[发明专利]恶意代码检测方法及网络设备

说明书

技术领域

本发明实施例涉及网络通信领域，尤其涉及一种恶意代码检测方法及网络设备。

背景技术

随着网络技术的发展，各种基于网络的应用层出不穷。面对日益突出的网络安全问题，仅靠传统被动的防御已经不能满足要求，于是能够主动检测并防御的入侵检测系统应运而生。在互联网领域，各种入侵检测技术，例如网络漏洞扫描、网页木马扫描、网页分类及数据挖掘技术等均是使用特征库匹配的方法来进行入侵检测和防御的。

特征匹配是当前安全厂商检测恶意代码的一种通用方法。当已知一种恶意代码时，从该恶意代码中提取出一条到N条特征串，由这些特征串组成一条规则，用这条规则代表该类型的恶意代码。其中，多模特征匹配算法是一种在对被检测数据块的一次遍历过程中进行多种特征匹配的算法，该算法具有较高的匹配速度，因此得到较为广泛的使用，尤其是AC自动机匹配算法。AC自动机匹配算法包括构造一棵Trie树、构造失败指针和模式匹配三个步骤。在AC自动机匹配算法中，构建Trie树的过程较慢，且所需内存较大，因此，随着网络资源越来越丰富，检测恶意代码用的特征库越来越庞大，即使是使用AC自动机匹配算法的特征匹配的速度也会越来越低，因此，现有特征匹配算法越来越无法满足恶意代码检测过程对特征匹配速度的需求。

发明内容

本发明实施例提供一种恶意代码检测方法及网络设备，用以提高恶意代码检测过程中的特征匹配速度，提高恶意代码检测的速度。

本发明实施例提供一种恶意代码检测方法，包括：

获取被检测数据块；

按照预设划分策略将所述被检测数据块划分为数据片段，获取每个所述数据片段的索引，将所述数据片段的索引和规则库中规则的特征串的基数进行匹配，其中，所述规则库是预先生成的；

当所述数据片段的索引与规则库中一条规则的所有特征串的基数均匹配中时，将被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配；

当所有字符匹配均成功时，判定所述被检测数据块为恶意代码。

本发明实施例提供一种网络设备，包括：

数据块获取模块，用于获取被检测数据块；

索引获取模块，用于按照预设划分策略将所述被检测数据块划分为数据片段，并获取每个所述数据片段的索引；

索引匹配模块，用于将所述数据片段的索引和规则库中规则的特征串的基数进行匹配，其中，所述规则库是预先生成的；

字符匹配模块，用于在所述数据片段的索引与规则库中一条规则的所有特征串的基数均匹配中时，将被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配；

第一判定模块，用于在所有字符匹配均成功时，判定所述被检测数据块为恶意代码。

本发明实施例的恶意代码检测方法及网络设备，在获取被检测数据块后，根据预设划分策略将被检测数据块划分为数据片段，获取每个数据片段的索引，首先将数据片段的索引和预先生成的规则库中所有规则的特征串的基数相匹配，只有在数据片段的索引与规则库中一条规则的所有特征串的基数均匹配中时，再将被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配，当所有字符匹配均成功时，判定被检测数据块为恶意代码。其中，数据片段的索引和特征串的基数的数据量要远小于数据片段或特征串，因此，本发明实施例可以显著提高特征匹配的速度，进而提高恶意代码检测的速度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的恶意代码检测方法的流程图；

图2A为本发明又一实施例提供的恶意代码检测方法的流程图；

图2B为本发明又一实施例提供的步骤201的实施方式的流程图；

图2C为本发明又一实施例提供的生成规则库中所有规则的特征串的基数的实施方式的流程图；

图2D为本发明又一实施例提供的步骤203的实施方式的流程图；

图3为本发明一实施例提供的网络设备的结构示意图；

图4为本发明又一实施例提供的网络设备的结构示意图。

具体实施方式