WO2011063729A1 - 一种未知恶意代码的预警方法、设备和系统 - Google Patents

一种未知恶意代码的预警方法、设备和系统 Download PDF

Info

Publication number
WO2011063729A1
WO2011063729A1 PCT/CN2010/078951 CN2010078951W WO2011063729A1 WO 2011063729 A1 WO2011063729 A1 WO 2011063729A1 CN 2010078951 W CN2010078951 W CN 2010078951W WO 2011063729 A1 WO2011063729 A1 WO 2011063729A1
Authority
WO
WIPO (PCT)
Prior art keywords
suspicious code
code
suspicious
malicious
maliciousness
Prior art date
Application number
PCT/CN2010/078951
Other languages
English (en)
French (fr)
Inventor
蒋武
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Publication of WO2011063729A1 publication Critical patent/WO2011063729A1/zh
Priority to US13/481,273 priority Critical patent/US9674206B2/en
Priority to US15/081,018 priority patent/US10027693B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Definitions

  • the invention relates to an early warning method, device and system for unknown malicious code.
  • the application is submitted to the Chinese Patent Office on November 26, 2009, and the application number is 200910247172.8.
  • the invention name is "an early warning method, device and system for unknown malicious code”.
  • Priority of Chinese Patent Application the entire contents of which is incorporated herein by reference.
  • TECHNICAL FIELD Embodiments of the present invention relate to network security technologies, and more particularly to a pre-police method, apparatus, and system for unknown malicious code.
  • the embodiment of the invention provides an early warning method, device and system for unknown malicious code.
  • the source address of a large number of suspicious codes can be actively reported in the first time, which lays a foundation for shortening the time to solve the virus threat; and there is no need to install software on the client to avoid the trouble of the installation process.
  • a first detecting module configured to perform feature detection on the data packet
  • a first determining module configured to determine, by using a detection result of the first detecting module, whether the data packet includes a suspicious code
  • a first recording module configured to record a source address of the suspicious code if the first determining module determines that the content is included
  • the first sending module is configured to send, to the monitoring device, the early warning information that includes the source address.
  • An early warning system for an unknown malicious code including a network device and a monitoring device, where the monitoring device is configured to receive early warning information; parse the source address in the early warning information; and download the suspicious code corresponding to the source address ; determining whether the suspicious code is malicious; when it is determined to be malicious, sending an alarm message.
  • An early warning method, device and system for unknown malicious code provided by an embodiment of the present invention.
  • the source address of a large number of suspicious codes can be actively reported in the first time, so that the manufacturer can quickly obtain the sample source address after the malicious code appears, and ensure the comprehensiveness of the source of the warning information, which lays a foundation for shortening the time for solving the virus threat; There is no need to install software on the client to avoid the hassle of the installation process.
  • FIG. 1 is a schematic diagram of an embodiment of an early warning method for an unknown malicious code according to the present invention
  • FIG. 2 is a schematic diagram of an embodiment of an early warning method for an unknown malicious code according to the present invention
  • FIG. 3 is a schematic diagram of an embodiment of a network device according to the present invention
  • FIG. 1 is a schematic diagram of an embodiment of an early warning method for an unknown malicious code according to the present invention.
  • the embodiment includes: Step 105: Perform feature detection on the data packet;
  • Step 110 Determine, by the detection result, whether the data packet includes a suspicious code
  • Step 130 Send alert information including the source address to the monitoring device.
  • the execution subject of the embodiment of the present invention is a network device.
  • the suspicious code is alerted in a timely manner by sending the source address of the suspicious code in the packet to the monitoring device.
  • feature detection is first performed on the data packet, for example, by detecting whether the data packet includes the name of the suspicious code, detecting whether the data stream includes the file header of the suspicious code, or a combination of the two.
  • the exe is Suspicious code, because this executable file may leak the end user's information, cause damage to the terminal's system, or even be controlled by the attacker, where * represents an arbitrary long string.
  • the packet contains a string like get *. dl K get *. ocx, it also indicates that an executable file is being transferred, or it may be a piece of malicious code, which may leak the information of the end user, the system to the terminal. It is also necessary to report the damage caused by the attacker.
  • the PE file header feature code "MZ" ASCI K Amer i can S tandard Code for Information Interchange, USA
  • the information exchange standard code indicates) this PE file is a suspicious code, because the user tries to download a picture, but the return is a executable Line file, this deceptive behavior, indicates that this PE file is very likely a piece of malicious code.
  • the source of the suspicious code is searched. Specifically, if the suspicious code is determined by detecting whether the data stream contains the name of the suspicious code, the source address is generally in the URL following the get.
  • the suspicious code is determined by detecting whether the data stream contains the header of the suspicious code, then the source address of the data packet can be found by using the information in the data packet, if a combination of the two is used To determine the suspicious code, the source address will usually appear in the URL after the get. After the source address of the suspicious code is recorded, the source address is sent to the monitoring device through the warning information. After the warning, the network device may also receive the alarm information sent by the monitoring device.
  • An early warning method for an unknown malicious code provided by an embodiment of the present invention.
  • the source address of a large number of suspicious codes can be actively reported in the first time, so that the manufacturer can quickly obtain the sample source address after the malicious code appears, and ensure the comprehensiveness of the source of the warning information, which lays a foundation for shortening the time for solving the virus threat; There is no need to install software on the client to avoid the hassle of the installation process.
  • FIG. 2 is a schematic diagram of an embodiment of an early warning method for an unknown malicious code according to the present invention.
  • the embodiment includes: Step 105: Perform feature detection on the data packet;
  • Step 110 Determine, by the detection result, whether the data packet includes a suspicious code
  • Step 1 30 Send an alert message including the source address to the monitoring device.
  • Step 204 Receive alarm information sent by the monitoring device, where the alarm information includes maliciousness of the suspect code, or maliciousness of the suspect code, and botnet topology information.
  • the alarm information includes maliciousness of the suspect code, or maliciousness of the suspect code, and botnet topology information.
  • the difference between the embodiment of the present invention and the previous embodiment is that after the network device sends the warning information, the alarm information sent by the monitoring device is received.
