[发明专利]追踪病毒来源的方法和装置

权利要求书

1.一种追踪病毒来源的方法，其特征在于，所述方法包括：

监听并截取主机各网卡上的数据包；

从截取的数据包中解析出SMB协议包，并从SMB协议包中解析出SMB会话各阶段的操作信息；

串联SMB会话各阶段的操作信息，得到完整的文件操作信息及来源信息；

将所述文件操作信息和来源信息保存到数据库；

当实时防护系统检测到病毒文件，判断病毒文件的路径是否在共享目录，若是，则病毒文件为共享目录病毒文件，并通过查询数据库获取所述共享目录病毒文件的来源；

所述文件操作信息包括：文件操作类型、文件路径、文件大小及文件修改时间，所述文件操作类型包括写、删除、创建和重命名；所述来源信息包括文件发送方的IP地址。

2.根据权利要求1所述的方法，其特征在于，所述将所述文件操作信息和来源信息保存到数据库包括：

将文件操作类型为写、创建或重命名的文件操作信息和来源信息保存到数据库中。

3.根据权利要求2所述的方法，其特征在于，所述通过查询数据库获取病毒文件的来源包括：

查询共享目录病毒文件在数据库中保存的来源信息，得到所述病毒文件发送方的IP地址。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括实时防护系统检测共享目录病毒文件的步骤：

当检测到主机磁盘上的文件写、创建、重命名操作时，获取文件路径、文件大小及文件修改时间，并根据文件内容计算文件MD5；

根据所述文件路径、文件大小、文件修改时间及文件MD5判断所述文件是否为病毒文件；

当所述文件为病毒文件时，判断文件的路径是否在共享目录中；

当文件的路径在共享目录中时，判断所述文件为共享目录传播的病毒文件。

5.一种追踪病毒来源的装置，其特征在于，所述装置包括：

截取单元，用于监听并截取主机各网卡上的数据包；

解析单元，用于从截取的数据包中解析出SMB协议包，并从SMB协议包中解析出SMB会话各阶段的操作信息；

串联单元，用于串联SMB会话各阶段的操作信息，得到完整的文件操作信息及来源信息；

保存单元，用于将所述文件操作信息和来源信息保存到数据库；

查询单元，用于当实时防护系统检测到病毒文件，判断病毒文件的路径是否在共享目录，若是，则病毒文件为共享目录病毒文件，并通过查询数据库获取所述共享目录病毒文件的来源；

所述文件操作信息包括：文件操作类型、文件路径、文件大小及文件修改时间，所述文件操作类型包括写、删除、创建和重命名；所述来源信息包括文件发送方的IP地址。

6.根据权利要求5所述的装置，其特征在于，所述保存单元，用于将文件操作类型为写、创建或重命名的文件操作信息和来源信息保存到数据库中。

7.根据权利要求6所述的装置，其特征在于，所述查询单元，用于查询共享目录病毒文件在数据库中保存的来源信息，得到所述病毒文件发送方的IP地址。

8.根据权利要求5所述的装置，其特征在于，所述实时防护系统包括：

获取单元，用于当检测到主机磁盘上的文件写、创建、重命名操作时，获取文件路径、文件大小及文件修改时间，并根据文件内容计算文件MD5；

第一判断单元，用于根据所述文件路径、文件大小、文件修改时间及文件MD5判断所述文件是否为病毒文件；

第二判断单元，用于当所述文件为病毒文件时，判断文件的路径是否在共享目录中；

第三判断单元，用于当文件的路径在共享目录中时，判断所述文件为共享目录传播的病毒文件。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至4任一项所述追踪病毒来源的方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至4任一项所述追踪病毒来源的方法的步骤。