[发明专利]一种分析网络流量检测大规模恶意代码传播的方法

说明书

本发明是有关于一种分析网络流量检测大规模恶意代码传播的方法，通过分析网络流入流出流量捕获还原文件，记录分析文件传播日志；对大规模传播的文件或传播规模增长迅速的文件，综合利用威胁情报数据和动态沙箱养殖技术判断其恶意性，实现大规模恶意代码传播事件的第一时间发现；最后关联分析大规模传播恶意代码的文件、I P、域名、URL等信息，还原传播路径。通过分析网络文件传播日志，可全面掌握特定网络恶意代码传播态势，保证了恶意性判别的准确性，使覆盖范围更加全面、检测分析更加准确、更加及时高效。

技术领域

本发明涉及网络安全技术领域，特别涉及一种检测大规模恶意代码传播的方法。

背景技术

随着网络化和信息化程度不断加深，大规模恶意代码(如僵尸程序、勒索病毒、挖矿木马等)传播事件时有发生，严重影响了重要信息系统和个人计算机正常运行。例如，2016年僵尸程序Mirai在全球物联网设备中大规模传播，并以这些设备作为节点发起大规模DDoS攻击，导致OVH、Dyn、Github、Twitter等主流网站无法正常提供服务。

目前大规模恶意代码传播事件检测发现有很大的滞后性，通常只有事件带来巨大破坏后，才会被安全机构和相关单位发现和重视。现有大规模恶意代码传播检测方法主要是基于终端数据进行检测和基于蜜罐捕获的方式进行检测，受限于覆盖终端数量、部署蜜罐数量，现有方法并不能准确反映特定网络内恶意代码传播情况。

有鉴于上述现有的技术存在的缺陷，本发明人经过不断的研究、设计，并经反复试作及改进后，终于创设出确具实用价值的本发明。

发明内容

本发明的主要目的在于，克服现有技术存在的缺陷，提供一种新的一种分析网络流量检测大规模恶意代码传播的方法，所要解决的技术问题是在特定网络快速高效准确地检测发现大规模传播或即将大规模传播的恶意代码的问题，使其覆盖范围更加全面，检测分析更加准确，非常适于实用。

本发明的另一目的在于，提供一种新的一种分析网络流量检测大规模恶意代码传播的方法，所要解决的技术问题是使其减少了动态养殖的计算资源开销，也保证了恶意性判别的准确性，从而更加适于实用。

本发明的还一目的在于，提供一种新的一种分析网络流量检测大规模恶意代码传播的方法，所要解决的技术问题是使其使得检测分析也更加及时高效，从而更加适于实用。

本发明提供一种分析网络流量检测大规模恶意代码传播的方法，解决在特定网络快速高效准确地检测发现大规模传播或即将大规模传播的恶意代码的问题。本发明通过分析网络流量捕获还原文件，记录分析文件传播日志；对大规模传播的文件或传播规模增长迅速的文件，综合利用威胁情报数据和动态沙箱养殖技术判断其恶意性，实现大规模恶意代码传播事件的第一时间发现；最后关联分析大规模传播恶意代码的文件、IP、域名、 URL等还原传播路径。

为解决上述技术问题，本发明提供了一种分析网络流量检测大规模恶意代码传播的方法，所述方法包括以下步骤：

步骤1：根据检测覆盖范围获取网络流入流出流量；

步骤2：通过深度包数据检测对网络流入流出流量进行深度分析：主要是_，通过深入读取IP报文所载荷的内容来对应用层信息进行重组，从而得到整个应用程序的内容，包括识别主要文件传输协议还原传输文件，记录文件传播日志，传播日志包括下载时间、下载IP、下载端口、文件MD5、文件网址(URL)、文件网址IP、文件网址域名、文件网址端口；

步骤3：利用大规模异常传播检测算法分析文件传播日志，计算每个样本下载IP数、下载次数、下载IP数每天增长率、下载次数每天增长率、下载IP数每小时增长率、下载次数每小时增长率等；

步骤4：对于大规模传播或即将大规模传播的文件，首先利用威胁情报分析其恶意性，如果威胁情报无相关信息，则利用动态沙箱进行养殖分析其恶意性；