WO2014094441A1 - 病毒检测方法及设备 - Google Patents

病毒检测方法及设备 Download PDF

Info

Publication number
WO2014094441A1
WO2014094441A1 PCT/CN2013/080979 CN2013080979W WO2014094441A1 WO 2014094441 A1 WO2014094441 A1 WO 2014094441A1 CN 2013080979 W CN2013080979 W CN 2013080979W WO 2014094441 A1 WO2014094441 A1 WO 2014094441A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
identification information
data
archive
virus
Prior art date
Application number
PCT/CN2013/080979
Other languages
English (en)
French (fr)
Inventor
刘振华
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP13864087.5A priority Critical patent/EP2924943B1/en
Publication of WO2014094441A1 publication Critical patent/WO2014094441A1/zh
Priority to US14/743,082 priority patent/US9723021B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/564—Static detection by virus signature recognition
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/567—Computer malware detection or handling, e.g. anti-virus arrangements using dedicated hardware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/128—Anti-malware arrangements, e.g. protection against SMS fraud or mobile malware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Definitions

  • the present invention claims the priority of the Chinese Patent Application filed on Dec. 21, 2012, the Chinese Patent Application No. 201210560398.5, entitled “Virus Detection Method and Apparatus", the entire contents of which are incorporated by reference. In this application.
  • the present invention relates to the field of communications, and in particular, to a virus detecting method and a virus detecting device.
  • PE Portable Execute
  • BACKGROUND When performing flow-based virus detection on a Portable Execute (PE) file, only a few data packets carrying a PE file header need to be reorganized, and according to characteristics and viruses extracted from the PE file header.
  • the characteristics of known viruses pre-stored in the library are matched without reorganizing the entire file, and the performance of the detection is higher than that of the feature-based virus detection method for the complete file.
  • the structure information in the PE file header describes in detail the various attribute information of the PE file, such as the number of blocks of the file, the data length of each block, the program start instruction address, and the platform required for the program to run.
  • the virus detecting method for detecting the PE file specifically extracts the identification information in the structural information in the header of the PE file, wherein the identification information may be formed by combining a plurality of information selected from the foregoing various attribute information, and the identification information is Compare with pre-stored virus signatures to detect whether the PE file carries a virus. Since the PE file virus accounts for more than 95% of all viruses, if the PE file virus can be effectively controlled to spread on the network, the security of the network can be greatly improved.
  • the installation package and self-extracting package file belong to the PE file with additional data, also known as the Archive file.
  • This file consists of two parts, the first part is the complete PE file, and the second part is the data part.
  • a large number of Archive files differ only in the data part, and the PE file parts are identical. If the identification information is extracted from the structure information of the PE file header according to the existing method, as the basis for detecting the virus file, all the files of the Archive type corresponding to the virus file are misdetected as viruses.
  • the current practice of solving the above problem is to abandon the virus detection of the Archive file. But the virus The file can be easily processed into an Archive file. If the virus spreader uses this feature to make a file containing the virus into an Archive file, the existing stream-based virus detection method for the PE file cannot determine whether the Archive file is carried. Virus virus file.
  • the present invention provides a detection method and related device capable of effectively detecting whether a PE file of an Archive type is a virus file.
  • the virus detection method and device for solving the above problems of the present invention include:
  • a virus detection method including:
  • An Archive file wherein the file type includes an Archive file and a PE virus file;
  • the PE file is an Archive file, obtaining a data packet that carries the data portion of the Archive file from the network data stream, and calculating second identification information according to the data packet that carries the data portion of the Archive file;
  • the PE file is determined to be a PE virus file.
  • the Archive file format corresponding to the first identification information is queried, wherein the Archive file format includes an Archive file in which the data portion includes the data structure information and an Archive file in the data portion that does not include the data structure information;
  • the Archive file format corresponding to the first identification information and the data of the Archive file are carried Part of the data packet calculates the second identification information, including:
  • the Archive file corresponding to the first identification information is an Archive file whose data portion does not include data structure information, reassembling the data portion of the Archive file according to the data packet carrying the data portion of the Archive file, and utilizing a hash algorithm calculates a hash value of the data portion of the Archive file as the second identification information;
  • the Archive file corresponding to the first identification information is an Archive file in which the data portion includes data structure information
  • the Archive file data portion is recombined according to the data packet carrying the Archive file data portion.
