[发明专利]基于心跳行为分析的快速木马检测方法

权利要求书

1.一种基于心跳行为分析的快速木马检测方法，其特征在于：首先，将捕获的网络数据按照网络会话进行整理：将数据包按照等价四元组进行会话划分，即每个会话通过等价四元组唯一标识，并选用会话链表作为存储会话的数据结构；每一个会话链表都要用等价四元组进行标识，根据数据包中等价四元组查找相应的会话，将数据包信息添加到相应的会话链表中；其次，在连接保持无操作阶段木马通信特征的提取中，提取两个会话统计特征用于检测木马在连接保持无操作阶段的通信行为，该两个会话统计特征为：“心跳过程”接收和发送的数据包比例相等、“心跳间隙”的平稳性小于或等于阈值；若接收和发送的数据包数量相等则为疑似木马心跳行为，若“心跳间隙”的平稳性小于或等于阈值则为疑似木马心跳行为。

2.根据权利要求1所述的木马检测方法，其特征在于：关于“心跳过程”接收和发送的数据包比例相等的判断，对连续m个t长时间段，分别计算接收和发送的数据包比值β_i，i＝1，2，...m’...，m。若中不存在至少有m′个值相等的情形，则判断会话中不存在疑似木马心跳行为。

3.根据权利要求2所述的木马检测方法，其特征在于：取m＝10，t＝900，m′＝5。

4.根据权利要求1所述的木马检测方法，其特征在于：关于“心跳间隙”的平稳性小于或等于阈值的判断，取单向会话数据流的时间间隔采样结果为：其中X表示数据包时间间隔采样集合，x_i表示第i个采样值，n表示样本量；为对X进行离散傅立叶变换后的特征向量，其中y_i表示经过DFT变换后的第i个系数；“心跳间隙”的平稳性定义为Stability：当满足时，“心跳间隙”具有平稳性，则判定为木马程序，反之则为正常网络通讯。

5.根据权利要求4所述的木马检测方法，其特征在于：取ω＝15。

6.根据权利要求4所述的木马检测方法，其特征在于：心跳间隙的平稳性定义为stability，当满足时，“心跳间隙”具有平稳性，则判定为木马程序，反之则为正常网络通讯，其中，

7.根据权利要求6所述的木马检测方法，其特征在于：取ω＝0.005。

8.根据权利要求1所述的木马检测方法，其特征在于：根据等价四元组中各元素的不同特性设定数组链表的链接顺序，把取值范围适中且对应会话数量分布最均匀的元素设为数组链表的第一级，依次设定链接顺序。

9.根据权利要求1所述的木马检测方法，其特征在于：所述四元组为源IP地址，源端口，目的IP地址，目的端口。