WO2013117148A1 - 检测远程入侵计算机行为的方法及系统 - Google Patents

检测远程入侵计算机行为的方法及系统 Download PDF

Info

Publication number
WO2013117148A1
WO2013117148A1 PCT/CN2013/071340 CN2013071340W WO2013117148A1 WO 2013117148 A1 WO2013117148 A1 WO 2013117148A1 CN 2013071340 W CN2013071340 W CN 2013071340W WO 2013117148 A1 WO2013117148 A1 WO 2013117148A1
Authority
WO
WIPO (PCT)
Prior art keywords
computer
request
creation request
normal
process creation
Prior art date
Application number
PCT/CN2013/071340
Other languages
English (en)
French (fr)
Inventor
郑文彬
范纪鍠
路健华
张晓霖
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US14/377,004 priority Critical patent/US9444834B2/en
Publication of WO2013117148A1 publication Critical patent/WO2013117148A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to the field of computer security technologies, and in particular, to a method and system for detecting the behavior of a remote intrusion computer. Background technique
  • a computer with an IP address can provide various services to other computers on the network through an open port.
  • the so-called port is a free translation of the English port, which is generally considered to be the export of communication between the computer and the outside world.
  • the HTTP (Hypertext Transport Protocol) server will open TCP port 80 so that the user's computer can connect to the server through the port 80 and exchange the HTTP protocol to obtain the HTTP page that is ultimately rendered on the user's computer.
  • the mail server can open port 587, and the user computer can connect to the mail server through port 587, and exchange SMTP (Simple Mail Transfer Protocol) protocol to realize the function of driving mail.
  • some ports may be open in the user's computer to implement some functions. For example, a user's computer might open port 135 by default to be able to connect to another computer, implement remote assistance, and so on.
  • the average user does not have enough knowledge to manage which ports the machine needs to open and close, which leaves the hacker with an intruder computer (probably the aforementioned HTTP server, mail server, and possibly ordinary user's computer). opportunity.
  • An intruder computer probably the aforementioned HTTP server, mail server, and possibly ordinary user's computer.
  • One of the common methods of intrusion is to scan the target machine, find available open ports, and then wire to these ports to control the target machine. For example, an intruder can pass spam via SMTP port 587, or use Telnet port 23, remotely log in to the user's machine, and so on.
  • Firewall technology mainly plays the role of interception by adding rules to restrict connections. That is, a whitelist can be used to set a list of IP addresses that can be connected to an open port, or a blacklist to set a list of IP addresses that cannot be connected to an open port, when a connection request is blocked by a firewall. According to the white list or the blacklist, it is determined whether the IP address of the connection request is an IP address that is allowed to connect, thereby determining whether the connection request is a hacker, and then determining whether to alarm or block the connection. Pick up.
  • Firewall technology can prevent remote intrusion of computers to a certain extent.
  • Users need to set rules, which require high professionalism for users; and if whitelisting is used, it will cause misjudgment.
  • the possibility is relatively large, and with the addition of new IP addresses, the list will be too large, affecting the response speed of the connection; if the blacklist is used, it is inevitable that there will be a lot of stagnation, and the same may spread too large. And the problems it brings. Summary of the invention
  • the present invention has been made in order to provide a method and system for detecting remote intrusion of computer behavior that overcomes the above problems or at least partially solves or alleviates the above problems.
  • a method for detecting a behavior of a remote intrusion computer including: monitoring a process creation event in a system; intercepting a process creation request when monitoring a request to create a process; The process, the ancestor process of the process, and the currently open port determine whether the process creation operation is normal; if the process creation request is abnormal, the process creation request is determined to be a behavior of the remote intrusion computer.
  • a system for detecting remote intrusion of a computer behavior comprising: a monitoring unit for monitoring a process creation event in the system; and an intercepting unit for monitoring a request to create a process
  • the intercepting unit creates a request;
  • the analyzing unit is configured to determine whether the process creation operation is normal by analyzing the process, the ancestor process of the process, and the currently open port; determining a unit, if the process creation request is abnormal , then the process creation request is determined to be the behavior of the remote intrusion computer.
  • a computer program comprising computer readable code causing the server to perform any of claims 1-5 when run on a server The method of detecting remote intrusion of computer behavior.
  • a computer readable medium storing the computer program according to claim 11 is provided.
  • the process creation request can be regarded as a hacking behavior, and then corresponding measures can be taken to prevent the user's computer from receiving the infringement. It can be seen that, as long as the relationship between the process to be created and its ancestor process is opened in advance under normal or abnormal conditions, it can be determined whether the current process creation request is normal, thereby preventing the hacker from invading through these ports. And cause harm to the user's computer. In this process, no user intervention is required, although some information needs to be counted, but it is much smaller in magnitude than the whitelist or blacklist used by the firewall, and does not cause excessive expansion.
  • FIG. 1 shows a flow chart of a method of detecting the behavior of a remote intrusion computer in accordance with one embodiment of the present invention
  • FIG. 2 shows a schematic diagram of a system for detecting the behavior of a remote intrusion computer in accordance with one embodiment of the present invention
  • Figure 3 schematically shows a block diagram of a server for performing the method according to the invention
  • Fig. 4 schematically shows a memory unit for holding or carrying a program code implementing a method according to the invention.
  • the first thing to note is that when a hacker remotely invades a target machine, it first needs to connect to the target machine through the currently open port of the target machine, and then manipulate the target machine to perform specific operations. These two processes can be seen as having two phases: The first phase is The second stage is to perform some operations. When the firewall in the prior art prevents the hacker from invading remotely, the trick is to prevent the hacker from completing the first phase, that is, the port cannot be connected to the target machine through the port, and the hacker cannot perform subsequent operations. Thereby ensuring the safety of the target machine.
  • the embodiment of the present invention is based on the above ideas, and proposes a novel method for detecting the behavior of a remote intrusion computer, thereby achieving the purpose of protecting the security of the target machine.
  • a method for detecting a remote intrusion computer includes the following steps:
  • the embodiment of the present invention does not limit the intrusion behavior of the hacker in the connection phase, but restricts the execution of the specific operation phase.
  • the process of performing specific operations the process of creating a process is always accompanied, that is, in a computer system, if you want to perform an operation for a certain purpose, you need to create a corresponding process, which is completed in the process. The corresponding operation, therefore, can be judged whether it has been hacked by checking whether the process creation is normal. To do this, you need to monitor the events that create processes in your system.
  • S102 When monitoring the request to create a process, intercepting the process creation request; during the monitoring process, once it is found that a process is to be created, the creation event is first intercepted. That is to say, when monitoring to create a process, it does not directly allow the creation of the process, but temporarily intercepts it first, and performs some judgment operations, mainly to distinguish whether the creation process is normal, and if it is not normal, it may be a remote of the hacker. The operation of the intrusion.
  • S103 determining whether the process creation operation is normal by analyzing the process, the ancestor process of the process, and the currently open port;
  • a process when analyzing whether a process is normally created, it can be judged by analyzing the current process to be created and its ancestor process, and the currently open port. Among them, the ancestor process of the process can be learned through the query process tree. After some program processes run, other processes are called to perform certain functions, thus forming a process tree.
  • the process tree is a visual metaphor. For example, a process starts a program, and the process that is started is the child process of the original process, and a tree structure formed according to this. For example, in Windows In the "Run” dialog box of XP, type "cmd" to start the command line console, and then type “notepad” in the command line to start Notepad.