  • the data structure information is calculated by using a hash algorithm to calculate a hash value of the data structure information obtained by the reassembly as the second identification information.
  • the structural information calculation of the first identification information specifically includes:
  • a hash value of the data block is calculated by using a hash algorithm as the first identification information.
  • a virus detection device including:
  • An information obtaining module configured to receive a network data stream carrying a portable executable PE file, and reassemble a file header of the PE file according to the data packet in the network data stream, where the file header includes the Structure information of the PE file;
  • a first calculating module configured to calculate first identification information according to the structural information of the PE file acquired by the information acquiring module
  • a first determining module configured to calculate the first identification information that is calculated by the first calculating module Corresponding to the virus identification information pre-stored in the virus database, if the matching hits, determining whether the PE file is an Archive file according to the correspondence between the virus identification information and the file type pre-stored in the virus database, wherein The file type includes an Archive file and a PE virus file.
  • the second calculation module is configured to: when the first determining module determines that the PE file is an Archive file, obtain the data of the Archive file from the network data stream. Part of the data packet, and calculating second identification information according to the data packet carrying the data portion of the Archive file;
  • a second determining module configured to match the second identification information calculated by the second calculating module with the virus identification information pre-stored in the virus database, and if the matching hits, determine that the Archive file is Archive virus file.
  • the first determining module is further configured to: if the PE file is a non-Archive file, determine that the PE file is a PE virus file.
  • the second calculating module includes:
  • a file form judging unit configured to query an Archive file format corresponding to the first identification information, where the file format includes data, from a correspondence between the virus identification information and the Archive file form pre-stored in the virus database Part of the Archive file containing the data structure information and the Archive file containing the data structure information in the data part;
  • a data packet obtaining unit configured to obtain, from the network data stream, a data packet that carries a data portion of the Archive file
  • a calculation unit configured to calculate, according to the Archive file format corresponding to the first identification information that is determined by the file format determining unit, and the data packet that is obtained by the data packet acquiring unit and that carries the Archive file data portion Second identification information.
  • the calculating unit is specifically configured to:
  • the Archive file corresponding to the first identification information is an Archive file in which the data portion does not include the data structure information
  • the data portion of the Archive file is reorganized according to the data packet carrying the data portion of the Archive file, and the data portion is used.
  • the hash algorithm calculates a hash value of the data portion of the Archive file as the second identification information
  • the Archive file corresponding to the first identification information is an Archive file in which the data portion includes data structure information
  • the group obtains the data structure information included in the data portion of the Archive file, and uses a hash algorithm to calculate a hash value of the data structure information obtained by the reorganization as the second identification information.
  • the first computing module includes :
  • connection unit is configured to select at least two attribute information from the structure information of the PE file acquired by the information acquiring module, and connect the at least two attribute information into one data block;
  • a calculating unit configured to calculate, by using a hash algorithm, a hash value of the data block into which the connection unit is connected, as the first identification information.
  • a virus detecting apparatus including a receiver, a memory, and a processor, wherein:
  • the receiver is configured to receive a network data stream carrying a portable executable PE file, where the memory is used to store a code;
  • the processor is configured to read the code stored in the memory, and execute:
  • the PE file is an Archive file
  • the second identification information is matched with the virus identification information pre-stored in the virus database, and when the matching hits, the Archive file is determined to be an Archive virus file.
  • the processor is configured to obtain, from the network data stream, a data packet that carries a data portion of the Archive file, and according to the data portion that carries the Archive file
  • the specific way for the data packet to calculate the second identification information is:
  • the Archive file format corresponding to the first identification information is queried, wherein the Archive file format includes an Archive file in which the data portion includes the data structure information and an Archive file in the data portion that does not include the data structure information;
  • the processor performs the Archive file format and the bearer corresponding to the first identification information
  • the specific manner of calculating the second identification information by the data packet of the data part of the Archive file is:
  • the Archive file corresponding to the first identification information is an Archive file whose data portion does not include data structure information, reassembling the data portion of the Archive file according to the data packet carrying the data portion of the Archive file, and utilizing a hash algorithm calculates a hash value of the data portion of the Archive file as the second identification information;
  • the Archive file corresponding to the first identification information is an Archive file in which the data portion includes data structure information
  • the Archive file data portion is recombined according to the data packet carrying the Archive file data portion.
  • the data structure information is calculated by using a hash algorithm to calculate a hash value of the data structure information obtained by the reassembly as the second identification information.
