[发明专利]一种识别未知类远控木马的方法及系统

说明书

本发明公开了一种识别未知类远控木马的方法及系统，包括：对当前网络执行断网操作后恢复网络，获取网络中的所有流量；记录网络中的所有流量的五元组信息和上下行数据包大小；将每次恢复网络至下次断网记为一个周期，重复预设周期的上述操作；选取五元组信息相同的网络流量，并对比预设周期间的网络流量的重合度，若重合度大于等于预设值则判定存在未知类远控木马。本发明所述技术方案能够弥补主机侧检测的不足，有效解决未知类远控木马识别的问题。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种识别未知类远控木马的方法及系统。

背景技术

近年来，随着互联网的不断普及和我国网民数量的不断增加，木马、病毒等僵尸程序、问题后门程序也越来越受到人们的关注。

在这种情况下，传统的基于主机的检测手段，包括：防病毒软件、个人防火墙等，虽然可以有效地查杀木马、病毒等僵尸程序，可以抵挡一些网络攻击，但是近几年出现的某些杀毒软件的误删事件，证明基于主机侧的检测手段在防范和检测木马、病毒等僵尸程序时已经力不从心。

发明内容

针对上述技术问题，本发明通过分析远控类木马的行为习惯，得知每次断网并恢复网络后，远控木马会即刻尝试重新连接控制端。因此，本发明通过获取每次网络断开并恢复后的网络流量，并具体分析多个周期间网络流量的重合度进而有效识别远控类木马。

本发明采用如下方法来实现：一种识别未知类远控木马的方法，包括：

对当前网络执行断网操作后恢复网络，获取网络中的所有流量；

记录网络中的所有流量的五元组信息和上下行数据包大小；

将每次恢复网络至下次断网记为一个周期，重复预设周期的上述操作；

选取五元组信息相同的网络流量，并对比预设周期间的网络流量的重合度，若重合度大于等于预设值则判定存在未知类远控木马。

进一步地，所述获取网络中的所有流量，具体为：通过直路或者旁路的形式获取网络中的所有流量。

进一步地，所述获取网络中的所有流量之后，还包括：

将网络中的所有流量与常规通信规则库进行匹配，放行匹配成功的网络流量；其中，所述常规通信规则库中存储有已知软件或服务的数据通信规则。

更进一步地，所述放行匹配成功的网络流量后，还包括：

判断当前网络流量是否是始终持续的数据流，若是则继续记录网络中的所有流量的五元组信息和数据包大小，否则放行当前网络流量不做记录。

更进一步地，还包括：若重合度小于预设值则判定不存在未知类远控木马，并将当前网络流量涉及的五元组信息添加至所述常规通信规则库。

本发明可以采用如下系统来实现：一种识别未知类远控木马的系统，包括：

网络流量获取模块，用于对当前网络执行断网操作后恢复网络，获取网络中的所有流量；

流量信息记录模块，用于记录网络中的所有流量的五元组信息和上下行数据包大小；

周期重复调用模块，用于将每次恢复网络至下次断网记为一个周期，重复预设周期调用所述网络流量获取模块和所述流量信息记录模块；

重合度计算模块，用于选取五元组信息相同的网络流量，并对比预设周期间的网络流量的重合度，若重合度大于等于预设值则判定存在未知类远控木马。

进一步地，所述获取网络中的所有流量，具体为：通过直路或者旁路的形式获取网络中的所有流量。