[发明专利]追踪病毒来源的方法和装置

说明书

本发明实施例提供一种追踪病毒来源的方法和装置。所述方法包括：监听并截取主机各网卡上的数据包；从截取的数据包中解析出SMB协议包，并从SMB协议包中解析出SMB会话各阶段的操作信息；串联SMB会话各阶段的操作信息，得到完整的文件操作信息及来源信息；将所述文件操作信息和来源信息保存到数据库；当实时防护系统检测到共享目录病毒文件时，通过查询数据库获取所述共享目录病毒文件的来源。本发明实施例通过解析SMB协议包得到完整的文件操作信息及来源信息，并写入数据库，当检测到共享目录传播的病毒文件时，通过查询数据库得到病毒的来源，使管理员准确的定位网络内的病毒源头，方便清理病毒，阻止局域网病毒反复感染。

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种追踪病毒来源的方法和装置。

背景技术

随着计算机网络技术的飞速发展，信息的获取、共享和传播变得更加方便，但是也增加了信息泄密的风险。政府和企业内部，重要文件在多人间流转共享，增加了泄露数据的可能。

尽管目前的杀毒软件都具有实时监控功能，但是，杀毒软件不能告诉用户病毒的来源，尤其是共享目录被感染时，不能定位病毒传播源头，会造成病毒反复感染。因此，如何有效地追踪共享目录病毒的来源称为亟待解决的问题。

发明内容

针对现有技术问题，本发明实施例提供一种追踪病毒来源的方法和装置。

第一方面，本发明实施例提供一种追踪病毒来源的方法，所述方法包括：

监听并截取主机各网卡上的数据包；

从截取的数据包中解析出SMB协议包，并从SMB协议包中解析出SMB会话各阶段的操作信息；

串联SMB会话各阶段的操作信息，得到完整的文件操作信息及来源信息；

将所述文件操作信息和来源信息保存到数据库；

当实时防护系统检测到共享目录病毒文件时，通过查询数据库获取所述共享目录病毒文件的来源。

第二方面，本发明实施例提供一种追踪病毒来源的装置，所述装置包括：

截取单元，用于监听并截取主机各网卡上的数据包；

解析单元，用于从截取的数据包中解析出SMB协议包，并从SMB协议包中解析出SMB会话各阶段的操作信息；

串联单元，用于串联SMB会话各阶段的操作信息，得到完整文件操作信息及来源信息；

保存单元，用于将所述文件操作信息和来源信息保存到数据库；

查询单元，用于当实时防护系统检测到共享目录病毒文件时，通过查询数据库获取所述共享目录病毒文件的来源。

第三方面，本发明实施例还提供一种电子设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述第一方面提供的方法。

第四方面，本发明实施例还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现上述第一方面提供的方法。

本发明实施例通过解析SMB协议包得到完整的文件操作信息及来源信息，并写入数据库，当检测到共享目录传播的病毒文件时，通过查询数据库得到病毒的来源，使管理员准确的定位网络内的病毒源头，方便清理病毒，阻止局域网病毒反复感染。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。