  • the first possible implementation manner of the third aspect, or the second possible implementation manner of the third aspect, in a third possible implementation manner of the third aspect is:
  • a hash value of the data block is calculated by using a hash algorithm as the first identification information.
  • the embodiment of the present invention extracts the identification information for identifying the virus feature from the PE file header packet when determining whether it is a virus file, and extracts the identification information from the data portion of the Archive file, and according to the two.
  • the identification information is used to determine whether the Archive file is a virus file, thereby overcoming the problem that the prior art cannot determine whether the Archive file is a virus file carrying a virus, and can effectively detect whether the PE file of the Archive type is a virus file.
  • FIG. 1 is a flowchart of a virus detection method according to an embodiment of the present invention.
  • FIG. 2 is a schematic diagram of a data block in the embodiment of FIG. 1;
  • FIG. 3 is a flowchart of another virus detection method according to an embodiment of the present invention.
  • FIG. 4 is a structural diagram of a virus detecting apparatus according to an embodiment of the present invention.
  • FIG. 5 is a structural diagram of another virus detecting apparatus according to an embodiment of the present invention.
  • FIG. 6 is a structural diagram of still another virus detecting apparatus according to an embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of another virus detecting apparatus according to an embodiment of the present invention.
  • the technical solutions in the embodiments of the present invention are clearly and completely described in the following with reference to the accompanying drawings in the embodiments of the present invention. It is obvious that the described embodiments are only a part of the embodiments of the present invention, and not all of the embodiments. example. All other embodiments obtained by those skilled in the art based on the embodiments of the present invention without creative efforts are within the scope of the present invention.
  • FIG. 1 is a flowchart of a virus detection method according to an embodiment of the present invention.
  • the execution body of the process may be a gateway device, or may be a firewall device, a router device, or the like, and may obtain data from a network switching node.
  • the flow device is not limited here.
  • the method includes:
  • the execution entity may reassemble the file header of the PE file from the data packet containing the PE file header in the network data stream.
  • the implementation manner of calculating the first identification information according to the structural information of the PE file may be: selecting at least two attribute information from the various attribute information described by the structural information of the PE file, and connecting the at least two attribute information Into a block of data; The hash value of the above data block is calculated by using a hash algorithm as the first identification information.
  • the hash algorithm (also referred to as the digest algorithm and the hash algorithm) is used to calculate the data into another fixed length value for ensuring the consistency and integrity of the information transmission.
  • the hash algorithm can be used to identify the virus.
  • the message digest 5 (MD5) algorithm is one of the widely used hash algorithms. The probability that the MD5 values calculated by different data are the same is very low, and is infinitely close to zero.
  • the MD5 algorithm is preferably used to calculate the first.
  • the following attribute information in the structure information of the PE file is selected:
  • PE file code segment size Size Of Code
  • the above structure information is concatenated into the data block as shown in Fig. 2 in the above order, and the MD5 value of the data block is calculated.
  • the virus database is a data file.
  • the virus database stores the characteristics of the currently known virus and the characteristics of the Archive file, which are collectively referred to as virus identification information.
  • the known virus is characterized in that part of the information is extracted and calculated in the virus file, and the calculation method is the same as step 102.
  • the archive files of the same class have the same characteristics in the header. Each header feature corresponds to whether it is an archive file or an archive file. This information is also stored in the virus database.
  • the PE file corresponding to the matched MD5 value may be determined to be a virus file, an archive file, or a non-virus file according to the matching result.
  • PE file is an Archive file
  • the data packet of the data portion, and the second identification information is calculated according to the data packet carrying the data portion of the Archive file.
  • the foregoing implementation manner of calculating the second identification information according to the data packet carrying the data part of the Archive file may be:
  • the Archive file form corresponding to the first identification information is queried, wherein the Archive file format includes an Archive file and a data portion in which the data portion includes the data structure information.
  • the data structure information in the Archive file containing the data structure information includes the Cyclic Redundancy Check (CRC) of the data part and the size of the data part.
  • CRC check value is an algorithm that calculates a piece of data into a value. For an Archive file, it is a value calculated from the data in the data part.