  • the alarm message contains the maliciousness of the suspicious code of the warning, or the maliciousness of the suspicious code of the warning and the botnet topology information.
  • the monitoring device can judge the maliciousness of the suspicious code by the method of feature detection, the method of sandbox testing, or a combination of the two. If the monitoring device uses the feature detection method to calculate the malicious possibility, the monitoring device uses a more detailed malicious code feature resource library to compare with the suspicious code, and if the suspicious code matches the feature in the malicious code feature resource library, according to the matching The degree of calculation of the probability of suspicious code launching an attack, and to determine whether there is a possibility of an attack behavior, that is, a malicious possibility. For example, if the signature database contains a suspicious code feature that is considered to have a probability of 80% attack, and the suspicious code is the same as the suspicious code feature, then the suspicious code can be considered to have an 80% probability of launching an attack.
  • the suspicious code is malicious. If the monitoring device uses the sandbox method to calculate the malicious possibility, the monitoring device automatically runs the above suspicious code in the sandbox, and records the execution result and operation status, and the monitoring device calculates its malicious possibility according to this record.
  • the above sandbox is a professional virtual environment in which programs running in the registry or files are redirected to the inside of the sandbox, so that if the program is malicious, it does not affect the outside of the sandbox. Even if an attack is performed inside the sandbox, simply restart the sandbox to eliminate the effects of the attack.
  • the monitoring device may extract the botnet topology information in the malicious code, generate alarm information including the topology structure information; and the monitoring device sends the alarm information including the topology structure information. .
  • the botnet topology information in the above malicious code includes: the zombie host and the IP address, port, or URL of the controlling host.
  • the network device receives the alarm information sent by the monitoring device, where the alarm information includes the maliciousness of the suspicious code, or the maliciousness of the suspicious code, and the foregoing Botnet topology information.
  • Step 216 intercepting the malicious suspicious code according to the maliciousness of the suspicious code; or step 225, intercepting the malicious suspicious code and the botnet extension according to the maliciousness of the suspicious code and the botnet topology information Pak information corresponds to the packets in the botnet.
  • the network device intercepts the corresponding suspicious code after receiving the alarm information, in the botnet The packet is intercepted.
  • An early warning method for an unknown malicious code provided by an embodiment of the present invention.
  • the source address of a large number of suspicious codes can be actively reported at the first time, and the comprehensiveness of the source of the early warning information is ensured, which lays a foundation for shortening the time for solving the virus threat; and avoids the trouble of installing the client software.
  • sending the source address of the suspicious code through the network device reduces the occupation of the bandwidth of the user directly sending the suspicious code; analyzing the suspicious code by the monitoring device, and sending an alarm to the network device, so that the network device intercepts the malicious suspicious code;
  • the botnet topology information is sent, and the botnet alarm is sent to the network device, so that the network device intercepts the data packet in the botnet, thereby reducing the possibility of the host receiving the attack.
  • FIG. 3 is a schematic diagram of an embodiment of a network device according to the present invention.
  • the embodiment includes: a first detecting module 301, configured to perform feature detection on a data packet;
  • the first determining module 312 is configured to determine, by using a detection result of the first detecting module, whether the data packet includes a suspicious code
  • the first recording module 325 is configured to: when the first determining module determines that the content is included, record the source address of the suspect code;
  • the first sending module 336 is configured to send, to the monitoring device, the early warning information that includes the source address.
  • the first detecting module first performs feature detection on the data packet, for example, by detecting whether the data packet includes the name of the suspect code, detecting whether the data stream includes the file header of the suspect code, or a combination of the two. The method is tested.
  • the first judging module judges whether the suspicious code is included according to the detection result of the first detecting module. If included, the first recording module records the source of the suspicious code and alerts the monitoring device through the first transmitting module. After the warning, the network device can also receive the alarm information sent by the monitoring device.
  • the first detecting submodule 302 is configured to detect whether the name of the suspicious code is included in the data stream; and/or
  • a second detecting submodule 303 configured to detect whether the data stream includes the file of the suspicious code Head.
  • the first receiving module 345 is configured to receive alarm information sent by the monitoring device, where the alarm information includes maliciousness of the suspicious code, or maliciousness of the suspicious code, and botnet topology information.
  • a first intercepting module 352 configured to intercept a malicious suspicious code according to the maliciousness of the suspicious code
  • the second intercepting module 367 is configured to intercept the malicious suspicious code and the data packet in the botnet corresponding to the botnet topology information according to the maliciousness of the suspicious code and the botnet topology information.
  • a network device provided by an embodiment of the present invention.
  • the source address of a large number of suspicious codes can be actively reported in the first time, and the comprehensiveness of the source of the warning information can be ensured, which lays a foundation for shortening the time for solving the virus threat; and the software is not required to be installed on the client, thereby avoiding the trouble of the installation process.
  • the first receiving module also receives the alarm information sent by the monitoring device, intercepts the malicious suspicious code or intercepts the data packet in the botnet, thereby reducing the possibility of the host receiving the attack.
  • FIG. 4 is a schematic diagram of an embodiment of an early warning system for an unknown malicious code of the present invention.
  • the embodiment includes: a network device 401 and a monitoring device 412 as shown in FIG. 3, the monitoring device is configured to receive early warning information; parse a source address in the early warning information; and download a suspicious code corresponding to the source address; Whether the suspicious code is malicious; when it is judged to be malicious, it sends an alarm message.
  • An early warning system for an unknown malicious code provided by an embodiment of the present invention.
  • the source address of a large number of suspicious codes can be collected in the first time, and the comprehensiveness of the source of the warning information can be ensured, which lays a foundation for shortening the time to solve the virus threat; and it is not necessary to install the software on the client to avoid the trouble of the installation process.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

