CN104901850A - 一种恶意代码终端感染机器网络定位方法 - Google Patents

一种恶意代码终端感染机器网络定位方法 Download PDF

Info

Publication number
CN104901850A
CN104901850A CN201510322046.XA CN201510322046A CN104901850A CN 104901850 A CN104901850 A CN 104901850A CN 201510322046 A CN201510322046 A CN 201510322046A CN 104901850 A CN104901850 A CN 104901850A
Authority
CN
China
Prior art keywords
network
address
malicious code
location
terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201510322046.XA
Other languages
English (en)
Other versions
CN104901850B (zh
Inventor
梁斌
王宜阳
宋苑
胡赢
刘家豪
李晓东
李佳
徐晓燕
康学斌
董建武
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangzhou Branch Center Of National Computer Network And Information Security Management Center
Original Assignee
Guangzhou Branch Center Of National Computer Network And Information Security Management Center
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangzhou Branch Center Of National Computer Network And Information Security Management Center filed Critical Guangzhou Branch Center Of National Computer Network And Information Security Management Center
Priority to CN201510322046.XA priority Critical patent/CN104901850B/zh
Publication of CN104901850A publication Critical patent/CN104901850A/zh
Application granted granted Critical
Publication of CN104901850B publication Critical patent/CN104901850B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种恶意代码终端感染机器网络定位方法。包括骨干网定位步骤、信息中心节点出口定位步骤和感染总段机器定位步骤。很好的克服了常见恶意代码感染数据从互联网侧到最终感染终端在网络定位方面遇到的困难，其在不依赖安全检测设备的情况下，非常方便的实现了不同网络层面下的恶意代码终端感染机器的网络定位。

