[发明专利]恶意远程过程调用行为的检测方法和装置

权利要求书

1.一种恶意远程过程调用RPC行为的检测方法，其特征在于，包括：

在客户机向服务器查询RPC服务对应的高位端口时，记录该客户机请求的所有RPC服务的UUID；

在RPC过程中，对所述客户机与服务器之间会话连接中所传输的数据包进行解析，获得所述会话连接上承载的RPC流；

根据所述记录的UUID和RPC流，获得与所述RPC过程相关的所有UUID；

判断获得的所有UUID中的每个UUID是否符合策略库中预定的控制策略，以此检测客户机是否执行了恶意RPC行为。

2.如权利要求1所述的方法，其特征在于，所述获得所述数据包上承载的RPC流之前，还包括：

根据记录所述UUID时的先后顺序，得到记录的每个UUID对应的顺序号，并保存UUID和顺序号的对应关系；

所述根据所述记录的UUID和RPC流，获得与所述RPC过程相关的所有UUID，包括：

从所述RPC流中解析出携带的每个RPC服务的顺序号；

对于每个解析出的顺序号，在所述对应关系中查找对应的UUID，从而获得与所述RPC过程相关的所有UUID。

3.如权利要求1所述的方法，其特征在于，所述判断获得的所有UUID中的每个UUID是否符合策略库中预定的控制策略，包括：

对获得的与所述RPC过程相关的所有UUID进行筛选，去除其中所述服务器不支持的RPC服务的UUID；

通过查询策略库，判断筛选保留的每个UUID是否符合预定的控制策略。

4.如权利要求1至3中任一所述的方法，其特征在于，所述策略库中包括正常控制策略或异常控制策略，所述正常控制策略包含正常的RPC行为相关的UUID、所述异常控制策略包括恶意RPC行为相关的UUID；

所述判断各UUID是否符合策略库中预定的控制策略，以此检测客户机是否执行了恶意RPC行为，包括：

判断各UUID是否符合策略库中的正常控制策略，若不符合所述正常控制策略，则确定所述客户机执行了恶意RPC行为；或/和

判断各UUID是否符合策略库中的异常控制策略，若符合所述恶意控制策略，则确定所述客户机执行了恶意RPC行为。

5.如权利要求2所述的方法，其特征在于，所述根据所述记录的UUID和RPC流，获得与所述RPC行为相关的所有UUID后，还包括：

从所述RPC流中解析出携带的每个RPC服务的顺序号和操作符的组合；

对于每个所述组合，根据其中的顺序号在所述对应关系中查找对应的UUID，从而获得与所述RPC过程相关的所有UUID与操作符的组合。

6.如权利要求5所述的方法，其特征在于，所述通过查询策略库，确定各UUID是否符合预定的控制策略，包括：

对获得的每个UUID、以及每个UUID与操作符的组合进行筛选，去除其中所述服务器不支持的RPC服务的UUID、和不支持的RPC服务的UUID与操作符的组合；

通过查询策略库，判断筛选保留的每个UUID、每个UUID与操作符的组合是否符合预定的控制策略。

7.如权利要求1、2、3、5或6任一所述的方法，其特征在于，所述检测客户机执行了恶意RPC行为之后，还包括：

阻断所述恶意RPC行为对应的数据包。

8.一种恶意RPC行为的检测装置，其特征在于，包括：

记录模块，用于在客户机向服务器查询RPC服务对应的高位端口时，记录该客户机请求的所有RPC服务的UUID；

解析模块，用于在RPC过程中，对所述客户机与服务器之间会话连接中所传输的数据包进行解析，获得所述会话连接上承载的RPC流；

获取模块，用于根据记录模块记录的UUID和解析模块获得的RPC流，获得与所述RPC过程相关的所有UUID；

检测模块，用于判断获取模块获得的所有UUID中的每个UUID是否符合策略库中预定的控制策略，以此检测客户机是否执行了恶意RPC行为。