一种未知恶意代码的预警方法、 设备和系统 本申请要求于 2009 年 11 月 26 日提交中国专利局， 申请号为 200910247172.8, 发明名称为"一种未知恶意代码的预警方法、设备和系统" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域 本发明实施例涉及网络安全技术，特别是涉及一种未知恶意代码的预警方 法、 设备和系统。
背景技术 随着互联网的广泛应用， 对网络安全的需求变得越来越大。 在所有的攻击 手段中， 对漏洞的利用也越来越频繁。 过去安全漏洞被利用一般需要几个月时 间。 最近， 发现与利用之间的时间间隔已经减少到了数天。 漏洞一旦被发现后 在很短的时间内就会被恶意利用， 对于这种攻击， 厂商大多很久才能够得到恶 意代码的样本，发行相应的补丁也就更慢， 所以这种攻击往往能够造成巨大的 破坏。 MS Blas t ( MS风暴）在漏洞被发现不到 25天就进行了袭击， Nachi ( MS 风暴变种）一周后就发动了袭击。 如果能够及早发现恶意代码， 就可以及时预 防， 进而减少恶意代码造成的损失。 现有技术中， 网络设备无法对可疑代码进行上报， 当恶意代码攻击发生以 后， 厂商需要很久才能获取恶意代码样本。 病毒软件虽然可以对已经下载到电 脑上的文件进行分析并上报给监控中心， 但是如果处理不当， 仍然会受到已经 下载的恶意代码的攻击， 并且给用户的电脑带来了很大的负担， 另外由于需要 安装， 给用户带来了很多麻烦， 所以一些用户会拒绝在网络设备上安装杀毒软 件， 成为了恶意代码传播的温床。 发明内容
本发明实施例提供了一种未知恶意代码的预警方法、设备和系统。 可以在 第一时间主动上报大量可疑代码的源地址，为缩短解决病毒威胁的时间奠定了 基础； 并且无需在客户端安装软件， 避免安装过程的麻烦。
本发明实施例提供的一种未知恶意代码的预警方法， 包括：
对数据包进行特征检测；
通过检测结果判断所述数据包是否包含可疑代码；
如果包含， 记录所述可疑代码的源地址；
向监控设备发送包含所述源地址的预警信息。
本发明实施例提供的一种网络设备， 包括：
第一检测模块， 用于对数据包进行特征检测；
第一判断模块，用于通过第一检测模块的检测结果判断所述数据包是否包 含可疑代码；
第一记录模块， 用于在第一判断模块判断为包含的情况下， 记录所述可疑 代码的源地址；
第一发送模块， 用于向监控设备发送包含所述源地址的预警信息。
本发明实施例提供的一种未知恶意代码的预警系统，包括网络设备和监控 设备， 其中监控设备用于接收预警信息； 解析所述预警信息中的源地址； 下载 所述源地址对应的可疑代码； 判断所述可疑代码是否恶意； 在判断为具有恶意 时， 发送报警信息。 本发明实施例提供的一种未知恶意代码的预警方法、设备和系统。 可以在 第一时间主动上报大量可疑代码的源地址，从而使得厂商在恶意代码出现后快 速获得样本源地址， 并且确保了预警信息来源的全面性， 为缩短解决病毒威胁 的时间奠定了基础； 并且无需在客户端安装软件， 避免安装过程的麻烦。
附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下面描 述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不 付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。 图 1为本发明未知恶意代码的预警方法实施例示意图； 图 2为本发明未知恶意代码的预警方法实施例示意图； 图 3为本发明网络设备实施例示意图； 图 4为本发明未知恶意代码的预警系统实施例示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清 楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而不是 全部的实施例。基于本发明中的实施例， 本领域普通技术人员在没有作出创造 性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
本发明实施例提供了一种结构化信息价值评估方法和设备，下面对本发明 实施例的技术方案做进一步的详细描述。 图 1为本发明未知恶意代码的预警方法实施例示意图。 本实施例包括： 步驟 105 , 对数据包进行特征检测；
步驟 110, 通过检测结果判断所述数据包是否包含可疑代码；
步骤 128 , 如果包含， 记录所述可疑代码的源地址；
步骤 130, 向监控设备发送包含所述源地址的预警信息。 本发明实施例的执行主体为网络设备。通过将数据包中可疑代码的源地址 发送给监控设备， 及时地对可疑代码进行了预警。
本实施例首先对数据包进行特征检测，比如可以通过检测数据包中是否包 含所述可疑代码的名称、检测数据流中是否包含所述可疑代码的文件头、或者 两者结合的方法进行检测。
