基于网络流量的使用跨会话技术检测未知木马的方法及系统
基本信息
| 申请号 | CN202111081415.2 | 申请日 | - |
| 公开（公告）号 | CN113839937A | 公开（公告）日 | 2021-12-24 |
| 申请公布号 | CN113839937A | 申请公布日 | 2021-12-24 |
| 分类号 | H04L29/06（2006.01）I | 分类 | 电通信技术; |
| 发明人 | 宋超 | 申请（专利权）人 | 神州网云（北京）信息技术有限公司 |
| 代理机构 | 成都华复知识产权代理有限公司 | 代理人 | 李俊 |
| 地址 | 100089北京市海淀区紫竹院路98号北京化工大学西校区教学楼II段（科技园A栋）3层318 | ||
| 法律状态 | - | ||
摘要
| 摘要 | 本发明公开了基于网络流量的使用跨会话技术检测未知木马的方法及系统，包括dpdk抓取交换机镜像过来的网络流量、解析数据包、五元组进行会话管理、调换源目的的ip地址、存在方向的ip对会话后判断创建时间、根据两个会话的协议类型剔除正常通信协议与输出木马检测结果七个步骤。本文提出基于对木马的通信行为进行检测，但不是采用统计规律来进行检测，而是由经验丰富的安全分析人员依据大量的实践经验，根据大量多种木马的通信活动总结出的通信特点来进行检测，可以检测出apt这一类的木马通信活动，具有检测新的未知木马能力；通过监控网络流量，判断分析隐藏在计算机木马程序上线激活的步骤，从而发现木马活动，最终发现失陷主机。 |