  • command line console process “cmd.exe” and the notepad process “notepad.exe” form a process tree, where the "notepad.exe” process is created by the “cmd.exe” process, the former is called the child. The process, the latter is called the parent process.
  • the ftp process should not be created. If WMI creates an ftp process, it is usually the hacker's action after downloading the backdoor program after port 135 intrusion. That is to say, when a port is opened, the hacker is often used for the remote intrusion process and its ancestor process, which can be pre-stated, so that when determining whether a process is normal, it can Pre-statistical results are compared. First, it is determined whether there is a process in the ancestor process of the process that is often used for remote intrusion when the port is open.
  • the process of creating the process can generally be considered normal; otherwise If yes, you can further determine whether the current process to be created is used by the remote intrusion process when the current port is open. If not, the process can be considered normal. Otherwise, if it is, you can The current process of creating a process is determined to be caused by the hacker's remote intrusion.
  • the command line parameter is one of the running parameters of the process, and in the actual application, the command line parameter is only an example.
  • other operating parameters in the process relationship may also be obtained as reference data.
  • the version number of the program corresponding to the ancestor process for the currently created process and its ancestor process, it may be normal in some versions of the program, but may be abnormal in other versions
  • the installation path for example, when creating a cmd process, the normal installation path is usually under the system disk, if it is a path other than the system disk, it may be abnormal
  • the command line parameters of the ancestor process sqlserver
  • common process running parameters can be collected, saved in the cloud background, and continuously updated and adjusted, and the client uploads to the cloud background after collecting the running parameters of the process. Perform specific inspections and judgments in the cloud background to reduce errors.
  • the current process creation request is determined to be a remote intrusion. Further, the creation process of the current process can be directly blocked, or, in order to further avoid false positives, an alarm can be first sent to the user, and the user further determines whether the current process creation request is normal, and if the user chooses to block, the current process is blocked. Create an operation, otherwise, if the user chooses to allow, the process is allowed to create the execution of the operation, and the intercepted request is also released, allowing it to continue execution. Of course, if you find that the process creation request is normal, you can also release it and perform normal process creation.
  • the process creation request may be regarded as a hacking behavior.
  • the corresponding measures can be taken to prevent the user's computer from receiving the infringement. It can be seen that, as long as the relationship between the process to be created and its ancestor process is opened in advance under normal or abnormal conditions, it can be determined whether the current process creation request is normal, thereby preventing the hacker from invading through these ports. And cause harm to the user's computer. In this process, no user intervention is required, although some information needs to be counted, but it is much smaller in magnitude than the whitelist or blacklist used by the firewall, and does not cause excessive expansion.
  • the embodiment of the present invention further provides a system for detecting the behavior of a remote intrusion computer.
  • the system includes:
  • the monitoring unit 201 is configured to monitor a process creation event in the system
  • the intercepting unit 202 is configured to intercept the process creation request when monitoring the request to create a process
  • the analyzing unit 203 is configured to determine whether the process creation operation is normal by analyzing the process, the ancestor process of the process, and the currently open port;
  • the determining unit 204 is configured to determine the process creation request as a behavior of the remote intrusion computer if the process creation request is abnormal.
  • the system further includes:
  • a first processing unit configured to prevent execution of a process creation operation
  • the second processing unit is configured to issue an abnormal alarm, and block or allow the process to create the execution of the operation according to the user's selection operation.
  • the system further includes:
  • the third processing unit is configured to allow the execution of the creation operation.
  • the analyzing unit 203 may specifically include:
  • a first determining subunit configured to determine whether there is a process in the ancestor process of the process that is often used for remote intrusion when the port is open;
  • a second determining subunit configured to determine, if the determination result of the first determining subunit is YES, whether the process is a process that is often used for remote intrusion when the port is open; determining a subunit, if If the judgment result of the second judgment subunit is YES, it is determined that the process creation request is abnormal.
  • the analyzing unit 203 may further include: The third determining subunit is configured to determine whether the running parameter of the process and/or its ancestor process is normal. If not, the determining subunit determines that the process creation request is abnormal.
  • the process creation request can be regarded as a hacking behavior, and then the corresponding Measures to prevent the user's computer from receiving an infringement. It can be seen that, as long as the relationship between the process to be created and its ancestor process is opened in advance under normal or abnormal conditions, it can be determined whether the current process creation request is normal, thereby preventing the hacker from invading through these ports. And cause harm to the user's computer. In this process, no user intervention is required, although some information needs to be counted, but it is much smaller in magnitude than the whitelist or blacklist used by the firewall, and does not cause excessive expansion.
  • the present invention can be implemented by means of software plus a necessary general hardware platform.
  • the technical solution of the present invention which is essential or contributes to the prior art, may be embodied in the form of a software product, which may be stored in a storage medium such as a ROM/RAM or a disk. , an optical disk, etc., includes instructions for causing a computer device (which may be a personal computer, server, or network device, etc.) to perform the methods described in various embodiments of the present invention or portions of the embodiments.
  • a computer device which may be a personal computer, server, or network device, etc.
  • the same or similar parts may be referred to each other, and each embodiment focuses on differences from other embodiments.
  • the description is relatively simple, and the relevant portions can be referred to the description of the method embodiments.
  • the apparatus and system embodiments described above are merely illustrative, and the components for display may or may not be physical units, i.e., may be located in one place, or may be distributed over multiple network elements. Some or all of the modules may be selected according to actual needs to achieve the purpose of the solution of the embodiment. Those of ordinary skill in the art can understand and implement without the creative labor.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some of the systems for detecting remote intrusion computer behavior in accordance with embodiments of the present invention or Some or all of the features of all components.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • Figure 3 illustrates a server, such as an application server, that can implement a method of detecting remote intrusion of computer behavior in accordance with the present invention.
  • the server conventionally includes a processor 310 and a computer program product or computer readable medium in the form of a memory 320.
  • the memory 320 can be an electronic memory such as a flash memory, an EEPROM (Electrically Erasable Programmable Read Only Memory), an EPROM, a hard disk, or a ROM.
  • Memory 320 has a memory space 330 for program code 331 for performing any of the method steps described above.
  • storage space 330 for program code may include respective program code 331 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • These computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks. Such computer program products are typically portable or fixed storage units as described with reference to Figure 4.
  • the storage unit may have a storage section, a storage space, and the like arranged similarly to the storage 320 in the server of Fig. 3.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 33, i.e., code that can be read by a processor, such as 310, which, when executed by the server, causes the server to perform various steps in the methods described above.
  • an embodiment or “one or more embodiments” as used herein means that a particular feature, structure, or characteristic described in connection with the embodiments is included in at least one embodiment of the invention. Moreover, it is noted that the examples of the words “in one embodiment” herein are not necessarily all referring to the same embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)