具体的， 只通过检测数据包中是否包含所述可疑代码的名称时， 例如， 当 检测到数据包中包含类似 get *. exe的字符串时， 说明正在传输一个可执行文 件， 那么这个 exe就是可疑代码， 因为这个可执行文件有可能会泄露终端用 户的信息、 对终端的系统造成破环、 甚至被攻击者控制， 其中 *代表任意长字 符串。 或者当数据包中包含类似 get *. dl K get *. ocx的字符串时， 也说明 正在传输一个可执行文件， 也有可能是一段恶意代码， 有可能会泄露终端用户 的信息、 对终端的系统造成破环、 甚至被攻击者控制， 同样需要上报。
只通过检测数据流中是否包含所述可疑代码的文件头时， 例如， 当检测到 数据包中包含 PE ( Por table Excutable, 可移植可执行）文件头特征码 "MZ" ( ASCI I ( Amer i can Standard Code for Informat ion Interchange , 美国信 息交换标准代码 )码表示） 时， 这个 PE文件可能在执行时泄露终端用户的信 息、 对终端的系统造成破环、 甚至被攻击者控制， 所以这个 PE文件也是可疑 代码。
通过两者结合的方法进行检测时， 当检测到 get *. jpg之后， 如果继续检 测到相应数据中包含 PE文件头特征码 "MZ" ( ASCI K Amer i can S tandard Code for Informat ion Interchange , 美国信息交换标准代码）码表示）， 这个 PE 文件就是可疑代码， 因为用户尝试的是下载一副图片， 但是返回的是一个可执 行文件， 这个欺骗行为， 说明这个 PE文件非常可能是一段恶意代码。 当检测到可疑代码以后， 查找可疑代码的来源， 具体的， 如果是通过检测 数据流中是否包含所述可疑代码的名称来确定可疑代码的，那么源地址一般是 会在 ge t后面的 URL中出现，如果是通过检测数据流中是否包含所述可疑代码 的文件头来确定可疑代码的，那么可以通过数据包中的信息查找到数据包的源 地址， 如果是使用两者相结合的方式来确定可疑代码的， 源地址一般也会在 get后面的 URL中出现。 记录下可疑代码的源地址以后，再通过预警信息， 将上述源地址发送给监 控设备。 在预警之后， 网络设备还可以接收所述监控设备发送的报警信息。
本发明实施例提供的一种未知恶意代码的预警方法。可以在第一时间主动 上报大量可疑代码的源地址，从而使得厂商在恶意代码出现后快速获得样本源 地址， 并且确保了预警信息来源的全面性， 为缩短解决病毒威胁的时间奠定了 基础； 并且无需在客户端安装软件， 避免安装过程的麻烦。
图 2为本发明未知恶意代码的预警方法实施例示意图。 本实施例包括： 步骤 105 , 对数据包进行特征检测；
步骤 110 , 通过检测结果判断所述数据包是否包含可疑代码；
步骤 128 , 如果包含， 记录所述可疑代码的源地址；
步骤 1 30 , 向监控设备发送包含所述源地址的预警信息。
步骤 204 , 接收所述监控设备发送的报警信息， 所述报警信息包含所述可 疑代码的恶意性、 或所述可疑代码的恶意性以及僵尸网络拓朴信息。 本发明实施例与上一实施例的区别在于， 网络设备发送预警信息之后，接 收监控设备发送的报警信息。报警信息中包含预警的可疑代码的恶意性、或者 预警的可疑代码的恶意性以及僵尸网络拓朴信息。
监控设备可以通过特征检测的方法、沙箱测试的方法或者二者相结合的方 法判断可疑代码的恶意性。 如果监控设备使用特征检测的方法计算恶意可能性，则监控设备利用更为 详细的恶意代码特征资源库， 与可疑代码进行比较， 如果可疑代码与恶意代码 特征资源库中的特征匹配， 根据其匹配的程度计算可疑代码发动攻击的概率， 并判断是否有可能发生攻击行为， 即恶意可能性。 比如， 如果特征库中包含一 段可疑代码特征， 被认定为具有 80%发动攻击的概率， 可疑代码与这段可疑代 码特征是一样的， 则可以认定可疑代码也具有 80%发动攻击的概率， 如果这一 概率超过报警阀值， 则可疑代码具有恶意可能性。 如果监控设备使用沙箱的方法计算恶意可能性，监控设备自动将上述可疑 代码在沙箱中运行， 并记录执行的结果和运行情况，监控设备根据这一记录计 算它的恶意可能性。 上述沙箱是一种专业虚拟环境， 在其中运行的程序在修改 注册表或者文件时会被重定向至沙箱内部， 这样， 如果程序具有恶意， 也不对 沙箱外部造成影响。 即使在沙箱内部执行了攻击行为， 只需重启沙箱即可消除 攻击行为的影响。比如监控设备检测到可疑代码的运行过程中触发了一个恶意 事件， 而这一事件的发动攻击的概率是 40% , 则这一可疑代码的恶意可能性也 是 40%， 如果这一概率超过报警阀值， 则可疑代码具有恶意可能性。 如果判断为恶意代码，监控设备可以提取所述恶意代码中的僵尸网络拓朴 结构信息， 生成包含所述拓朴结构信息的报警信息； 监控设备发送所述包含所 述拓朴结构信息的报警信息。
