[发明专利]一种病毒传播行为检测方法及装置

说明书

一种病毒传播行为检测方法及装置，所述方法包括：获取待检测报文中的服务器消息块SMB的版本信息，并将所述版本信息与对应于待检测病毒的目标SMB版本进行匹配；所述待检测报文为用于SMB版本协商的请求报文；如果所述版本信息与所述目标SMB版本匹配，进一步获取所述待检测报文的源IP地址，并确定与所述源IP地址对应终端的操作系统；获取所述操作系统支持的SMB版本，并确定所述操作系统支持的SMB版本，是否包括不同于所述预设的目标SMB版本的SMB版本；如果是，则确定所述待检测报文有病毒传播行为。应用本方案，可以及早发现病毒传播行为，以便及时发出警告、遏止损失。

技术领域

本申请涉及互联网安全领域，尤其涉及一种病毒传播行为检测方法及装置。

背景技术

在互联网安全领域，计算机病毒一直是防治的重点。由于计算机病毒更新换代的速度很快，传统的基于病毒特征库的查杀往往会比较被动，一般需要在病毒大规模爆发、研究人员得到病毒样本后，才能够提取到相应的病毒特征。

以WannaCry勒索病毒为例，其使用Eternal Blue漏洞安装后门，待病毒大规模爆发、获取到病毒样本后，珍贵的文档文件早已被加密，再进行病毒查杀为时已晚，造成的损失难以挽回。

发明内容

有鉴于此，本申请公开了一种病毒传播行为检测方法和装置。

根据本申请实施例的第一方面，公开了一种病毒传播行为检测方法，所述方法包括：

获取待检测报文中的服务器消息块SMB的版本信息，并将所述版本信息与对应于待检测病毒的目标SMB版本进行匹配；所述待检测报文为用于SMB版本协商的请求报文；

如果所述版本信息与所述目标SMB版本匹配，进一步确定发送所述待检测报文的终端的操作系统；

获取所述操作系统支持的SMB版本，并确定所述操作系统支持的SMB版本，是否包括不同于所述预设的目标SMB版本的SMB版本；如果是，则确定所述待检测报文有病毒传播行为。

根据本申请实施例的第二方面，公开了一种病毒传播行为检测装置，所述装置包括：

版本信息获取模块，用于获取待检测报文中的服务器消息块SMB的版本信息，并将所述版本信息与对应于待检测病毒的目标SMB版本进行匹配；所述待检测报文为用于SMB版本协商的请求报文；

操作系统确定模块，用于在所述版本信息与所述目标SMB版本匹配的情况下，进一步确定发送所述待检测报文的终端的操作系统；

版本信息检查模块，用于获取所述操作系统支持的SMB版本，并确定所述操作系统支持的SMB版本，是否包括不同于所述预设的目标SMB版本的SMB版本；如果是，则确定所述待检测报文有病毒传播行为。

以上技术方案中，由于正常流量中的版本协商请求报文会罗列系统支持的所有SMB版本，而待检测病毒传播行为仅会列出该病毒传播所使用的SMB版本，本方案对版本协商请求报文包括的SMB的版本进行了检查匹配，并进一步与报文源IP对应的终端系统所支持的SMB版本进行比较，即可发现终端系统支持高版本SMB，却依旧使用低版本SMB的病毒流量，因此可以及早发现病毒传播行为，以便及时发出警告、遏止损失。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明书的实施例，并与说明书文本一同用于解释原理。

图1是本说明书示出的一种病毒传播行为检测方法的流程示例图；

图2是本说明书示出的SMB版本协商的请求报文的结构对比图；

图3是本说明书示出的一种操作系统指纹识别技术的实现的交互示例图；

图4是本说明书示出的一种病毒传播行为检测流程的逻辑示意图；