[发明专利]一种识别未知类远控木马的方法及系统

权利要求书

1.一种识别未知类远控木马的方法，其特征在于，包括：

对当前网络执行断网操作后恢复网络，获取网络中的所有流量；

记录网络中的所有流量的五元组信息和上下行数据包大小；

将每次恢复网络至下次断网记为一个周期，重复预设周期的上述操作；

选取五元组信息相同的网络流量，并对比预设周期间的网络流量的重合度，若重合度大于等于预设值则判定存在未知类远控木马。

2.如权利要求1所述的方法，其特征在于，所述获取网络中的所有流量，具体为：通过直路或者旁路的形式获取网络中的所有流量。

3.如权利要求1所述的方法，其特征在于，所述获取网络中的所有流量之后，还包括：

将网络中的所有流量与常规通信规则库进行匹配，放行匹配成功的网络流量；其中，所述常规通信规则库中存储有已知软件或服务的数据通信规则。

4.如权利要求3所述的方法，其特征在于，所述放行匹配成功的网络流量后，还包括：

判断当前网络流量是否是始终持续的数据流，若是则继续记录网络中的所有流量的五元组信息和数据包大小，否则放行当前网络流量不做记录。

5.如权利要求3所述的方法，其特征在于，还包括：若重合度小于预设值则判定不存在未知类远控木马，并将当前网络流量涉及的五元组信息添加至所述常规通信规则库。

6.一种识别未知类远控木马的系统，其特征在于，包括：

网络流量获取模块，用于对当前网络执行断网操作后恢复网络，获取网络中的所有流量；

流量信息记录模块，用于记录网络中的所有流量的五元组信息和上下行数据包大小；

周期重复调用模块，用于将每次恢复网络至下次断网记为一个周期，重复预设周期调用所述网络流量获取模块和所述流量信息记录模块；

重合度计算模块，用于选取五元组信息相同的网络流量，并对比预设周期间的网络流量的重合度，若重合度大于等于预设值则判定存在未知类远控木马。

7.如权利要求6所述的系统，其特征在于，所述获取网络中的所有流量，具体为：通过直路或者旁路的形式获取网络中的所有流量。

8.如权利要求6所述的系统，其特征在于，还包括：常规通信过滤模块，用于在所述网络流量获取模块获取网络中的所有流量后，将网络中的所有流量与常规通信规则库进行匹配，放行匹配成功的网络流量；其中，所述常规通信规则库中存储有已知软件或服务的数据通信规则。

9.如权利要求8所述的系统，其特征在于，还包括：持续流量匹配模块，用于获取匹配失败的网络流量并判断当前网络流量是否是始终持续的数据流，若是则将数据流转发至所述流量信息记录模块继续记录网络中的所有流量的五元组信息和数据包大小，否则放行当前网络流量不做记录。

10.如权利要求8所述的系统，其特征在于，还包括：规则库维护模块，用于若重合度小于预设值则判定不存在未知类远控木马，并将当前网络流量涉及的五元组信息添加至所述常规通信规则库。