Abstract

一种检测远程入侵计算机行为的方法及系统，其中所述方法包括：对系统中的进程创建事件进行监控；当监控到创建某进程的请求时，拦截该进程创建请求；通过分析该进程、该进程的祖先进程，以及当前开放的端口，判断该进程创建操作是否正常；如果所述进程创建请求不正常，则将该进程创建请求确定为远程入侵计算机的行为。通过该方法能够在不需用户干预的情况下进行远程入侵行为的检测，并且不会使保存的数据膨胀过大。

Description

检测远程入侵计算机行为的方法及系统
技术领域
本发明涉及计算机安全技术领域， 特别是涉及一种检测远程入侵计 算机行为的方法及系统。 背景技术
一台拥有 IP地址的计算机， 可以通过开放端口的方式， 提供各种服 务给网络中的其他计算机。 所谓端口， 是对英文 port的意译， 通常被认 为是计算机与外界通讯交流的出口。 例如， HTTP ( Hypertext Transport Protocol, 超文本传送协议）服务器会开放 TCP端口 80 , 这样， 用户的 计算机就可以通过该端口 80与服务器连接， 并交换 HTTP协议， 获得最 终呈现在用户计算机上的 HTTP页面。 或者， 邮件服务器可以开放端口 587 , 用户计算机可以通过端口 587与邮件服务器连接， 并交换 SMTP ( Simple Mail Transfer Protocol , 简单邮件传输协议） 协议， 实现传动邮 件的功能。 再或者， 用户的计算机中还可能开放一些端口， 以实现一些 功能。 例如， 用户的计算机可能默认开放端口 135 , 以便能够与另一台计 算机进行连接， 实现远程协助功能， 等等。
一般的用户并没有足够的知识， 去管理自己的机器需要开放与关闭 哪些端口， 这就给黑客留下了入侵计算机（可能是前述 HTTP服务器、 邮件服务器， 还有可能是普通用户的计算机） 的机会。 入侵常用的手法 之一就是扫描目标机器， 找寻可利用的开放端口， 然后连线至这些端口 操控目标机器。 例如， 入侵者可以通过 SMTP端口 587传递垃圾邮件， 或者利用 Telnet端口 23 , 远程登录到用户机器等等。
为了防止受到这种远程入侵行为的攻击， 现有技术通常是使用防火 墙技术进行拦截。 防火墙技术主要是通过添加规则限制连接的方式来起 到这种拦截的作用。 也即， 可以以白名单的方式， 设置能够连接到某开 放的端口的 IP地址名单， 或者以黑名单的方式， 设置不能连接到某开放 的端口的 IP地址名单， 当一个连接请求被防火墙拦截， 便依照该白名单 或黑名单， 判断该连接请求的 IP地址是否为允许连接的 IP地址， 以此来 判断此次连接请求是否为黑客入侵， 进而决定是否报警或者阻止此次连 接。
防火墙技术可以从一定程度上起到防止远程入侵计算机的作用， 但 是， 至少存在以下弊端： 需要用户设置规则， 对用户的专业性要求较高； 并且如果使用白名单的方式， 则造成误判的可能性比较大， 并且， 随着 新增 IP地址的加入， 名单也会过于庞大， 影响连接的响应速度； 如果使 用黑名单的方式， 则难免百密一疏， 并且同样存在可能会膨胀过大及其 所带来的问题。 发明内容
鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至少 部分地解决或者减緩上述问题的检测远程入侵计算机行为的方法及系 统。
根据本发明的一个方面， 提供了一种检测远程入侵计算机行为的方 法， 包括： 对系统中的进程创建事件进行监控； 当监控到创建某进程的 请求时， 拦截该进程创建请求； 通过分析该进程、 该进程的祖先进程， 以及当前开放的端口， 判断该进程创建操作是否正常； 如果所述进程创 建请求不正常， 则将该进程创建请求确定为远程入侵计算机的行为。 根据本发明的另一个方面，提供了一种检测远程入侵计算机行为的系 统， 包括监控单元， 用于对系统中的进程创建事件进行监控； 拦截单元， 用于当监控到创建某进程的请求时， 拦截该进程创建请求； 分析单元， 用于通过分析该进程、 该进程的祖先进程， 以及当前开放的端口， 判断 该进程创建操作是否正常； 确定单元， 用于如果所述进程创建请求不正 常， 则将该进程创建请求确定为远程入侵计算机的行为。 根据本发明的又一个方面， 提供了一种计算机程序， 其包括计算机 可读代码， 当所述计算机可读代码在服务器上运行时， 导致所述服务器 执行根据权利要求 1-5 中的任一个所述的检测远程入侵计算机行为的方 法。
根据本发明的再一个方面， 提供了一种计算机可读介质， 其中存储 了如权利要求 11所述的计算机程序。
本发明的有益效果为：
通过本发明， 可以通过对进程创建请求进行拦截及分析， 如果发现 不正常的情况， 就可以将该进程创建请求看作是黑客入侵行为， 进而就 可以釆取相应的措施， 以防止用户的计算机收到侵害。 可见， 只要预先 统计了在正常或不正常情况下， 开放各个端口时， 将要创建的进程与其 祖先进程之间的关系， 就可以判断出当前的进程创建请求是否正常， 进 而避免黑客通过这些端口入侵并对用户的计算机造成危害。 在此过程中， 不需要用户的干预， 虽然也需要统计一些信息， 但是相对于防火墙使用 的白名单或黑名单而言， 其数量级要小得多， 不至于导致膨胀过大的现 象发生。
上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发明 的技术手段， 而可依照说明书的内容予以实施， 并且为了让本发明的上 述和其它目的、 特征和优点能够更明显易懂， 以下特举本发明的具体实 施方式。 附图说明