Description

一种恶意代码终端感染机器网络定位方法
技术领域
本发明涉及计算机网络安全技术领域，特别涉及一种对互联网中感染恶意代码的终端机器进行定位的方法。
背景技术
 目前，随着科技的发展，互联网已经成为人们日常工作和生活不可缺少的部分，互联网安全，也逐渐延伸到人们的日常工作生活中。为了能够保证网络安全，互联网行业监管部门、基础运营商以及安全厂商，需在骨干网、城域网各网络节点开展恶意代码实时监测，以及时掌握和发现恶意代码活动和感染情况，从而进行监测预警和有效处置。
为了能够及时有效处理恶意代码感染事件，需要能够准确的找到被恶意代码感染的终端设备，然而，目前对于如何快速准确定位恶意代码感染设备，存在一系列的困难。如何针对互联网监测平台监测的感染数据，快速有效定位到具体的感染终端(PC机或服务器)，面临以下问题：
1.互联网数据是无边界的，难以确定感染数据的区域归属和运营商;
2.面对IP在分配时频繁更新的情况，如何确定感染数据的准确用户信息;
3.面对IP资源不足时使用NAT转换的情况，甚至是多层NAT的复杂网络情况，如何快速有效进行子网出口IP定位以及内网主机IP;
4.面对网络出口不具备各种辅助日志进行内网IP跟踪的情况下，如何有效进行内外主机定位。
面对上述问题，目前还没能找到一种行之有效的恶例代码终端感染机器的定位方法。
发明内容
本发明旨在给出一种能够快速有效的恶意代码终端感染机器网络定位方法，这是实现及时有效开展恶意代码清除工作的前提，从而为网络安全提供支撑和保障。
   本发明所述的恶意代码终端感染机器网络定位方法，包括如下步骤：
A、骨干网定位
在骨干网设置网络监测平台，监测平台包括监测探头和信息处理中心；监控探头在网络上通过对目标对象进行扫描、爬虫或抓包，获取网络数据；信息处理中心对获取的网络数据进行分析和过滤处理，对与标定为恶意代码异常特征相匹配的网络数据的数据包进行元素提取，提取恶意代码感染数据的网络五元组信息;提取五元组信息中的恶意目的IP地址和感染恶意代码的互联网IP地址，将感染恶意代码的互联网IP地址与互联网公开的IP资源库进行匹配，确定IP所属基础运营商及所属省份，实现运营商及区域的初定位；
B、城域网定位
将步骤A提取的感染恶意代码的互联网IP地址，与运营商掌握互联网IP资源管理库进行匹配，实现感染恶意代码的IP用户信息初定位；若IP为动态IP,则直接定位到拨号用户账号；若IP为静态IP,则将定位到专线用户信息；
C、专线用户内网定位
当专线用户的IP直接配置在终端服务器时，则完成了恶意代码终端感染机器网络定位；
当专线用户的IP是NAT（Network Address Translation，网络地址转换）方式分配时：
首先，查阅网络安全审计系统；通过查阅网络安全审计系统的网络行为日志，结合感染数据恶意目的IP和目的端口，查询在对应时间点与恶意目的IP通信的本地内部源IP地址，实现专线用户的内网定位；
    若无网络安全审计系统，或网络行为日志中未搜索到与恶意目的IP地址相关的通信日志，则通过防火墙日志进行内网IP定位；采用文件IP关键词搜索的方式，进行历史日志查找，搜索访问恶意目的IP地址的源IP地址，实现专线用户的内网定位；
    若也无防火墙日志，或防火墙日志中仍未搜索到访问恶意目的IP地址的源IP地址，则采取网络出口抓包的方式进行定位；在互联网出口路由器前面（即做NAT之前），将局域网内所有出入互联网的数据包采用镜像或者分光的方式，复制一份实时网络通信数据，进行抓包分析；利用抓包工具包匹配功能，进行数据比对分析，搜索与恶意目的IP地址发生过通信行为的源IP地址，实现专线用户的内网定位；
D、感染终端定位
如步骤C定位到的源IP地址对应的设备是终端机，则可以根据内网IP或者MAC地址完成感染终端机器定位；
