的网络木马综合检测方法及其功能模块架构装置

说明书

技术领域

本发明属于网络安全技术领域，特别是一种针对网络木马病毒的综合检测方法及为实现其方法所采用的功能模块架构装置。采用本发明方法及其装置既可对已知的木马病毒进行检测，还可对未知木马病毒的行为进行动态预警跟踪检测。 

背景技术

木马病毒的泛滥，对计算机及网络系统造成的危害日益严重。目前，针对木马病毒的检测和防御主要采用三种方式：一是针对网页木马进行检测，如：申请号为200610152533.7、发明名称为《基于链接分析的网页木马追踪技术》及申请号为200610152530.3、发明名称为《一种基于行为特征的网页木马检测方法》的专利文献所公的即属于此类技术；二是单机防范，如申请号为200410052134.4、发明名称为《防止木马或病毒窃取输入信息的方法》及申请号为200610035569.7、发明名称为《一种内嵌木马专杀的网络游戏系统及查杀毒方法》即属于此类技术；三是各类杀毒软件，如卡巴斯基、360、瑞星等。上述技术均是针对特定的木马病毒进行单机检测，虽然具有针对性强、对特定的木马病毒防御及查、杀效果亦较好等特点；但却存在性能单一、且在每台需要防御的计算机上均须安装相应的软件才能做到针对性的有效检测和防御；此外，若在一台计算机上安装多种针对性的防木马病毒软件，又会出现相互干扰，影响其防病毒的效果。因而，上述技术存在需单机采用专用软件进行针对性检测，性能单一，对木马病毒只能进行被动防御，不能在未知木马病毒发作前进行预警，对木马病毒变种、更新的适应性差、综合检测效果差、适应范围窄，各种木马检测软件之间相互干扰大等缺陷。 

发明内容

本发明的目的是针对背景技术存在的缺陷，研究设计一种带预警功能的网络木马综合检测方法及其功能模块架构装置。既可对已知的木马病毒进行检测，而且又可对未知木马病毒的发生进行预警及检测，且在不增加内网任何负担、不在单机上新装对应软件的情况下，达到提高对网络木马病毒进行综合检测、防御的性能和效果，对木马病毒变种、更新的适应性强，防御面宽、应用范围广及对内网进行整体防御等目的。 

本发明的解决方案是将木马检测放在内网的单机之外进行，采用已知的木马病毒特征参数作为对已知木马病毒的检测标准，而采用各类木马病毒的流量特征参数作为相应未知木马病毒的预警检测标准，采用各类木马病毒的周期特征参数作为预警后的未知木马病毒的周期检测标准，通过旁路侦听内网数据，并将数据通过已知木马检测模块、木马预警检测模块处理和木马周期检测模块，得到木马活动的信息后、将其送入网络木马病毒管理器作后继处理；而为实现该方法所采用的架构装置，则是以常规工业控制机作为基础来设置木马检测的功能模块架构；该装置运行中分别与内网网络的侦听端口及外部网络联接，从而实现其发明目的。因此，本发明的方法包括：

A.检测参数的初始化处理：将需要保护的内网网段、检测模块网络地址、网络木马病毒管理器网络地址以及已知木马病毒检测标准、未知木马病毒流量预警标准、未知木马病毒周期检测标准进行初始化设置； 

B.录入待检测数据：从内网侦听端口录入数据，然后抽取数据中记录的内网地址、内网端口号、外网地址、外网端口号、数据流向、数据量大小、协议编号、关键字数据、出现时间，作为待检测的原始数据、以备检测； 

C.按已知木马病毒标准检测：首先按照已知的木马病毒特征标准对待检测的原始数据进行对比分析检测，若与任一已知木马病毒检测标准相符，则将原始数据以及触发的已知木马病毒检测标准和触发时间作为木马病毒信息，送网络木马病毒管理器作后继处理；若不符合已知的木马病毒标准，则转下一步继续检测； 

D.按木马病毒流量预警标准检测：将经步骤C检测后输入数据，与数据库中在先的分析数据逐一进行比对检测，如果数据库中已经存在与该输入数据对应的分析数据，则按照设定的未知木马病毒流量预警标准逐一进行对比分析检测，若与任一未知木马病毒流量预警检测标准相符，则将输入数据以及触发的未知木马病毒流量预警标准和触发时间，作为达到未知木马病毒流量预警标准的预警数据、送网络木马病毒管理器作预警处理，并转下一步骤对预警数据作进一步比对检测处理，若均不相符则转步骤F作数据丢弃处理；如果数据库中无在先分析数据或不存在对应的分析数据，则将该输入数据存入数据库中，作为分析数据；