通过阅读下文优选实施方式的详细描述， 各种其他的优点和益处对 于本领域普通技术人员将变得清楚明了。 附图仅用于示出优选实施方式 的目的， 而并不认为是对本发明的限制。 而且在整个附图中， 用相同的 参考符号表示相同的部件。 在附图中：
图 1 示出了根据本发明一个实施例的检测远程入侵计算机行为的方 法的流程图；
图 2 示出了根据本发明一个实施例的检测远程入侵计算机行为的系 统的示意图；
图 3 示意性地示出了用于执行根据本发明的方法的服务器的框图； 以及
图 4 示意性地示出了用于保持或者携带实现根据本发明的方法的程 序代码的存储单元。 具体实施例
下面结合附图和具体的实施方式对本发明作进一步的描述。
首先需要说明的是， 黑客在远程入侵某目标机器时， 首先需要通过 目标机器当前开放的端口连接到该目标机器， 然后再操控目标机器执行 具体的操作。 这两个过程可以看做是有两个阶段组成的： 第一阶段是连 接， 第二阶段是执行一些操作。 现有技术中的防火墙在防止黑客远程入 侵时， 釆用的思路是， 让黑客无法完成第一个阶段， 也即无法通过端口 与目标机器连接， 进而黑客也就无法执行后续的一些操作了， 从而保证 目标机器的安全性。 而在本发明人在实现本发明的过程中发现， 在黑客 入侵的过程中， 其实真正会使得目标机器受到威胁的是上述第二阶段， 也即， 如果黑客无法执行后续的具体操作， 则即使黑客通过端口连接到 目标机器， 也是不会对目标机器的安全性造成影响的。 因此， 本发明实 施例就是从上述思路出发， 提出了一种新型的检测远程入侵计算机的行 为的方法， 从而达到保护目标机器安全性的目的。
参见图 1 ,本发明实施例提供的检测远程入侵计算机的方法包括以下 步骤：
S101 : 对系统中的进程创建事件进行监控；
本发明实施例在检测远程入侵计算机行为的过程中， 并不是在连接 阶段对黑客的入侵行为进行限制， 而是在执行具体的操作阶段进行限制。 而在执行具体操作的过程中， 总是会伴随创建进程的过程， 也即， 在计 算机系统中， 如果想要执行某种操作以达到某种目的， 则需要创建相应 的进程， 在进程中完成相应的操作， 因此， 可以通过检查进程创建是否 正常， 来判断是否被黑客入侵。 为此， 就需要对系统中创建进程的事件 进行监控。
S102: 当监控到创建某进程的请求时， 拦截该进程创建请求； 在监控的过程中， 一旦发现要创建某进程， 则首先将该创建事件拦 截下来。 也就是说， 当监控到要创建某进程时， 不是直接允许该进程的 创建， 而是暂时先拦截下来， 进行一些判断操作， 主要是区分创建过程 是否正常， 如果不正常则可能是黑客的远程入侵进行的操作。
S103 : 通过分析该进程、 该进程的祖先进程， 以及当前开放的端口， 判断该进程创建操作是否正常；
具体在分析一个进程创建过程是否正常时， 可以通过分析当前要创 建的进程及其祖先进程， 以及当前开放的端口等进行判断。 其中， 进程 的祖先进程可以通过查询进程树获知。 一些程序进程运行后， 会调用其 他进程来执行一些特定功能， 这样就组成了一个进程树。 进程树是一个 形象化的比喻， 比如一个进程启动了一个程序， 而启动的这个进程就是 原来那个进程的子进程，依此形成的一种树形的结构。 例如， 在 Windows XP的 "运行" 对话框中输入 "cmd" 启动命令行控制台， 然后在命令行 中输入 "notepad" 启动记事本。 现在， 命令行控制台进程 "cmd.exe" 和 记事本进程 "notepad.exe" 就组成了一个进程树， 其中 "notepad.exe" 进 程是由 "cmd.exe" 进程创建的， 前者称为子进程， 后者称为父进程。
一般的情况下， 从当前要创建的进程与其祖先进程之间的关系， 能 够发现一些不正常的现象。 例如 WMI ( Windows Management
Instrumentation, Windows 管理规范） 在正常使用情况下不应该创建 ftp 进程， 如果 WMI创建 ftp进程， 通常是黑客经由端口 135入侵之后， 下 载后门程序的动作。 也就是说， 在某端口开启的情况下， 黑客经常被利 用于进行远程入侵的进程及其祖先进程， 是可以预先统计出来的， 这样， 具体在判断一个进程创建过程是否正常时， 就可以与预先统计的结果进 行比对， 首先判断该进程的祖先进程中是否存在当所述端口开放时常被 利用于远程入侵的进程， 如果不存在， 则该进程创建过程一般可以被认 为是正常的； 否则， 如果存在， 则可以进一步判断当前要创建的进程是 否为当前的端口开放时常被利用于远程入侵的进程， 如果不是， 则可以 认为该进程创建过程是正常的， 否则， 如果是， 就可以将当前的进程创 建过程判定为黑客的远程入侵行为产生的。
当然， 在实际应用中， 在开启某端口的情况下， 可能并不是所有的 进程都会被黑客用于远程入侵， 而只有一些特定的进程才会被黑客利用， 因此， 在具体对进程创建进行监控时， 也可以仅在监控到创建一些特定 的进程创建请求时， 才进行拦截， 并进一步检查该进程创建操作是否正 常。 例如， 如果系统产生一个新的 ftp进程创建请求， 就可以检查 ftp的 祖先进程是否有 WMI, 并且端口 135为开启状态， 如果是， 则可以认为 该创建 ftp进程的请求是不正常的， 可能是黑客远程入侵的行为。