上述恶意代码中的僵尸网络拓朴结构信息， 包括： 僵尸主机以及控制主机 的 IP地址、 端口、 或 URL。
监控设备发送包含所述拓朴结构信息的报警信息之后 ,网络设备接收所述 监控设备发送的报警信息， 所述报警信息包含所述可疑代码的恶意性、或所述 可疑代码的恶意性以及上述僵尸网络拓朴信息。
本发明实施例还可以包含以下步驟：
步骤 216 , 根据所述可疑代码的恶意性， 拦截具有恶意的可疑代码； 或 步骤 225 , 根据所述可疑代码的恶意性以及僵尸网絡拓朴信息， 拦截具有 恶意的可疑代码以及所述僵尸网络拓朴信息对应的僵尸网络中的数据包。
网络设备在收到报警信息之后对相应的可疑代码进行拦截，对僵尸网络中 的数据包进行拦截。
本发明实施例提供的一种未知恶意代码的预警方法。可以在第一时间主动 上报大量可疑代码的源地址， 并且确保了预警信息来源的全面性， 为缩短解决 病毒威胁的时间奠定了基础； 同时避免了安装客户端软件的麻烦。 另外， 通过 网络设备发送可疑代码的源地址， 减少了直接发送可疑代码用户带宽的占用 量； 通过监控设备分析可疑代码， 并向网络设备发送报警， 使得网络设备对恶 意可疑代码进行拦截； 通过提取僵尸网络拓朴结构信息， 并向网络设备发送僵 尸网络的报警， 使得网络设备对僵尸网络中的数据包进行拦截， 减少了主机收 到攻击的可能性。
图 3为本发明网络设备实施例示意图。 本实施例包括： 第一检测模块 301 , 用于对数据包进行特征检测；
第一判断模块 312， 用于通过第一检测模块的检测结果判断所述数据包是 否包含可疑代码；
第一记录模块 325 , 用于在第一判断模块判断为包含的情况下， 记录所述 可疑代码的源地址；
第一发送模块 336 , 用于向监控设备发送包含所述源地址的预警信息。 本实施例第一检测模块首先对数据包进行特征检测，比如可以通过检测数 据包中是否包含所述可疑代码的名称、检测数据流中是否包含所述可疑代码的 文件头、或者两者结合的方法进行检测。 第一判断模块根据第一检测模块的检 测结果判断是否包含可疑代码。如果包含， 第一记录模块记录下可疑代码的来 源， 并通过第一发送模块向监控设备预警。 在预警之后， 网络设备还可以接收 所述监控设备发送的报警信息。
本实施例第一检测模块还可以包括以下子模块：
第一检测子模块 302 , 用于检测数据流中是否包含所述可疑代码的名称； 和 /或
第二检测子模块 303 , 用于检测数据流中是否包含所述可疑代码的文件 头。
本实施例还可以包括以下模块：
第一接收模块 345 , 用于接收所述监控设备发送的报警信息， 所述报警信 息包含所述可疑代码的恶意性、或所述可疑代码的恶意性以及僵尸网络拓朴信 息。
本实施例还可以包括以下模块：
第一拦截模块 352 , 用于根据所述可疑代码的恶意性， 拦截具有恶意的可 疑代码； 或
第二拦截模块 367 , 用于根据所述可疑代码的恶意性以及僵尸网络拓朴信 息，拦截具有恶意的可疑代码以及所述僵尸网络拓朴信息对应的僵尸网络中的 数据包。
本发明实施例提供的网络设备。可以在第一时间主动上报大量可疑代码的 源地址， 并且确保了预警信息来源的全面性， 为缩短解决病毒威胁的时间奠定 了基础； 并且无需在客户端安装软件， 避免安装过程的麻烦。 还通过第一接收 模块接收监控设备发送的报警信息，对恶意可疑代码进行拦截或者对僵尸网络 中的数据包进行拦截， 减少了主机收到攻击的可能性。
图 4为本发明未知恶意代码的预警系统实施例示意图。 本实施例包括： 如 图 3所示的网络设备 401和监控设备 412， 上述监控设备用于接收预警信息； 解析所述预警信息中的源地址； 下载所述源地址对应的可疑代码； 判断所述可 疑代码是否恶意； 在判断为具有恶意时， 发送报警信息。
本发明实施例提供的一种未知恶意代码的预警系统。可以在第一时间搜集 大量可疑代码的源地址， 并且确保了预警信息来源的全面性， 为缩短解决病毒 威胁的时间奠定了基础； 并且无需在客户端安装软件， 避免安装过程的麻烦。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明 可借助软件加必需的硬件平台的方式来实现， 当然也可以全部通过硬件来实 施， 但很多情况下前者是更佳的实施方式。 基于这样的理解， 本发明的技术方 案对背景技术做出贡献的全部或者部分可以以软件产品的形式体现出来，该计 算机软件产品可以存储在存储介质中， 如 R0M/RAM、 磁碟、 光盘等， 包括若干 指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等） 执行本发明各个实施例或者实施例的某些部分所述的方法。
最后应说明的是：以上实施例仅用以说明本发明的技术方案而非对其进行 限制，尽管参照较佳实施例对本发明进行了详细的说明， 本领域的普通技术人 员应当理解： 其依然可以对本发明的技术方案进行修改或者等同替换， 而这些 修改或者等同替换亦不能使修改后的技术方案脱离本发明技术方案的精神和 范围。

