[发明专利]一种攻击检测的方法和装置

权利要求书

1.一种攻击检测的方法，其特征在于，所述方法包括以下步骤：

攻击检测装置在接收到数据流之后，从所述数据流的附件中分离出文件；

所述攻击检测装置将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；

所述攻击检测装置监测所述沙箱内是否有网络连接行为；

如果是，则所述攻击检测装置确定所述数据流为攻击数据流；

如果否，则所述攻击检测装置确定所述数据流为合法数据流；

在所述沙箱打开所述文件之前，在所述沙箱内是不发生网络连接行为的。

2.如权利要求1所述的方法，其特征在于，所述沙箱具体包括：内置在所述攻击检测装置中的沙箱，或者，独立于所述攻击检测装置的沙箱。

3.如权利要求1所述的方法，其特征在于，所述方法进一步包括：

所述攻击检测装置确定所述数据流为攻击数据流之后，所述攻击检测装置确定所述文件中包含用于从网络中下载并执行可执行文件的恶意指令。

4.如权利要求1所述的方法，其特征在于，所述数据流包括高级持续性威胁APT数据流，所述文件包括：WORD文件、EXCEL文件、PPT文件。

5.一种攻击检测装置，其特征在于，所述攻击检测装置具体包括：

分离模块，用于在接收到数据流后，从所述数据流的附件中分离出文件；

发送模块，用于将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；

监测模块，用于监测所述沙箱内是否有网络连接行为；

确定模块，用于当沙箱内有网络连接行为时，则确定所述数据流为攻击数据流；当沙箱内没有网络连接行为时，则确定所述数据流为合法数据流；

在所述沙箱打开所述文件之前，在所述沙箱内是不发生网络连接行为的。

6.如权利要求5所述的攻击检测装置，其特征在于，所述沙箱具体包括：内置在所述攻击检测装置中的沙箱，或者，独立于所述攻击检测装置的沙箱。

7.如权利要求5所述的攻击检测装置，其特征在于，

所述确定模块，还用于在确定所述数据流为攻击数据流之后，确定所述文件中包含用于从网络中下载并执行可执行文件的恶意指令。

8.如权利要求5所述的攻击检测装置，其特征在于，所述数据流具体包括高级持续性威胁APT数据流，所述文件具体包括：WORD文件、EXCEL文件、PPT文件。