此外， 在具体实现时， 针对一些特殊情况， 如果仅判断当前要创建 的进程及其祖先进程之间的关系， 来判断当前的进程创建请求是否正常， 可能会出现误判的情况。 例如， Sqlserver创建 cmd进程， 可能是一个正 常的操作， 但也可能是一个被入侵的危险讯号， 此时， 就无法直接用前 述方法进行判定。 但是经过判断 sqlserver发送给 cmd的命令行参数， 可 以判定这是一个正常的创建， 或是异常的创建。 比方说 sqlserver创建一 个 cmd进程, 命令行参数为 "wmic cpu get processrid" , 则这是一个正 常的情况。 然而若 sqlserver创建一个 cmd进程， 命令行参数为 "ftp i 地 址\木马. exe" , 则这就是一个异常的情况。 也就是说， 在判断出一个进程 或者其祖先进程是经常被用于远程入侵的进程之后， 可以进一步判断进 程中的命令行参数， 来进一步确定当前的进程创建请求是否正常， 从而 进一步判断当前是否存在远程入侵计算机的行为。
其中， 命令行参数是进程的运行参数中的一种， 并且， 在实际应用 中， 命令行参数只是一个举例， 除此之外， 还可以获取进程关系中的其 他运行参数作为可供参考的资料， 例如祖先进程对应程序的版本号 （对 于当前要创建的进程及其祖先进程， 在一些版本的程序中可能是正常的， 但在另一些版本中可能是不正常的） 、 进程创建过程中的安装路径 （例 如， 在创建 cmd进程时， 正常的安装路径通常是在系统盘下， 如果是系 统盘以外的其他路径， 则可能是不正常的） 、 祖先进程 (sqlserver)的命令 行参数等， 协助进行判断。
具体实现时， 为了避免过多地占用用户的本地计算机资源， 可以收 集常见的进程运行参数， 保存在云后台， 并且不断更新调整， 客户端在 收集到进程的运行参数之后， 上传给云后台， 在云后台进行具体的检查 及判断工作， 以减少误 ·¾。
需要说明的是， 在具体实现时， 单独根据进程的各种运行参数来判 断当前的进程创建请求是否正常， 或者首先判断各种运行参数是否正常， 如果不正常， 再判断进程或祖先进程是否为常被用于远程入侵的进程， 从而来综合判定当前的进程创建请求是否正常， 都是可以的， 这里不再 进行详述。
S104: 如果所述进程创建请求不正常， 则将该进程创建请求确定为 远程入侵计算机的行为。
如果发现进程创建请求存在不正常的情况， 则将当前的进程创建请 求判定为远程入侵的行为。 进一步地， 就可以直接阻止当前进程的创建 操作， 或者， 为了进一步避免误判， 可以首先向用户发出报警， 由用户 进一步判断当前的进程创建请求是否正常， 如果用户选择阻止， 再阻止 当前的进程创建操作， 否则， 用户选择允许， 则允许进程创建操作的执 行， 也即将拦截的请求放行， 允许其继续执行即可。 当然， 如果发现进 程创建请求是正常的， 同样可以将其放行， 进行正常的进程创建即可。
总之， 在本发明实施例中， 通过对进程创建请求进行拦截及分析， 如果发现不正常的情况， 就可以将该进程创建请求看作是黑客入侵行为， 进而就可以釆取相应的措施， 以防止用户的计算机收到侵害。 可见， 只 要预先统计了在正常或不正常情况下， 开放各个端口时， 将要创建的进 程与其祖先进程之间的关系， 就可以判断出当前的进程创建请求是否正 常， 进而避免黑客通过这些端口入侵并对用户的计算机造成危害。 在此 过程中， 不需要用户的干预， 虽然也需要统计一些信息， 但是相对于防 火墙使用的白名单或黑名单而言， 其数量级要小得多， 不至于导致膨胀 过大的现象发生。
与本发明实施例提供的检测远程入侵计算机行为的方法相对应， 本 发明实施例还提供了一种检测远程入侵计算机行为的系统， 参见图 2 , 该 系统包括：
监控单元 201 , 用于对系统中的进程创建事件进行监控；
拦截单元 202 , 用于当监控到创建某进程的请求时， 拦截该进程创建 请求；
分析单元 203 , 用于通过分析该进程、 该进程的祖先进程， 以及当前 开放的端口， 判断该进程创建操作是否正常；
确定单元 204 , 用于如果所述进程创建请求不正常， 则将该进程创建 请求确定为远程入侵计算机的行为。
其中， 如果所述进程创建操作不正常， 则该系统还包括：
第一处理单元， 用于阻止进程创建操作的执行；
或者，
第二处理单元， 用于向发出异常报警， 根据用户的选择操作， 阻止 或允许进程创建操作的执行。
如果所述进程创建请求正常， 则该系统还包括：
第三处理单元， 用于允许创建操作的执行。
具体实现时， 分析单元 203具体可以包括：
第一判断子单元， 用于判断该进程的祖先进程中是否存在当所述端 口开放时常被利用于远程入侵的进程；
第二判断子单元， 用于如果所述第一判断子单元的判断结果为是， 则判断该进程是否为当所述端口开放时常被利用于远程入侵的进程； 确定子单元， 用于如果所述第二判断子单元的判断结果为是， 则判 定所述进程创建请求不正常。
为了降低误判的可能， 分析单元 203还可以包括： 第三判断子单元， 用于判断该进程和 /或其祖先进程的运行参数是否 正常， 如果不正常， 则所述确定子单元判定所述进程创建请求不正常。