如步骤C定位到的源IP地址对应的设备非终端机，有下一级子网，则按照步骤C中的方法继续对其下一级子网定位，依此重复，直至找到终端机，从而完成恶意代码感染终端机器的定位。
本发明所述的恶意代码终端感染机器网络定位方法，很好的克服了现有技术中恶意代码终端感染机器的网络定位的困难。该定位方法的实现不完全依赖于安全监测设备，即使在无额外部署的安全监测设备的情况下，仍然可以通过搜索防火墙日志及网络出口抓包等方式，实现对恶意代码感染终端机器的定位。同时，其还不受网络级数的限制，非常方便的实现了多级网络下的内网IP定位。
本发明所述的恶意代码终端感染机器网络定位方法，其步骤C中，采取网络出口抓包的方式进行定位时，在外网保持持续抓包一段时间仍未能捕获到目标数据包，可以在保持抓包的过程中将网络中断一小段时间后重连网络。
其采用连续抓包和网络重连相结合的方式，很好的解决了恶意代码不处在活跃期难以捕获定位的问题，缩短恶意代码潜伏期，通过促发其主动外连的方式，实现快速有效地对恶意代码终端感染机器的IP网络定位。
附图说明
图1 为恶意代码终端感染机器网络定位图。
具体实施方式
一种恶意代码终端感染机器网络定位方法，首先进行骨干网定位，在骨干网设置网络监测平台，监测平台包括监测探头和信息处理中心;监控探头在网络上通过对目标对象进行扫描、爬虫或抓包，获取网络数据；信息处理中心对获取的网络数据进行分析和过滤处理，对与标定为恶意代码异常特征相匹配的网络数据的数据包进行元素提取，提取网络五元组信息;获取五元组信息中的恶意目的IP地址和感染恶意代码的互联网IP地址，将感染恶意代码的互联网IP地址与互联网公开的IP资源库进行匹配，确定IP所属基础运营商及所属省份，实现运营商及区域的初定位。然后进行城域网定位，将步骤A提取的感染恶意代码的互联网IP地址，与运营商掌握互联网IP资源管理库进行匹配，实现感染恶意代码的IP用户信息初定位；若IP为动态IP,则直接定位到拨号用户账号；若IP为静态IP,则将定位到专线用户信息。再进行专线用户内网定位，当专线用户的IP直接配置在终端服务器时，则完成了恶意代码终端感染机器网络定位；当专线用户的IP是NAT（Network Address Translation，网络地址转换）方式分配时：首先，查阅网络安全审计系统；通过查阅网络安全审计系统的网络行为日志，结合感染数据恶意目的IP和目的端口，查询在对应时间点与恶意目的IP通信的本地内部源IP地址，实现专线用户的内网定位。若无网络安全审计系统，或网络行为日志中未搜索到与恶意目的IP地址相关的通信日志，则通过防火墙日志进行内网IP定位；采用文件IP关键词搜索的方式，进行历史日志查找，搜索访问恶意目的IP地址的源IP地址，实现专线用户的内网定位。    若也无防火墙日志，或防火墙日志中仍未搜索到访问恶意目的IP地址的源IP地址，则采取网络出口抓包的方式进行定位；在互联网出口路由器前面（即做NAT之前），将局域网内所有出入互联网的数据包采用镜像或者分光的方式，复制一份实时网络通信数据，进行抓包分析；利用抓包工具包匹配功能，进行数据比对分析，搜索与恶意目的IP地址发生过通信行为的源IP地址，实现专线用户的内网定位。最后进行感染终端定位，如步骤C定位到的源IP地址对应的设备是终端机，则可以根据内网IP或者MAC地址完成感染终端机器定位；如步骤C定位到的源IP地址对应的设备非终端机，有下一级子网，则按照步骤C中的方法继续对其下一级子网定位，依此重复，直至找到终端机，从而完成恶意代码感染终端机器的定位。
所述方法，根据不同情况进行展开分析定位，针对多级子网嵌套的情况采用迭代的方式进行逐级定位，直到最后以找到目标感染终端为止。方便的实现了多级网络下的内网IP定位。
上述方法中，信息中心节点出口定位步骤中，可将针对恶意目的IP地址对信息中心节点出口进行抓包得到的五元组与异常数据进行匹配，以能验证源IP地址是否确实在和恶意目的IP进行异常数据通信，从而对定位的源IP地址是否真正感染恶意代码进行验证。

