[发明专利]基于网络通信行为的未知木马检测方法

摘要

本发明是关于一种基于网络通信行为的未知木马检测方法，包括以下步骤采集网络通信行为的原始数据；对采集到的原始数据进行预处理；根据木马通信特征，提取经预处理后数据中的特征；基于正常通信行为和木马通信行为，建立可疑规则库；及利用可疑规则库，对预处理后数据进行检测，以确定未知木马；其中，利用可疑规则库对预处理后数据的检测，实质上是对预处理后数据进行匹配的问题，是匹配可疑规则库中规则的过程。借由本发明，实现对未知木马的高效检测。

主权项

一种基于网络通信行为的未知木马检测方法，其特征在于其包括以下步骤：采集网络通信行为的原始数据；对采集到的原始数据进行预处理，包括：重组传输层连接，记录传输层连接的相关信息，并解析传输层连接的负载内容；根据木马通信特征，提取经预处理后数据中的特征，所提取的特征是在传输层连接的基础上提取的；基于正常通信行为和木马通信行为，建立可疑规则库，其中可疑规则库中的规则包括：(1)服务器主动外联公网地址；(2)某IP固定时间间隔请求某域名；(3)非工作时间内网主机主动外联；(4)内部IP请求域名后，连接该域名对应IP的非常用端口；(5)端口与通信内容协议不匹配；(6)邮件服务器发起的DNS请求不是mx记录；(7)HTTP报文中请求头的域名与实际请求解析的域名不一致；及利用可疑规则库，对预处理后数据进行检测，以确定未知木马，具体分为以下a、b两步：a、设定表示传输层连接的参数变量、集合变量、常用协议与类型变量、运算符变量、函数以及各阈值变量；b、利用可疑规则库，对任一通信连接进行检测；其中，利用可疑规则库对预处理后数据的检测，实质上是对预处理后数据进行匹配的问题，是匹配可疑规则库中规则的过程。