Claims

权 利 要 求
1. 一种未知恶意代码的预警方法， 其特征在于， 包括：
对数据包进行特征检测；
通过检测结果判断所述数据包是否包含可疑代码；
如果包含， 记录所述可疑代码的源地址；
向监控设备发送包含所述源地址的预警信息。
2. 如权利要求 1所述的方法， 其特征在于， 所述对数据包进行特征检测包 括以下至少一项：
检测数据流中是否包含所述可疑代码的名称；
检测数据流中是否包含所述可疑代码的文件头。
3. 如权利要求 1或 2所迷的方法， 其特征在于， 还包括：
接收所述监控设备发送的报警信息，所述报警信息包含所述可疑代码的恶 意性、 或所述可疑代码的恶意性以及僵尸网络拓朴信息。
4. 如权利要求 3所述的方法， 其特征在于， 还包括：
当所述报警信息包含所述可疑代码的恶意性时，根据所述可疑代码的恶意 性， 拦截具有恶意的可疑代码；
当所述报警信息包含所述可疑代码的恶意性以及僵尸网络拓朴信息时，根 据所述可疑代码的恶意性以及僵尸网络拓朴信息，拦截具有恶意的可疑代码以 及所述僵尸网络拓朴信息对应的僵尸网络中的数据包。
5.一种网络设备， 其特征在于， 包括：
第一检测模块， 用于对数据包进行特征检测；
第一判断模块，用于通过第一检测模块的检测结果判断所述数据包是否包 含可疑代码；
第一记录模块， 用于在第一判断模块判断为包含的情况下， 记录所述可疑 代码的源地址；
第一发送模块， 用于向监控设备发送包含所述源地址的预警信息。
6. 如权利要求 5所述的网络设备， 其特征在于， 第一检测模块包括： 第一检测子模块， 用于检测数据流中是否包含所述可疑代码的名称； 和 / 或
第二检测子模块， 用于检测数据流中是否包含所述可疑代码的文件头。
7. 如权利要求 5所述的网络设备， 其特征在于， 还包括：
第一接收模块， 用于接收所述监控设备发送的报警信息， 所述报警信息包 含所述可疑代码的恶意性、 或所述可疑代码的恶意性以及僵尸网络拓朴信息。
8. 如权利要求 5所述的网络设备， 其特征在于， 还包括：
第一拦截模块， 用于根据所述可疑代码的恶意性， 拦截具有恶意的可疑代 码； 或
第二拦截模块， 用于根据所迷可疑代码的恶意性以及僵尸网络拓朴信息， 拦截具有恶意的可疑代码以及所述僵尸网络拓朴信息对应的僵尸网络中的数 据包。
9. 一种未知恶意代码的预警系统， 其特征在于， 包括：
如权利要求 5 - 8所述的网络设备；
监控设备， 用于接收预警信息； 解析所述预警信息中的源地址； 下载所述 源地址对应的可疑代码； 判断所迷可疑代码是否恶意； 在判断为具有恶意时， 发送报警信息。
PCT/CN2010/078951 2009-11-26 2010-11-22 一种未知恶意代码的预警方法、设备和系统 WO2011063729A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/481,273 US9674206B2 (en) 2009-11-26 2012-05-25 Method, device and system for alerting against unknown malicious codes
US15/081,018 US10027693B2 (en) 2009-11-26 2016-03-25 Method, device and system for alerting against unknown malicious codes within a network environment

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910247172.8 2009-11-26
CN200910247172A CN101714931B (zh) 2009-11-26 2009-11-26 一种未知恶意代码的预警方法、设备和系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/481,273 Continuation US9674206B2 (en) 2009-11-26 2012-05-25 Method, device and system for alerting against unknown malicious codes

Publications (1)

Publication Number Publication Date
WO2011063729A1 true WO2011063729A1 (zh) 2011-06-03

Family

ID=42418223

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/078951 WO2011063729A1 (zh) 2009-11-26 2010-11-22 一种未知恶意代码的预警方法、设备和系统

Country Status (3)

Country Link
US (1) US9674206B2 (zh)
CN (1) CN101714931B (zh)
WO (1) WO2011063729A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108270776A (zh) * 2017-12-28 2018-07-10 贵阳忆联网络有限公司 一种网络攻击防护系统及方法
CN113904796A (zh) * 2021-08-27 2022-01-07 国家计算机网络与信息安全管理中心 网络安全检测用流量的设备后门检测方法