总之， 在本发明实施例提供的系统中， 通过对进程创建请求进行拦 截及分析， 如果发现不正常的情况， 就可以将该进程创建请求看作是黑 客入侵行为， 进而就可以釆取相应的措施， 以防止用户的计算机收到侵 害。 可见， 只要预先统计了在正常或不正常情况下， 开放各个端口时， 将要创建的进程与其祖先进程之间的关系， 就可以判断出当前的进程创 建请求是否正常， 进而避免黑客通过这些端口入侵并对用户的计算机造 成危害。 在此过程中， 不需要用户的干预， 虽然也需要统计一些信息， 但是相对于防火墙使用的白名单或黑名单而言， 其数量级要小得多， 不 至于导致膨胀过大的现象发生。
通过以上的实施方式的描述可知， 本领域的技术人员可以清楚地了 解到本发明可借助软件加必需的通用硬件平台的方式来实现。 基于这样 的理解， 本发明的技术方案本质上或者说对现有技术做出贡献的部分可 以以软件产品的形式体现出来， 该计算机软件产品可以存储在存储介质 中， 如 ROM/RAM、 磁碟、 光盘等， 包括若干指令用以使得一台计算机 设备（可以是个人计算机， 服务器， 或者网络设备等）执行本发明各个 实施例或者实施例的某些部分所述的方法。 相同相似的部分互相参见即可， 每个实施例重点说明的都是与其他实施 例的不同之处。 尤其， 对于装置或系统实施例而言， 由于其基本相似于 方法实施例， 所以描述得比较简单， 相关之处参见方法实施例的部分说 明即可。 以上所描述的装置及系统实施例仅仅是示意性的， 其中所述作 显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或 者也可以分布到多个网络单元上。 可以根据实际的需要选择其中的部分 或者全部模块来实现本实施例方案的目的。 本领域普通技术人员在不付 出创造性劳动的情况下， 即可以理解并实施。
本发明的各个部件实施例可以以硬件实现， 或者以在一个或者多个 处理器上运行的软件模块实现， 或者以它们的组合实现。 本领域的技术 人员应当理解， 可以在实践中使用微处理器或者数字信号处理器 （DSP ) 来实现根据本发明实施例的检测远程入侵计算机行为的系统中的一些或 者全部部件的一些或者全部功能。 本发明还可以实现为用于执行这里所 描述的方法的一部分或者全部的设备或者装置程序 （例如， 计算机程序 和计算机程序产品） 。 这样的实现本发明的程序可以存储在计算机可读 介质上， 或者可以具有一个或者多个信号的形式。 这样的信号可以从因 特网网站上下载得到， 或者在载体信号上提供， 或者以任何其他形式提 供。
例如， 图 3 示出了可以实现根据本发明的检测远程入侵计算机行为 的方法的服务器， 例如应用服务器。 该服务器传统上包括处理器 310 和 以存储器 320 形式的计算机程序产品或者计算机可读介质。 存储器 320 可以是诸如闪存、 EEPROM (电可擦除可编程只读存储器） 、 EPROM、 硬盘或者 ROM之类的电子存储器。存储器 320具有用于执行上述方法中 的任何方法步骤的程序代码 331的存储空间 330。 例如， 用于程序代码的 存储空间 330 可以包括分别用于实现上面的方法中的各种步骤的各个程 序代码 331。这些程序代码可以从一个或者多个计算机程序产品中读出或 者写入到这一个或者多个计算机程序产品中。 这些计算机程序产品包括 诸如硬盘， 紧致盘 （CD ) 、 存储卡或者软盘之类的程序代码载体。 这样 的计算机程序产品通常为如参考图 4 所述的便携式或者固定存储单元。 该存储单元可以具有与图 3的服务器中的存储器 320类似布置的存储段、 存储空间等。 程序代码可以例如以适当形式进行压缩。 通常， 存储单元 包括计算机可读代码 33 Γ , 即可以由例如诸如 310之类的处理器读取的 代码， 这些代码当由服务器运行时， 导致该服务器执行上面所描述的方 法中的各个步骤。
本文中所称的 "一个实施例"、 "实施例"或者"一个或者多个实施例" 意味着， 结合实施例描述的特定特征、 结构或者特性包括在本发明的至 少一个实施例中。 此外， 请注意， 这里"在一个实施例中"的词语例子不一 定全指同一个实施例。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理解， 本发明的实施例可以在没有这些具体细节的情况下被实践。 在一些实例 中， 并未详细示出公知的方法、 结构和技术， 以便不模糊对本说明书的 理解。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限 制， 并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计 出替换实施例。 在权利要求中， 不应将位于括号之间的任何参考符号构 造成对权利要求的限制。单词"包含"不排除存在未列在权利要求中的元件 或步骤。 位于元件之前的单词 "一"或"一个"不排除存在多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计 算机来实现。 在列举了若干装置的单元权利要求中， 这些装置中的若干 个可以是通过同一个硬件项来具体体现。 单词第一、 第二、 以及第三等 的使用不表示任何顺序。 可将这些单词解释为名称。
此外， 还应当注意， 本说明书中使用的语言主要是为了可读性和教 导的目的而选择的， 而不是为了解释或者限定本发明的主题而选择的。 因此， 在不偏离所附权利要求书的范围和精神的情况下， 对于本技术领 域的普通技术人员来说许多修改和变更都是显而易见的。 对于本发明的 范围， 对本发明所做的公开是说明性的， 而非限制性的， 本发明的范围 由所附权利要求书限定。