  • the implementation manner of calculating the second identification information according to the Archive file format corresponding to the first identification information and the data packet carrying the Archive file and the data part may be:
  • the Archive file corresponding to the first identification information is an Archive file whose data part does not contain data structure information
  • the data part of the Archive file is reorganized according to the data packet of the data part of the Archive file, and the Archive file is calculated by using a hash algorithm. a hash value of the data portion as the second identification information;
  • the Archive file corresponding to the first identification information is an Archive file in which the data portion includes the data structure information
  • the data structure information included in the data portion of the Archive file is reorganized according to the data packet carrying the data portion of the Archive file, and the hash is used.
  • the algorithm calculates a hash value of the restructured data structure information as the second identification information.
  • This embodiment preferentially calculates the second identification information by using the MD5 algorithm.
  • the implementation extracts the identification information for identifying the virus feature from the PE file header packet, and extracts the identification information from the data portion of the Archive file, and according to the two
  • the identification information is used to determine whether the Archive file is a virus file, thereby overcoming the problem that the prior art cannot determine whether the Archive file is a virus file carrying a virus.
  • the invention can effectively detect whether the Archive type PE file is a virus file, improve the reliability of the stream-based virus detection method, and further improve the network security status.
  • FIG. 3 is a flowchart of a virus detection method according to an embodiment of the present invention, which includes:
  • step 207 If the first identification information matches the virus identification information, the process goes to step 207, otherwise the process proceeds to step 206.
  • the PE file is a non-virus file. If the first identification information does not match any of the virus identification information in the virus database, the PE file is not a known virus, and the PE file is determined to be a non-virus file.
  • the PE file is a virus file or an Archive file, and the PE file can be further determined according to the correspondence between the virus identification information pre-stored in the virus database and the file type. Is a virus file or an Archive file. If the PE file is an Archive file, go to step 209, otherwise go to step 208.
  • the PE file is a PE virus file. If the first identification information matches a certain virus identification information in the virus database and the PE file is not an Archive file, it is determined that the PE file is a virus file.
  • step 210 Match the second identification information with the virus identification information pre-stored in the virus database. 211. Determine whether the second identification information and the virus identification information match the hit. If it hits, go to step 213; if there is no hit, go to step 212.
  • the Archive file is a non-virus file. If the second identification information does not match any of the virus identification information in the virus inventory, the Archive file is not a known virus, and the Archive file is determined to be a non-virus file.
  • the Archive file is an Archive virus file. If the second identification information matches a certain virus identification information, the Archive file is one of the known viruses, and the Archive file is determined to be an Archive virus file.
  • the present embodiment in addition to extracting the identification information for identifying the virus feature from the PE file header packet, extracts the identification information from the data portion of the Archive file, and determines whether the Archive file is based on the two identification information.
  • Virus file The invention can effectively detect whether the Archive type PE file is a virus file, improve the reliability of the stream-based virus detection method, and further improve the network security status.
  • FIG. 4 is a structural diagram of a virus detecting apparatus according to an embodiment of the present invention, which includes:
  • the information obtaining module 301 is configured to receive a network data stream that carries the portable PE file, and reassemble the file header of the PE file according to the data packet in the network data stream, where the file header includes the structure information of the PE file.
  • the first calculating module 302 is configured to calculate first identification information according to the structural information of the PE file acquired by the information acquiring module 301.
  • the first determining module 303 is configured to match the first identification information calculated by the first calculating module 302 with the virus identification information pre-stored in the virus database, and if the matching hits, according to the virus identification information pre-stored in the virus database
  • the correspondence of file types determines whether the PE file is an Archive file, and the file types include an Archive file and a PE virus file.
  • the first determining module 303 is further configured to: when the PE file is determined to be a non-Archive file, determine that the PE file is a PE virus file.
  • the second calculating module 304 is configured to: when the first determining module 303 determines that the PE file is an Archive file, obtain a data packet carrying the data part of the Archive file from the network data stream, and calculate the data packet according to the data part of the Archive file. Second, identify the information.
  • the second determining module 305 is configured to use the second identification information calculated by the second calculating module 304
  • the virus identification information pre-stored in the virus database is matched. If a match hits, the Archive file is determined to be an Archive virus file.
  • the second calculating module 304 further includes a file form determining unit 3041, a data packet obtaining unit 3042, and a calculating unit 3043, as shown in FIG. 5, where:
  • the file form determining unit 3041 is configured to query, according to the correspondence between the virus identification information pre-stored in the virus database and the Archive file form, the Archive file format corresponding to the first identification information, where the file form includes the data part including the data structure information.
  • the Archive file and data section do not contain Archive files for data structure information.