Families Citing this family (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10027693B2 (en) 2009-11-26 2018-07-17 Huawei Digital Technologies (Cheng Du) Co., Limited Method, device and system for alerting against unknown malicious codes within a network environment
CN101714931B (zh) 2009-11-26 2012-09-19 成都市华为赛门铁克科技有限公司 一种未知恶意代码的预警方法、设备和系统
CN101741862B (zh) * 2010-01-22 2012-07-18 西安交通大学 基于数据包序列特征的irc僵尸网络检测系统和检测方法
CN101924754B (zh) * 2010-07-15 2013-07-31 国家计算机网络与信息安全管理中心 一种恶意代码控制端主动发现方法及装置
CN102043915B (zh) * 2010-11-03 2013-01-23 厦门市美亚柏科信息股份有限公司 一种非可执行文件中包含恶意代码的检测方法及其装置
CN102761535A (zh) * 2011-04-29 2012-10-31 北京瑞星信息技术有限公司 病毒监测方法和设备
US8555388B1 (en) * 2011-05-24 2013-10-08 Palo Alto Networks, Inc. Heuristic botnet detection
US8966625B1 (en) 2011-05-24 2015-02-24 Palo Alto Networks, Inc. Identification of malware sites using unknown URL sites and newly registered DNS addresses
CN102547713A (zh) * 2011-12-21 2012-07-04 成都三零瑞通移动通信有限公司 一种针对x卧底软件的防激活方法
US9088606B2 (en) * 2012-07-05 2015-07-21 Tenable Network Security, Inc. System and method for strategic anti-malware monitoring
CN102752730B (zh) * 2012-07-19 2014-04-16 腾讯科技（深圳）有限公司 消息处理的方法及装置
CN103699836B (zh) * 2012-09-27 2018-01-09 腾讯科技（深圳）有限公司 一种计算机病毒信息的监测方法、装置和通信系统
US9215239B1 (en) 2012-09-28 2015-12-15 Palo Alto Networks, Inc. Malware detection based on traffic analysis
US9104870B1 (en) 2012-09-28 2015-08-11 Palo Alto Networks, Inc. Detecting malware
US9165142B1 (en) * 2013-01-30 2015-10-20 Palo Alto Networks, Inc. Malware family identification using profile signatures
US9613210B1 (en) 2013-07-30 2017-04-04 Palo Alto Networks, Inc. Evaluating malware in a virtual machine using dynamic patching
US10019575B1 (en) 2013-07-30 2018-07-10 Palo Alto Networks, Inc. Evaluating malware in a virtual machine using copy-on-write
US9811665B1 (en) 2013-07-30 2017-11-07 Palo Alto Networks, Inc. Static and dynamic security analysis of apps for mobile devices
CN104796386B (zh) * 2014-01-21 2020-02-11 腾讯科技（深圳）有限公司 一种僵尸网络的检测方法、装置和系统
US9489516B1 (en) 2014-07-14 2016-11-08 Palo Alto Networks, Inc. Detection of malware using an instrumented virtual machine environment
CN105516073B (zh) * 2014-10-20 2018-12-25 中国银联股份有限公司 网络入侵防御方法
CN109543373B (zh) * 2014-12-10 2023-11-14 创新先进技术有限公司 一种基于用户行为的信息识别方法及装置
US9542554B1 (en) 2014-12-18 2017-01-10 Palo Alto Networks, Inc. Deduplicating malware
US9805193B1 (en) 2014-12-18 2017-10-31 Palo Alto Networks, Inc. Collecting algorithmically generated domains
CN106709337A (zh) * 2015-11-18 2017-05-24 中兴通讯股份有限公司 一种恶意捆绑软件的处理方法和装置
CN106209825B (zh) * 2016-07-07 2019-01-22 中国电子科技集团公司第二十八研究所 一种可定制僵尸网络试验系统
CN106778273A (zh) * 2016-12-28 2017-05-31 北京安天网络安全技术有限公司 一种验证恶意代码在受害者主机中活跃度的方法及系统
US10764309B2 (en) 2018-01-31 2020-09-01 Palo Alto Networks, Inc. Context profiling for malware detection
US11159538B2 (en) 2018-01-31 2021-10-26 Palo Alto Networks, Inc. Context for malware forensics and detection
US10756956B2 (en) * 2018-03-05 2020-08-25 Schweitzer Engineering Laboratories, Inc. Trigger alarm actions and alarm-triggered network flows in software-defined networks
US10956573B2 (en) 2018-06-29 2021-03-23 Palo Alto Networks, Inc. Dynamic analysis techniques for applications
US11010474B2 (en) 2018-06-29 2021-05-18 Palo Alto Networks, Inc. Dynamic analysis techniques for applications
US11196765B2 (en) 2019-09-13 2021-12-07 Palo Alto Networks, Inc. Simulating user interactions for malware analysis
US11386197B1 (en) 2021-01-11 2022-07-12 Bank Of America Corporation System and method for securing a network against malicious communications through peer-based cooperation
US11641366B2 (en) 2021-01-11 2023-05-02 Bank Of America Corporation Centralized tool for identifying and blocking malicious communications transmitted within a network
US11956212B2 (en) 2021-03-31 2024-04-09 Palo Alto Networks, Inc. IoT device application workload capture
CN113507445B (zh) * 2021-06-10 2022-05-17 广州大学 一种物联网第三方规则安全性的检测方法和装置
US20230171099A1 (en) * 2021-11-27 2023-06-01 Oracle International Corporation Methods, systems, and computer readable media for sharing key identification and public certificate data for access token verification