Claims

权 利 要 求
1、 一种检测远程入侵计算机行为的方法， 其包括：
对系统中的进程创建事件进行监控；
当监控到创建某进程的请求时， 拦截该进程创建请求；
通过分析该进程、 该进程的祖先进程， 以及当前开放的端口， 判断该进 程创建操作是否正常；
如果所述进程创建请求不正常， 则将该进程创建请求确定为远程入侵计 算机的行为。
2、 根据权利要求 1所述的方法， 其中， 如果所述进程创建操作不正常， 则还包括：
阻止进程创建操作的执行；
或者，
向发出异常报警， 根据用户的选择操作， 阻止或允许进程创建操作的执 行。
3、 根据权利要求 1所述的方法， 其中， 如果所述进程创建请求正常， 则还包括：
允许创建操作的执行。
4、 根据权利要求 1至 3任一项所述的方法， 其中， 所述通过分析该进 程、 该进程的祖先进程， 以及当前开放的端口， 判断该进程创建请求是否正 常包括：
判断该进程的祖先进程中是否存在当所述端口开放时常被利用于远程 入侵的进程；
如果是， 则判断该进程是否为当所述端口开放时常被利用于远程入侵的 进程；
如果是， 则判定所述进程创建请求不正常。
5、 根据权利要求 4所述的方法， 其中， 在所述判定所述进程创建请求 不正常之前还包括：
判断该进程和 /或其祖先进程的运行参数是否正常，如果不正常，则判定 所述进程创建请求不正常。
6、 一种检测远程入侵计算机行为的系统， 其包括：
监控单元， 用于对系统中的进程创建事件进行监控； 拦截单元， 用于当监控到创建某进程的请求时， 拦截该进程创建请求； 分析单元， 用于通过分析该进程、 该进程的祖先进程， 以及当前开放的 端口， 判断该进程创建操作是否正常；
确定单元， 用于如果所述进程创建请求不正常， 则将该进程创建请求确 定为远程入侵计算机的行为。
7、 根据权利要求 6所述的系统， 其中， 如果所述进程创建操作不正常， 则还包括：
第一处理单元， 用于阻止进程创建操作的执行；
或者，
第二处理单元， 用于向发出异常报警， 根据用户的选择操作， 阻止或允 许进程创建操作的执行。
8、 根据权利要求 6所述的系统， 其中， 如果所述进程创建请求正常， 则还包括：
第三处理单元， 用于允许创建操作的执行。
9、 根据权利要求 6至 8任一项所述的系统， 其中， 所述分析单元包括： 第一判断子单元， 用于判断该进程的祖先进程中是否存在当所述端口开 放时常被利用于远程入侵的进程；
第二判断子单元， 用于如果所述第一判断子单元的判断结果为是， 则判 断该进程是否为当所述端口开放时常被利用于远程入侵的进程；
确定子单元， 用于如果所述第二判断子单元的判断结果为是， 则判定所 述进程创建请求不正常。
10、 根据权利要求 9所述的系统， 其中， 还包括：
第三判断子单元， 用于判断该进程和 /或其祖先进程的运行参数是否正 常， 如果不正常， 则所述确定子单元判定所述进程创建请求不正常。
11、 一种计算机程序， 包括计算机可读代码， 当所述计算机可读代 码在服务器上运行时，导致所述服务器执行根据权利要求 1-5中的任一个 所述的检测远程入侵计算机行为的方法。
12、 一种计算机可读介质， 其中存储了如权利要求 11所述的计算机 程序。
PCT/CN2013/071340 2012-02-07 2013-02-04 检测远程入侵计算机行为的方法及系统 WO2013117148A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/377,004 US9444834B2 (en) 2012-02-07 2013-02-04 Method and system for detecting behavior of remotely intruding into computer

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210026317.3A CN102663274B (zh) 2012-02-07 2012-02-07 一种检测远程入侵计算机行为的方法及系统
CN201210026317.3 2012-02-07

Publications (1)

Publication Number Publication Date
WO2013117148A1 true WO2013117148A1 (zh) 2013-08-15

Family

ID=46772763

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/071340 WO2013117148A1 (zh) 2012-02-07 2013-02-04 检测远程入侵计算机行为的方法及系统

Country Status (3)