Claims (3)

1.一种恶意代码终端感染机器网络定位方法，其特征在于：包括如下步骤：
A、骨干网定位
在骨干网设置网络监测平台，监测平台包括监测探头和信息处理中心;监控探头在网络上通过对目标对象进行扫描、爬虫或抓包，获取网络数据；信息处理中心对获取的网络数据进行分析和过滤处理，对与标定为恶意代码异常特征相匹配的网络数据的数据包进行元素提取，提取恶意代码感染数据的网络五元组信息;提取五元组信息中的恶意目的IP地址和感染恶意代码的互联网IP地址，将感染恶意代码的互联网IP地址与互联网公开的IP资源库进行匹配，确定IP所属基础运营商及所属省份，实现运营商及区域的初定位；
B、城域网定位
将步骤A提取的感染恶意代码的互联网IP地址，与运营商掌握互联网IP资源管理库进行匹配，实现感染恶意代码的IP用户信息初定位；若IP为动态IP,则直接定位到拨号用户账号；若IP为静态IP,则将定位到专线用户信息；
C、专线用户内网定位
当专线用户的IP直接配置在终端服务器时，则完成了恶意代码终端感染机器网络定位；
当专线用户的IP是NAT（Network Address Translation，网络地址转换）方式分配时：
首先，查阅网络安全审计系统；通过查阅网络安全审计系统的网络行为日志，结合感染数据恶意目的IP和目的端口，查询在对应时间点与恶意目的IP通信的本地内部源IP地址，实现专线用户的内网定位；
    若无网络安全审计系统，或网络行为日志中未搜索到与恶意目的IP地址相关的通信日志，则通过防火墙日志进行内网IP定位；采用文件IP关键词搜索的方式，进行历史日志查找，搜索访问恶意目的IP地址的源IP地址，实现专线用户的内网定位；
    若也无防火墙日志，或防火墙日志中仍未搜索到访问恶意目的IP地址的源IP地址，则采取网络出口抓包的方式进行定位；在互联网出口路由器前面（即做NAT之前），将局域网内所有出入互联网的数据包采用镜像或者分光的方式，复制一份实时网络通信数据，进行抓包分析；利用抓包工具包匹配功能，进行数据比对分析，搜索与恶意目的IP地址发生过通信行为的源IP地址，实现专线用户的内网定位；
D、感染终端定位
如步骤C定位到的源IP地址对应的设备是终端机，则可以根据内网IP或者MAC地址完成感染终端机器定位；
如步骤C定位到的源IP地址对应的设备非终端机，有下一级子网，则按照步骤C中的方法继续对其下一级子网定位，依此重复，直至找到终端机，从而完成恶意代码感染终端机器的定位。
2.根据权利要求1所述的恶意代码终端感染机器网络定位方法，其特征在于：步骤C中，采取网络出口抓包的方式进行定位时，在外网保持持续抓包一段时间仍未能捕获到目标数据包，可以在保持抓包的过程中将网络中断一小段时间后重连网络。
3.根据权利要求1所述的恶意代码终端感染机器网络定位方法，其特征在于：步骤C中，采用网络出口抓包的方式进行定位过程中，将针对恶意目的IP地址抓包得到的五元组信息与异常数据进行匹配，以验证源IP地址是否确实在和恶意目的IP进行异常数据通信，从而能对定位的源IP地址是否真正感染恶意代码进行验证。
CN201510322046.XA 2015-06-12 2015-06-12 一种恶意代码终端感染机器网络定位方法 Active CN104901850B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510322046.XA CN104901850B (zh) 2015-06-12 2015-06-12 一种恶意代码终端感染机器网络定位方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510322046.XA CN104901850B (zh) 2015-06-12 2015-06-12 一种恶意代码终端感染机器网络定位方法

Publications (2)

Publication Number Publication Date
CN104901850A true CN104901850A (zh) 2015-09-09
CN104901850B CN104901850B (zh) 2018-08-31

Family

ID=54034253

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510322046.XA Active CN104901850B (zh) 2015-06-12 2015-06-12 一种恶意代码终端感染机器网络定位方法

Country Status (1)

Country Link
CN (1) CN104901850B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106992958A (zh) * 2016-01-21 2017-07-28 阿里巴巴集团控股有限公司 一种通过丢失账号定位恶意账号的方法和系统
CN107395635A (zh) * 2017-08-25 2017-11-24 中国联合网络通信集团有限公司 一种定位有线端用户位置的方法及装置
CN107566420A (zh) * 2017-10-27 2018-01-09 深信服科技股份有限公司 一种被恶意代码感染的主机的定位方法及设备
CN110764969A (zh) * 2019-10-25 2020-02-07 新华三信息安全技术有限公司 网络攻击溯源方法及装置
CN111818075A (zh) * 2020-07-20 2020-10-23 北京华赛在线科技有限公司 违规外联检测方法、装置、设备及存储介质
CN112769971A (zh) * 2020-12-22 2021-05-07 赛尔网络有限公司 IPv6地址的安全性检测方法、装置、电子设备和存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101605074A (zh) * 2009-07-06 2009-12-16 中国人民解放军信息技术安全研究中心 基于网络通讯行为特征监测木马的方法与系统
CN101699787A (zh) * 2009-11-09 2010-04-28 南京邮电大学 一种用于对等网络的蠕虫检测方法
US8059551B2 (en) * 2005-02-15 2011-11-15 Raytheon Bbn Technologies Corp. Method for source-spoofed IP packet traceback