  • the packet obtaining unit 3042 is configured to obtain, from the network data stream, a data packet carrying the data portion of the Archive file.
  • the calculating unit 3043 is configured to calculate the second identification information according to the Archive file format corresponding to the first identification information determined by the file form determining unit 3041 and the data packet of the Archive file data portion acquired by the data packet acquiring unit 3042.
  • the calculating unit 3043 is specifically configured to:
  • the Archive file corresponding to the first identification information is an Archive file whose data part does not contain data structure information
  • the data part of the Archive file is reorganized according to the data packet carrying the data part of the Archive file, and the Archive file is calculated by using a hash algorithm.
  • the Archive file corresponding to the first identification information is an Archive file containing data structure information in the data portion
  • the data structure information included in the data portion of the Archive file is reorganized according to the data packet carrying the Archive file portion, and the hash is used.
  • the algorithm calculates a hash value of the restructured data structure information as the second identification information.
  • the hash algorithm is preferably an MD5 algorithm.
  • the first calculating module 302 may further include an engaging unit 3021 and a calculating unit 3022, as shown in FIG. 6, wherein:
  • the connection unit 3021 is configured to select at least two attribute information for the structure information of the PE file acquired from the information obtaining module 301, and connect the attribute information into one data block.
  • the calculating unit 3022 is configured to calculate, by using a hash algorithm, a hash value of the data block that the connection unit 3021 is connected to as the first identification information.
  • the virus file in addition to extracting from the PE file header packet, the virus file is used to identify the disease.
  • the identification information is also extracted from the data portion of the Archive file, and the Archive file is determined to be a virus file based on the two identification information.
  • FIG. 7 is a structural diagram of a virus detecting apparatus according to an embodiment of the present invention, which includes a receiver 401, a memory 402, and a processor 403, where:
  • the receiver 401 is configured to receive a network data stream that carries the PE file.
  • the memory 402 is configured to store code.
  • the processor 403 is configured to read the stored code from the memory 402, and execute:
  • the first identification information is matched with the virus identification information pre-stored in the virus database.
  • the PE file is determined to be an Archive file according to the correspondence between the virus identification information and the file type pre-stored in the virus database.
  • File types include Archive files and PE virus files;
  • the data packet carrying the data portion of the Archive file is obtained from the network data stream, and the second identification information is calculated according to the data packet carrying the data portion of the Archive file;
  • the second identification information is matched with the virus identification information pre-stored in the virus database, and when the matching hits, the Archive file is determined to be an Archive virus file.
  • the processor 403 performs the process of acquiring the data packet carrying the Archive file data part from the network data stream, and calculating the second identification information according to the data packet carrying the data part of the Archive file.
  • the specific manner may be:
  • the Archive file form corresponding to the first identification information is queried, wherein the Archive file format includes an Archive file containing data structure information and a data portion not included in the data portion.
  • Archive file of data structure information Obtaining a data packet carrying the data portion of the Archive file from the network data stream;
  • the second identification information is calculated according to the Archive file form corresponding to the first identification information and the data packet carrying the data portion of the Archive file.
  • the specific manner in which the processor 403 performs the calculation of the second identification information according to the Archive file format corresponding to the first identification information and the data packet carrying the Archive file data portion may be:
  • the Archive file corresponding to the first identification information is an Archive file in which the data portion does not contain the data structure information
  • the data portion of the Archive file is reorganized according to the data packet of the data portion of the Archive file, and is calculated by using a hash algorithm. a hash value of the data portion of the Archive file as the second identification information;
  • the Archive file corresponding to the first identification information is an Archive file in which the data portion includes the data structure information
  • the data structure information included in the data portion of the Archive file is reorganized according to the data packet carrying the data portion of the Archive file, and the hash is used.
  • the algorithm calculates a hash value of the restructured data structure information as the second identification information.
  • the hash algorithm in this embodiment is preferably an MD5 algorithm.
  • a hash value of the data block is calculated by using a hash algorithm as the first identification information.
  • a hash algorithm as the first identification information.
  • the virus detecting device in the embodiment determines the virus file, in addition to extracting the identification information for identifying the virus feature from the PE file header packet, the identification information is extracted from the data portion of the Archive file, and the identification information is extracted according to the two identification information.
  • This embodiment can effectively detect whether the PE file of the Archive type is a virus file, improve the reliability of the flow-based virus detection method, and further improve the security status of the network.
