[发明专利]恶意软件和恶意应用的检测方法和装置

说明书

一种方法，包括：在网络基础设施设备处接收分组流；使用网络基础设施设备并且针对分组的第一子集来确定第一子集对应于第一数据报，并且确定第一数据报的第一长度；使用网络基础设施设备并且针对分组的第二子集确定第二子集对应于在第一数据报之后接收到的第二数据报，并且确定第二数据报的第二长度；使用网络基础设施设备来确定第一数据报的第一到达时间与第二数据报的第二到达时间之间的持续时间值；向与网络基础设施设备分离的收集器设备发送第一长度、第二长度和持续时间值以供分析。

技术领域

本公开一般涉及计算机网络安全领域中的改进的方法、计算机软件和计算机硬件。本公开更具体地涉及可以执行跨网络数据流的分类的改进的基于计算机的网络基础设施设备和计算机实现的技术。

背景技术

本节所描述的方法可以被采用，但不一定是先前设想或采用的方法。因此，除非本文另外指出，否则本节所描述的方法不是本申请中的权利要求的现有技术，并且不因被包括在本节中而被认为是现有技术。

计算机网络的规模和复杂性不断增长。每天，在单独网络内以及在网络间，有难以估量的信息量被发送。从文本和图片到歌曲和电影，任何类型的信息都可以在计算机网络上被发送。在计算机网络上发送的信息可以采用许多不同的格式，既有加密的也有未加密的。在计算机网络上发送的一些信息可能从恶意程序和/或设备被发送、被发送到恶意程序和/或设备、或与恶意程序和/或设备相关联。如果开发出改进的检测跨计算机网络传播的潜在恶意信息的方法，则网络管理员和用户将受益匪浅。

发明内容

根据本公开实施例的一个方面，提供了一种通过发送数据报数据而不是分组数据来提高数据分类效率的方法，所述方法包括：在网络基础设施设备处接收包括多个分组的流；使用所述网络基础设施设备并且针对所述多个分组的第一子集来确定所述第一子集对应于第一数据报，并且确定所述第一数据报的第一长度；使用所述网络基础设施设备并且针对所述多个分组的第二子集来确定所述第二子集对应于在所述第一数据报之后接收到的第二数据报，并且确定所述第二数据报的第二长度，所述第一数据报和所述第二数据报各自对应于由传输协议携带的单个消息；使用所述网络基础设施设备来确定所述第一数据报的第一到达时间与所述第二数据报的第二到达时间之间的持续时间值；向与所述网络基础设施设备分离的收集器设备发送所述第一长度、所述第二长度和所述持续时间值以供分析；其中，所述方法是使用一个或多个计算设备来执行的。

根据本公开实施例的另一个方面，提供了一种通过发送数据报数据而不是分组数据来提高数据分类效率的系统，所述系统包括：网络基础设施设备，包括存储器单元和被配置为执行存储在所述存储器单元中的指令的一个或多个处理器，所述指令被编程为执行：接收包括多个分组的流；针对所述多个分组的第一子集确定所述第一子集对应于第一数据报，并且确定所述第一数据报的第一长度；针对所述多个分组的第二子集确定所述第二子集对应于在所述第一数据报之后接收到的第二数据报，并且确定所述第二数据报的第二长度，所述第一数据报和所述第二数据报各自对应于由传输协议携带的单个消息；确定所述第一数据报的第一到达时间与所述第二数据报的第二到达时间之间的持续时间值；向与所述网络基础设施设备分离的收集器设备发送所述第一长度、所述第二长度和所述持续时间值以供分析。

根据本公开实施例的又一个方面，提供了一个或多个非暂态计算机可读介质，包括用于通过发送数据报数据而不是分组数据来提高数据分类效率的指令，该指令在由一个或多个处理器执行时使得：接收包括多个分组的流；针对所述多个分组的第一子集确定所述第一子集对应于第一数据报，并且确定所述第一数据报的第一长度；针对所述多个分组的第二子集确定所述第二子集对应于在所述第一数据报之后接收到的第二数据报，并且确定所述第二数据报的第二长度，所述第一数据报和所述第二数据报各自对应于由传输协议携带的单个消息；确定所述第一数据报的第一到达时间与所述第二数据报的第二到达时间之间的持续时间值；发送所述第一长度、所述第二长度和所述持续时间值以供分析。

附图说明

在附图中：