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1997017A (zh) * 2006-12-20 2007-07-11 浙江大学 一种网络蠕虫检测方法及其系统
KR20090078691A (ko) * 2008-01-15 2009-07-20 주식회사 프라이머리넷 바이러스 또는 악성코드 치료 시스템 및 방법
CN101587521A (zh) * 2009-06-17 2009-11-25 北京东方微点信息技术有限责任公司 获取远程计算机信息的方法及装置
CN101714931A (zh) * 2009-11-26 2010-05-26 成都市华为赛门铁克科技有限公司 一种未知恶意代码的预警方法、设备和系统

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6721721B1 (en) * 2000-06-15 2004-04-13 International Business Machines Corporation Virus checking and reporting for computer database search results
WO2002101516A2 (en) * 2001-06-13 2002-12-19 Intruvert Networks, Inc. Method and apparatus for distributed network security
US7007302B1 (en) * 2001-08-31 2006-02-28 Mcafee, Inc. Efficient management and blocking of malicious code and hacking attempts in a network environment
CN101242416B (zh) * 2001-12-10 2011-11-16 思科技术公司 用于过滤和分析基于分组的通信流量的方法和装置
US7669240B2 (en) * 2004-07-22 2010-02-23 International Business Machines Corporation Apparatus, method and program to detect and control deleterious code (virus) in computer network
FR2911023B1 (fr) * 2006-12-29 2009-04-17 Radiotelephone Sfr Procede de securisation d'un flux de donnees.
CN101286850B (zh) * 2007-04-10 2010-12-15 深圳职业技术学院 路由器安全防御装置及防御系统和方法
US7853689B2 (en) * 2007-06-15 2010-12-14 Broadcom Corporation Multi-stage deep packet inspection for lightweight devices
US8201247B1 (en) * 2008-06-11 2012-06-12 Trend Micro Incorporated Method and apparatus for providing a computer security service via instant messaging

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1997017A (zh) * 2006-12-20 2007-07-11 浙江大学 一种网络蠕虫检测方法及其系统
KR20090078691A (ko) * 2008-01-15 2009-07-20 주식회사 프라이머리넷 바이러스 또는 악성코드 치료 시스템 및 방법
CN101587521A (zh) * 2009-06-17 2009-11-25 北京东方微点信息技术有限责任公司 获取远程计算机信息的方法及装置
CN101714931A (zh) * 2009-11-26 2010-05-26 成都市华为赛门铁克科技有限公司 一种未知恶意代码的预警方法、设备和系统

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108270776A (zh) * 2017-12-28 2018-07-10 贵阳忆联网络有限公司 一种网络攻击防护系统及方法
CN113904796A (zh) * 2021-08-27 2022-01-07 国家计算机网络与信息安全管理中心 网络安全检测用流量的设备后门检测方法
CN113904796B (zh) * 2021-08-27 2023-11-17 国家计算机网络与信息安全管理中心 网络流量安全检测的设备后门检测方法

Also Published As

Publication number Publication date
US9674206B2 (en) 2017-06-06
CN101714931A (zh) 2010-05-26
CN101714931B (zh) 2012-09-19
US20120233691A1 (en) 2012-09-13

Similar Documents

Publication Publication Date Title
WO2011063729A1 (zh) 一种未知恶意代码的预警方法、设备和系统
US11082435B1 (en) System and method for threat detection and identification
US9838411B1 (en) Subscriber based protection system
US10305919B2 (en) Systems and methods for inhibiting attacks on applications
CA2533853C (en) Method and system for detecting unauthorised use of a communication network
JP2020095753A (ja) マルウェアのランタイム中の自動検出
KR101607951B1 (ko) 클라우드 기술을 사용한 멀웨어에 대한 동적 클리닝
EP4027604A1 (en) Security vulnerability defense method and device
US10027693B2 (en) Method, device and system for alerting against unknown malicious codes within a network environment
US8266703B1 (en) System, method and computer program product for improving computer network intrusion detection by risk prioritization
JP2006135963A (ja) 悪性コード検出装置及び検出方法
WO2016186975A1 (en) Detection of sql injection attacks
JP5920169B2 (ja) 不正コネクション検出方法、ネットワーク監視装置及びプログラム
TWI407328B (zh) 網路病毒防護方法及系統
CN109688153B (zh) 使用主机应用/程序到用户代理的映射的零日威胁检测
KR100976602B1 (ko) 파일 전송 보안 방법 및 장치
JP2003348113A (ja) スイッチおよびｌａｎ
TW201633205A (zh) 用於惡意程式碼檢測之系統及方法
Tupakula et al. Dynamic state-based security architecture for detecting security attacks in virtual machines
US8806211B2 (en) Method and systems for computer security
TWI764618B (zh) 網路資安威脅防護系統及相關的前攝性可疑網域示警系統
US11451584B2 (en) Detecting a remote exploitation attack
JP5456636B2 (ja) ファイル収集監視方法、ファイル収集監視装置及びファイル収集監視プログラム
CN118862054A (zh) 一种勒索攻击的检测方法及系统
Ashfaq et al. Performance comparison of four anomaly detectors in detecting self-propagating malware on endpoints

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10832636

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC OF 191012

122 Ep: pct application non-entry in european phase

Ref document number: 10832636

Country of ref document: EP

Kind code of ref document: A1