  • the storage medium may be a magnetic disk, an optical disk, or a read-only storage memory (Read-Only) Memory, ROM) or Random Access Memory (RAM).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)

Abstract

一种病毒检测方法及设备，所述方法包括：接收承载有PE文件的网络数据流；根据PE文件的结构信息计算第一识别信息；将所述第一识别信息与病毒库中预先存储的病毒识别信息进行匹配，确定所述PE文件是否为Archive文件；若所述PE文件为Archive文件，则根据所述承载Archive文件数据部分的数据包计算第二识别信息；将所述第二识别信息与所述病毒库中预先存储的所述病毒识别信息进行匹配，若匹配命中，则确定所述Archive文件为Archive病毒文件。本发明能够有效检测Archive类型的PE文件是否为病毒文件。

Description

病毒检测方法及设备 本申请要求于 2012 年 12 月 21 日提交中国专利局、 申请号为 201210560398.5、 发明名称为 "病毒检测方法及设备" 的中国专利申请的优先 权， 其全部内容通过引用结合在本申请中。 技术领域 本发明涉及通讯领域， 尤其涉及一种病毒检测方法及一种病毒检测设备。
背景技术 对可移植执行 ( Portable Execute, PE )文件进行基于流的病毒检测时， 由于只需要对承载有 PE文件头的几个数据包进行重组， 并根据从 PE文件头 中提取的特征与病毒库中预先存储的已知病毒的特征进行匹配， 而无需重组 出整个文件， 与针对完整文件进行的基于特征的病毒检测方式来比， 检测的 性能较高。
PE文件头中的结构信息详细描述了 PE文件的各种属性信息， 如文件的 分块数量、 每块的数据长度、 程序起始指令地址和程序运行所需平台等信息。 对 PE文件进行检测的病毒检测方法具体为在 PE文件头中的结构信息中提取 识别信息， 其中， 识别信息可以由从上述各种属性信息中选取的若干信息组 合而成， 并将该识别信息与预先存储的病毒特征进行比较， 以检测该 PE文件 是否携带病毒。 由于 PE文件病毒占全部病毒的 95%以上， 如果能够有效控制 PE文件病毒在网络上蔓延就能极大的改善网络的安全状况。
安装包、 自解压包文件属于含有附加数据的 PE文件， 也被称为 Archive 文件， 这种文件由两部分构成， 第一部分为完整的 PE文件， 第二部分为数据 部分。 大量 Archive文件仅在数据部分不同， PE文件部分完全相同。 如果按 照现有方法在 PE文件头部的结构信息中提取识别信息，作为检测病毒文件的 依据，则会导致此病毒文件所对应的 Archive类型的文件全部都被误检测为病 毒。
目前解决上述问题的通常做法为放弃对 Archive文件的病毒检测。但病毒 文件很容易被加工成 Archive文件，如果病毒传播者利用这一特点将含有病毒 的文件制作成 Archive文件， 则现有的对 PE文件进行的基于流的病毒检测方 法将无法确定 Archive文件是否是携带病毒的病毒文件。
发明内容 本发明提供一种能够有效检测 Archive类型的 PE文件是否为病毒文件的 检测方法及相关设备。
本发明解决上述问题的病毒检测方法及设备包括：
第一方面， 提供一种病毒检测方法， 包括：
接收承载有可移植执行 PE文件的网络数据流，并根据所述网络数据流中 的数据包重组出所述 PE文件的文件头， 其中， 所述文件头中包含所述 PE文 件的结构信息；
根据所述 PE文件的结构信息计算第一识别信息；
将所述第一识别信息与病毒库中预先存储的病毒识别信息进行匹配， 若 匹配命中， 则根据所述病毒库中预先存储的病毒识别信息与文件类型的对应 关系，确定所述 PE文件是否为 Archive文件，其中，所述文件类型包括 Archive 文件和 PE病毒文件；
若所述 PE文件为 Archive 文件， 则从所述网络数据流中获取承载所述 Archive文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分 的数据包计算第二识别信息；
将所述第二识别信息与所述病毒库中预先存储的所述病毒识别信息进行 匹配， 若匹配命中， 则确定所述 Archive文件为 Archive病毒文件。
在第一方面的第一种可能的实现方式中， 若所述 PE文件为非 Archive文 件则确定所述 PE文件为 PE病毒文件。