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8059551B2 (en) * 2005-02-15 2011-11-15 Raytheon Bbn Technologies Corp. Method for source-spoofed IP packet traceback
CN101605074A (zh) * 2009-07-06 2009-12-16 中国人民解放军信息技术安全研究中心 基于网络通讯行为特征监测木马的方法与系统
CN101699787A (zh) * 2009-11-09 2010-04-28 南京邮电大学 一种用于对等网络的蠕虫检测方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106992958A (zh) * 2016-01-21 2017-07-28 阿里巴巴集团控股有限公司 一种通过丢失账号定位恶意账号的方法和系统
CN106992958B (zh) * 2016-01-21 2020-11-06 阿里巴巴集团控股有限公司 一种通过丢失账号定位恶意账号的方法和系统
CN107395635A (zh) * 2017-08-25 2017-11-24 中国联合网络通信集团有限公司 一种定位有线端用户位置的方法及装置
CN107395635B (zh) * 2017-08-25 2020-04-21 中国联合网络通信集团有限公司 一种定位有线端用户位置的方法及装置
CN107566420A (zh) * 2017-10-27 2018-01-09 深信服科技股份有限公司 一种被恶意代码感染的主机的定位方法及设备
CN110764969A (zh) * 2019-10-25 2020-02-07 新华三信息安全技术有限公司 网络攻击溯源方法及装置
CN111818075A (zh) * 2020-07-20 2020-10-23 北京华赛在线科技有限公司 违规外联检测方法、装置、设备及存储介质
CN112769971A (zh) * 2020-12-22 2021-05-07 赛尔网络有限公司 IPv6地址的安全性检测方法、装置、电子设备和存储介质

Also Published As

Publication number Publication date
CN104901850B (zh) 2018-08-31

Similar Documents

Publication Publication Date Title
CN104901850A (zh) 一种恶意代码终端感染机器网络定位方法
EP3253018B1 (en) Network intrusion detection based on geographical information
US8307441B2 (en) Log-based traceback system and method using centroid decomposition technique
JP5991901B2 (ja) 偽装ネットワークトラフィックを検知する方法、装置、及びプログラム
US7930734B2 (en) Method and system for creating and tracking network sessions
US20150341380A1 (en) System and method for detecting abnormal behavior of control system
EP3242240B1 (en) Malicious communication pattern extraction device, malicious communication pattern extraction system, malicious communication pattern extraction method and malicious communication pattern extraction program
KR101236822B1 (ko) Ａｒｐ록킹 기능을 이용한 ａｒｐ스푸핑 공격 탐지 방법과 그 방법을 실행하기 위한 프로그램이 기록된 기록매체
CN101296227B (zh) 基于报文偏移量匹配的IPSec VPN协议深度检测方法
CN101286896A (zh) 基于流的IPSec VPN协议深度检测方法
US20170339183A1 (en) Optimization apparatus, optimization method, and optimization program
US20210203575A1 (en) System and method for determining device attributes using a classifier hierarchy
CN101662393A (zh) 域间前缀劫持检测与定位方法
CN104202206A (zh) 报文处理装置及方法
US11863584B2 (en) Infection spread attack detection device, attack origin specification method, and program
US20150229659A1 (en) Passive detection of malicious network-mapping software in computer networks
US20190174252A1 (en) Method and Apparatus for Wireless Client-to-Network Host Association
CN111010362B (zh) 一种异常主机的监控方法及装置
KR102182675B1 (ko) 기계학습을 이용한 무선 단말 식별 방법 및 시스템
WO2017025243A1 (en) Method and system for network intrusion detection
KR102624946B1 (ko) Ics/ot 네트워크에 대한 패시브 핑거프린트 및 보안위협 분석 시스템
KR102089417B1 (ko) 악성코드에 감염된 디바이스를 포함하는 단말그룹에 대한 가상의 악성 트래픽 템플릿 생성 방법 및 그 장치
CN110708329A (zh) 一种基于udf识别未知隧道报文的方法
KR101223597B1 (ko) 운영체제 시그니처 생성 장치 및 방법
US20200412748A1 (en) Abnormality cause specification support system and abnormality cause specification support method

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant