[发明专利]一种基于旁路监听的云数据病毒探测方法及系统

权利要求书

1.一种基于旁路监听的云数据病毒探测方法，其特征在于，包括：

从物理网络设备获取迁移数据，判别迁移数据并取得整体镜像，依据整体镜像分别提取其中的进程镜像、磁盘文件；

基于病毒库解析、扫描并比对所述进程镜像、磁盘文件，分析检测出病毒文件。

2.根据权利要求1所述的方法，其特征在于，包括：

从所述迁移数据中获取原始报文，基于原始数据报文进行TCP报文重组成为原始TCP数据流，判定是否需要进行解密，若需要解密，则使用用户配置的解密用信息进行解密。

3.根据权利要求1所述的方法，其特征在于，所述判别迁移数据类型并取得整体镜像，包括：

解析所述迁移数据消息类型，根据消息类型解析相应字段，并提取数据字段。

4.根据权利要求1所述的方法，其特征在于，所述依据整体镜像分别提取其中的进程镜像、磁盘文件，包括：

基于所述迁移数据提取内存整体镜像，找到目标镜像中系统内核的进程列表入口，解析出进程镜像页表，导出内存进程镜像。

5.根据权利要求1所述的方法，其特征在于，所述依据整体镜像分别提取其中的进程镜像、磁盘文件，包括：

基于所述迁移数据提取磁盘整体镜像，解析磁盘分区表，依据探测到的分区格式查找文件分配表，并基于文件分配表导出磁盘文件。

6.根据权利要求1或2所述的方法，其特征在于，还包括：

接收用户配置信息，并对所述病毒文件进行告警提示，所述用户配置信息包括解密用信息、告警用信息。

7.一种基于旁路监听的云数据病毒探测系统，其特征在于，包括：

数据解析模块，用于从物理网络设备获取迁移数据，判别迁移数据类型并取得整体镜像，依据整体镜像分别提取其中的进程镜像、磁盘文件；

分析模块，用于基于病毒库样本解析、扫描并比对所述进程镜像、磁盘文件，分析检测出病毒文件。

8.根据权利要求7所述的系统，其特征在于，还包括：

解密模块，用于从所述迁移数据中获取原始报文，基于原始数据报文进行TCP报文重组成为原始TCP数据流，判定是否需要进行解密，若需要解密，则使用用户配置的解密用信息进行解密。

9.根据权利要求7所述的系统，其特征在于，所述数据解析模块包括：

解析子模块，用于解析所述迁移数据消息类型，根据消息类型解析相应字段，并提取数据字段。

10.根据权利要求7所述的系统，其特征在于，所述数据解析模块包括：

第一提取子模块，用于基于所述迁移数据提取内存整体镜像，找到目标镜像中系统内核的进程列表入口，解析出进程镜像页表，导出内存进程镜像。

11.根据权利要求7所述的系统，其特征在于，所述数据解析模块包括：

第二提取子模块，用于基于所述迁移数据提取磁盘整体镜像，解析磁盘分区表，依据探测到的分区格式查找文件分配表，并基于文件分配表导出磁盘文件。

12.根据权利要求7或8所述的系统，其特征在于，还包括：

提示模块，用于接收用户配置信息，并对所述病毒文件进行告警提示，所述用户配置信息包括解密用信息、告警用信息。