结合第一方面或者第一方面的第一种可能的实现方式， 在第一方面的第 二种可能的实现方式中，所述从所述网络数据流中获取承载所述 Archive文件 数据部分的数据包，并根据所述承载所述 Archive文件数据部分的数据包计算 第二识别信息， 具体包括：
从所述病毒库中预先存储的病毒识别信息与 Archive 文件形式的对应关 系中， 查询所述第一识别信息对应的 Archive文件形式， 其中， 所述 Archive 文件形式包括数据部分包含数据结构信息的 Archive 文件和数据部分不包含 数据结构信息的 Archive文件；
从所述网络数据流中获取承载所述 Archive文件数据部分的数据包； 根据所述第一识别信息对应的 Archive文件形式和所述承载所述 Archive 文件数据部分的数据包计算第二识别信息。。
结合第一方面的第二种可能的实现方式， 在第一方面的第三种可能的实 现方式中，所述根据所述第一识别信息对应的 Archive文件形式和所述承载所 述 Archive文件数据部分的数据包计算第二识别信息， 包括：
若所述第一识别信息对应的 Archive 文件形式为数据部分不包含数据结 构信息的 Archive文件，则根据所述承载所述 Archive文件数据部分的数据包， 重组出所述 Archive文件的数据部分， 利用哈希算法计算所述 Archive文件的 数据部分的哈希值， 作为所述第二识别信息；
或者，若所述第一识别信息对应的 Archive文件形式为数据部分包含数据 结构信息的 Archive文件， 则根据所述承载所述 Archive文件数据部分的数据 包， 重组得到所述 Archive文件数据部分中包含的数据结构信息， 利用哈希算 法计算重组得到的所述数据结构信息的哈希值， 作为所述第二识别信息。
结合第一方面、 第一方面的第一种可能的实现方式或者第一方面的第三 种可能的实现方式， 在第一方面的第四种可能的实现方式中， 所述根据所述 PE文件的结构信息计算第一识别信息具体包括：
从所述 PE文件的结构信息中选取至少二个属性信息，并将所述至少二个 属性信息衔接成一个数据块；
利用哈希算法计算出所述数据块的哈希值， 作为所述第一识别信息。 第二方面， 提供一种病毒检测设备， 包括：
信息获取模块， 用于接收承载有可移植执行 PE文件的网络数据流， 并根 据所述网络数据流中的数据包重组出所述 PE文件的文件头， 其中， 所述文件 头中包含所述 PE文件的结构信息；
第一计算模块，用于根据所述信息获取模块获取的所述 PE文件的结构信 息计算第一识别信息；
第一判断模块， 用于将所述第一计算模块计算得到的所述第一识别信息 与病毒库中预先存储的病毒识别信息进行匹配， 若匹配命中， 则根据所述病 毒库中预先存储的病毒识别信息与文件类型的对应关系，确定所述 PE文件是 否为 Archive文件 , 其中， 所述文件类型包括 Archive文件和 PE病毒文件； 第二计算模块， 用于在所述第一判断模块确定出所述 PE文件为 Archive 文件时， 从所述网络数据流中获取承载所述 Archive文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分的数据包计算第二识别信息；
第二判断模块， 用于将所述第二计算模块计算得出的所述第二识别信息 与所述病毒库中预先存储的病毒识别信息进行匹配， 若匹配命中， 则确定所 述 Archive文件为 Archive病毒文件。
在第二方面的第一种可能的实现方式中， 所述第一判断模块还用于， 若 所述 PE文件为非 Archive文件时 , 确定所述 PE文件为 PE病毒文件。
结合第二方面或者第二方面的第一种可能的实现方式， 在第二方面的第 二种可能的实现方式中， 所述第二计算模块包括：
文件形式判断单元， 用于从所述病毒库中预先存储的病毒识别信息与 Archive文件形式的对应关系中， 查询所述第一识别信息所对应的 Archive文 件形式， 其中， 所述文件形式包括数据部分包含数据结构信息的 Archive文件 和数据部分不包含数据结构信息的 Archive文件；
数据包获取单元，用于从所述网络数据流中获取承载所述 Archive文件数 据部分的数据包；
计算单元， 用于根据所述文件形式判断单元判断得出的所述第一识别信 息所对应的 Archive 文件形式和所述数据包获取单元获取的所述承载所述 Archive文件数据部分的数据包计算第二识别信息。
结合第二方面的第二种可能的实现方式， 在第二方面的第三种可能的实 现方式中， 所述计算单元具体用于：