Country Link
US (1) US9444834B2 (zh)
CN (1) CN102663274B (zh)
WO (1) WO2013117148A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102663274B (zh) * 2012-02-07 2015-12-02 北京奇虎科技有限公司 一种检测远程入侵计算机行为的方法及系统
CN102932329B (zh) * 2012-09-26 2016-03-30 北京奇虎科技有限公司 一种对程序的行为进行拦截的方法、装置和客户端设备
CN103279707B (zh) * 2013-06-08 2016-07-13 北京奇虎科技有限公司 一种用于主动防御恶意程序的方法、设备
CN104156662B (zh) * 2014-08-28 2017-10-27 北京奇虎科技有限公司 进程监控的方法、装置和智能终端
US10791116B1 (en) * 2016-09-30 2020-09-29 NortonLifeLock Inc. Systems and methods for securing universal plug and play connections
CN106790142A (zh) * 2016-12-28 2017-05-31 北京安天网络安全技术有限公司 一种发现IoT设备遭受入侵的方法及系统
CN106790149A (zh) * 2016-12-28 2017-05-31 北京安天网络安全技术有限公司 一种防御IoT设备遭受入侵的方法及系统
CN108537040B (zh) * 2018-04-12 2023-03-14 腾讯科技（深圳）有限公司 电信诈骗木马程序拦截方法、装置、终端及存储介质
CN110381009A (zh) * 2018-04-16 2019-10-25 北京升鑫网络科技有限公司 一种基于行为检测的反弹shell的检测方法
CN109711166B (zh) * 2018-12-17 2020-12-11 北京知道创宇信息技术股份有限公司 漏洞检测方法及装置
CN109933465B (zh) * 2019-03-12 2021-12-10 北京同城必应科技有限公司 异常处理方法、装置、服务器和存储介质
CN111083159A (zh) * 2019-12-27 2020-04-28 北京安天网络安全技术有限公司 一种入侵检测的方法、装置、电子设备及存储介质
CN111651754B (zh) * 2020-04-13 2024-06-14 北京奇艺世纪科技有限公司 入侵的检测方法和装置、存储介质、电子装置
CN114465752B (zh) * 2021-12-10 2024-06-28 奇安信科技集团股份有限公司 一种远程调用检测方法、装置、电子设备及存储介质
CN114338135A (zh) * 2021-12-27 2022-04-12 奇安信科技集团股份有限公司 一种远程登录行为处理方法、装置、计算设备和存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101408917A (zh) * 2008-10-22 2009-04-15 厦门市美亚柏科资讯科技有限公司 应用程序行为合法性检测方法及系统
US20110131617A1 (en) * 2009-11-30 2011-06-02 At&T Intellectual Property I, L.P. Noise Reduction Apparatus with Isolation Transformers in an Internet Protocol Television System
CN101176331B (zh) * 2005-06-06 2011-12-21 国际商业机器公司 计算机网络入侵检测系统和方法
CN101587521B (zh) * 2009-06-17 2011-12-28 北京东方微点信息技术有限责任公司 获取远程计算机信息的方法及装置
CN102663274A (zh) * 2012-02-07 2012-09-12 奇智软件（北京）有限公司 一种检测远程入侵计算机行为的方法及系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4918653A (en) * 1988-01-28 1990-04-17 International Business Machines Corporation Trusted path mechanism for an operating system
US5032979A (en) * 1990-06-22 1991-07-16 International Business Machines Corporation Distributed security auditing subsystem for an operating system
US20040143749A1 (en) * 2003-01-16 2004-07-22 Platformlogic, Inc. Behavior-based host-based intrusion prevention system
US7328217B2 (en) * 2003-11-26 2008-02-05 Symantec Operating Corporation System and method for detecting and storing file identity change information within a file system
JP2011053893A (ja) * 2009-09-01 2011-03-17 Hitachi Ltd 不正プロセス検知方法および不正プロセス検知システム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101176331B (zh) * 2005-06-06 2011-12-21 国际商业机器公司 计算机网络入侵检测系统和方法
CN101408917A (zh) * 2008-10-22 2009-04-15 厦门市美亚柏科资讯科技有限公司 应用程序行为合法性检测方法及系统
CN101587521B (zh) * 2009-06-17 2011-12-28 北京东方微点信息技术有限责任公司 获取远程计算机信息的方法及装置
US20110131617A1 (en) * 2009-11-30 2011-06-02 At&T Intellectual Property I, L.P. Noise Reduction Apparatus with Isolation Transformers in an Internet Protocol Television System
CN102663274A (zh) * 2012-02-07 2012-09-12 奇智软件（北京）有限公司 一种检测远程入侵计算机行为的方法及系统

Also Published As

Publication number Publication date
US20150207810A1 (en) 2015-07-23
CN102663274B (zh) 2015-12-02
US9444834B2 (en) 2016-09-13
CN102663274A (zh) 2012-09-12

Similar Documents

Publication Publication Date Title
WO2013117148A1 (zh) 检测远程入侵计算机行为的方法及系统
US11936666B1 (en) Risk analyzer for ascertaining a risk of harm to a network and generating alerts regarding the ascertained risk
US11240262B1 (en) Malware detection verification and enhancement by coordinating endpoint and malware detection systems
JP6758581B2 (ja) 悪意のあるコードの検出のためのシステムおよび方法
US10587647B1 (en) Technique for malware detection capability comparison of network security devices
US11562068B2 (en) Performing threat detection by synergistically combining results of static file analysis and behavior analysis
Wang et al. Intrusion prevention system design
EP1654608B1 (en) Method and system for detecting unauthorised use of a communication network
US11258812B2 (en) Automatic characterization of malicious data flows
TWI616771B (zh) 殭屍網路偵測系統及其方法
JP2017502442A (ja) 疑わしいオブジェクトにおけるエクスプロイトを自動的に実証し、当該実証済みエクスプロイトに関連付けられた表示情報を強調するシステム、装置、および方法
JP2006119754A (ja) ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム
CN113364750B (zh) 一种基于Snort和OpenFlow启发式诱导APT攻击引入蜜罐的方法
CN111935061A (zh) 一种工控主机的网络安全防护实现方法及工控主机
US11588839B2 (en) Leveraging user-behavior analytics for improved security event classification
US20210200859A1 (en) Malware detection by a sandbox service by utilizing contextual information
CN112532631A (zh) 一种设备安全风险评估方法、装置、设备及介质
EP3353983B1 (en) Method and system with a passive web application firewall
US10721148B2 (en) System and method for botnet identification
TWI817062B (zh) 使用進程資訊來檢測網頁後門的方法及系統
WO2016095671A1 (zh) 一种应用程序的消息处理方法和装置
TWI711939B (zh) 用於惡意程式碼檢測之系統及方法
EP3819799B1 (en) Method of threat detection
CN107342967B (zh) 僵尸网络检测系统及其方法
TWI764618B (zh) 網路資安威脅防護系統及相關的前攝性可疑網域示警系統

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13746392

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14377004

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13746392

Country of ref document: EP

Kind code of ref document: A1