[发明专利]一种病毒传播行为检测方法及装置

权利要求书

1.一种病毒传播行为检测方法，包括：

获取待检测报文中的服务器消息块SMB的版本信息，并将所述版本信息与对应于待检测病毒的目标SMB版本进行匹配；所述待检测报文为用于SMB版本协商的请求报文；

如果所述版本信息与所述目标SMB版本匹配，进一步确定发送所述待检测报文的终端的操作系统；

获取所述操作系统支持的SMB版本，并确定所述操作系统支持的SMB版本，是否包括不同于所述预设的目标SMB版本的SMB版本；如果是，则确定所述待检测报文有病毒传播行为。

2.根据权利要求1所述的方法，对应于待检测病毒的目标SMB版本包括SMBv1版本，不包括SMBv2版本或SMBv3版本；

所述将所述版本信息与对应于待检测病毒的目标SMB版本进行匹配，包括：

如果所述待检测报文中的SMB的版本信息中，包含SMBv1相关字段，且不包含SMBv2相关字段，且不包含SMBv3相关字段，则匹配成功。

3.根据权利要求1所述的方法，所述确定发送所述待检测报文的终端的操作系统，包括：

通过操作系统指纹识别技术，分析所述发送所述待检测报文的终端发出的报文，以获取所述终端的操作系统信息；或，

根据所述发送所述待检测报文的终端发送的HTTP GET报文，获取所述终端的操作系统信息。

4.根据权利要求1所述的方法，所述待检测病毒通过445端口，使用TCP协议进行传播，所述方法还包括：

判断待检测报文是否满足使用TCP协议，且目的端口为445的条件，如果否，则确定所述待检测报文无病毒传播行为。

5.根据权利要求1所述的方法，所述操作系统支持的SMB版本仅包括所述预设的目标SMB版本，所述方法还包括：

阻断来自发送所述待检测报文的终端且目的端口为445的报文，并重置TCP连接，以使其通过其他端口建立共享连接。

6.一种病毒传播行为检测装置，包括：

版本信息获取模块，用于获取待检测报文中的服务器消息块SMB的版本信息，并将所述版本信息与对应于待检测病毒的目标SMB版本进行匹配；所述待检测报文为用于SMB版本协商的请求报文；

操作系统确定模块，用于在所述版本信息与所述目标SMB版本匹配的情况下，进一步确定发送所述待检测报文的终端的操作系统；

版本信息检查模块，用于获取所述操作系统支持的SMB版本，并确定所述操作系统支持的SMB版本，是否包括不同于所述预设的目标SMB版本的SMB版本；如果是，则确定所述待检测报文有病毒传播行为。

7.根据权利要求6所述的装置，对应于待检测病毒的目标SMB版本包括SMBv1版本，不包括SMBv2版本或SMBv3版本；

所述版本信息获取模块，具体用于：

如果所述待检测报文中的SMB的版本信息中，包含SMBv1相关字段，且不包含SMBv2相关字段，且不包含SMBv3相关字段，则匹配成功。

8.根据权利要求6所述的装置，所述操作系统确定模块，具体用于：

通过操作系统指纹识别技术，分析所述发送所述待检测报文的终端发出的报文，以获取所述终端的操作系统信息；或，

根据所述发送所述待检测报文的终端发送的HTTP GET报文，获取所述终端的操作系统信息。

9.根据权利要求6所述的装置，所述待检测病毒通过445端口，使用TCP协议进行传播，所述装置还包括：

筛选模块，用于判断待检测报文是否满足使用TCP协议，且目的端口为445的条件，如果否，则确定所述待检测报文无病毒传播行为。

10.根据权利要求6所述的装置，所述操作系统支持的SMB版本仅包括所述预设的目标SMB版本，所述装置还包括：

不确定风险处理模块，用于阻断来自发送所述待检测报文的终端且目的端口为445的报文，并重置TCP连接，以使其通过其他端口建立共享连接。