[发明专利]一种病毒检测方法及装置

权利要求书

1.一种病毒检测方法，其特征在于，所述方法包括：

确定第一预设时间段内通过预设端口与第一节点通信的第二节点的个数；所述第一预设时间段包括至少一第二预设时间段；

若所述个数大于预设个数阈值，则判断所述第一节点利用所述预设端口与每一第二节点的通信行为的相似度是否大于预设相似度阈值；

若大于所述预设相似度阈值，且针对所述至少一第二预设时间段，至少一通信行为维度下的第二特征值不小于该通信行为维度下该第二预设时间段对应的临界系数，则确定所述第一节点感染病毒，其中，每一通信行为维度下该第二预设时间段对应的临界系数依据该通信行为维度下该第二预设时间段对应的正常特征值确定的基线值确定；

在所述确定所述第一节点感染病毒的步骤之前，所述方法还包括：根据所述第一节点利用所述预设端口与每一第二节点的通信行为，确定第二预设时间段内在每一通信行为维度下所有第二节点对应的第二特征值。

2.根据权利要求1所述的方法，其特征在于，所述判断所述第一节点利用所述预设端口与每一第二节点的通信行为的相似度是否大于预设相似度阈值的步骤，包括：

根据所述第一节点利用所述预设端口与每一第二节点的通信行为，确定预设的每一通信行为维度下每一第二节点对应的第一特征值；

对于每一通信行为维度，根据每一第二节点对应的第一特征值，计算在该通信行为维度下第一特征值的方差；

若各通信行为维度下第一特征值的方差均小于该通信行为维度下的预设方差阈值，则确定所述第一节点利用所述预设端口与每一第二节点的通信行为的相似度大于预设相似度阈值；

若至少一通信行为维度下第一特征值的方差不小于该通信行为维度下的预设方差阈值，则确定所述第一节点利用所述预设端口与每一第二节点的通信行为的相似度不大于预设相似度阈值。

3.根据权利要求2所述的方法，其特征在于，预设的通信行为维度包括：流量的总分组数，流量的总字节数，分组到达时间间隔中值，分组到达时间平均值，分组到达时间间隔方差，分组到达时间间隔最大值，分组到达时间间隔最小值，分组净荷平均值，分组净荷中值，分组净荷方差，分组净荷最大值，分组净荷最小值，分组大小平均值，分组大小中值，分组大小方差，分组大小最大值，分组大小最小值中的一个或多个。

4.根据权利要求1所述的方法，其特征在于，所述若大于所述预设相似度阈值，且针对所述至少一第二预设时间段，至少一通信行为维度下的第二特征值不小于该通信行为维度下该第二预设时间段对应的临界系数，则确定所述第一节点感染病毒的步骤，包括：

若大于所述预设相似度阈值，判断所述第一节点发送的流量包的载荷与病毒特征库中的特征是否匹配；

若匹配，则确定所述第一节点感染病毒。

5.一种病毒检测装置，其特征在于，所述装置包括：

确定单元，用于确定第一预设时间段内通过预设端口与第一节点通信的第二节点的个数；所述第一预设时间段包括至少一第二预设时间段；

判断单元，用于若所述个数大于预设个数阈值，则判断所述第一节点利用所述预设端口与每一第二节点的通信行为的相似度是否大于预设相似度阈值；

处理单元，用于若大于所述预设相似度阈值，且针对所述至少一第二预设时间段，至少一通信行为维度下的第二特征值不小于该通信行为维度下该第二预设时间段对应的临界系数，则确定所述第一节点感染病毒，其中，每一通信行为维度下该第二预设时间段对应的临界系数依据该通信行为维度下该第二预设时间段对应的正常特征值确定的基线值确定；

所述确定单元，还用于在所述处理单元确定所述第一节点感染病毒之前，根据所述第一节点利用所述预设端口与每一第二节点的通信行为，确定第二预设时间段内在每一通信行为维度下所有第二节点对应的第二特征值。