在第一识别信息所对应的 Archive 文件形式为数据部分不包含数据结构 信息的 Archive文件时， 根据所述承载所述 Archive文件数据部分的数据包， 重组出所述 Archive文件的数据部分， 利用哈希算法计算所述 Archive文件的 数据部分的哈希值， 作为所述第二识别信息；
或者，在第一识别信息所对应的 Archive文件形式为数据部分包含数据结 构信息的 Archive文件时， 根据所述承载所述 Archive文件部分的数据包， 重 组得到所述 Archive文件数据部分中包含的数据结构信息，利用哈希算法计算 重组得到的所述数据结构信息的哈希值， 作为所述第二识别信息。
结合第二方面、 第二方面的第一种可能或者第二方面的第三种可能的实 现方式的实现方式， 在第二方面的第四种可能的实现方式中， 所述第一计算 模块包括：
衔接单元，用于从所述信息获取模块获取的所述 PE文件的结构信息中选 取至少二个属性信息， 并将所述至少二个属性信息衔接成一个数据块；
计算单元， 用于利用哈希算法计算所述衔接单元衔接成的所述数据块的 哈希值， 作为第一识别信息。
第三方面， 提供一种病毒检测设备， 包括接收器、 存储器和处理器， 其 中：
所述接收器， 用于接收承载有可移植执行 PE文件的网络数据流； 所述存储器， 用于存储代码；
所述处理器， 用于读取所述存储器中存储的代码， 执行：
根据所述接收器接收的所述网络数据流中的数据包重组出所述 PE 文件 的文件头， 其中， 所述文件头的数据包中包含所述 PE文件的结构信息；
根据所述 PE文件的结构信息计算第一识别信息；
将所述第一识别信息与病毒库中预先存储的病毒识别信息进行匹配， 在 匹配命中时， 根据所述病毒库中预先存储的病毒识别信息与文件类型的对应 关系，确定所述 PE文件是否为 Archive文件，其中，所述文件类型包括 Archive 文件和 PE病毒文件；
若所述 PE 文件为 Archive 文件， 从所述网络数据流中获取承载所述 Archive文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分 的数据包计算第二识别信息；
将所述第二识别信息与所述病毒库中预先存储的病毒识别信息进行匹 配， 在匹配命中时， 确定所述 Archive文件为 Archive病毒文件。
在第三方面的第一种可能的实现方式中， 所述处理器执行从所述网络数 据流中获取承载所述 Archive 文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分的数据包计算第二识别信息的具体方式为：
从所述病毒库中预先存储的病毒识别信息与 Archive 文件形式的对应关 系中， 查询所述第一识别信息对应的 Archive文件形式， 其中， 所述 Archive 文件形式包括数据部分包含数据结构信息的 Archive 文件和数据部分不包含 数据结构信息的 Archive文件；
从所述网络数据流中获取承载所述 Archive文件数据部分的数据包； 根据所述第一识别信息对应的 Archive文件形式和所述承载所述 Archive 文件数据部分的数据包计算第二识别信息。
结合第三方面的第一种可能的实现方式， 在第三方面的第二种可能的实 现方式中，所述处理器执行所述根据所述第一识别信息对应的 Archive文件形 式和所述承载所述 Archive 文件数据部分的数据包计算第二识别信息的具体 方式为：
若所述第一识别信息对应的 Archive 文件形式为数据部分不包含数据结 构信息的 Archive文件，则根据所述承载所述 Archive文件数据部分的数据包， 重组出所述 Archive文件的数据部分， 利用哈希算法计算所述 Archive文件的 数据部分的哈希值， 作为所述第二识别信息；
或者，若所述第一识别信息对应的 Archive文件形式为数据部分包含数据 结构信息的 Archive文件， 则根据所述承载所述 Archive文件数据部分的数据 包， 重组得到所述 Archive文件数据部分中包含的数据结构信息， 利用哈希算 法计算重组得到的所述数据结构信息的哈希值， 作为所述第二识别信息。
结合第三方面、 第三方面的第一种可能的实现方式或者第三方面的第二 种可能的实现方式， 在第三方面的第三种可能的实现方式中， 所述处理器执 行所述根据所述 PE文件的结构信息计算第一识别信息的具体方式为：
从所述 PE文件的结构信息中选取至少二个属性信息，并将所述至少二个 属性信息衔接成一个数据块；
利用哈希算法计算出所述数据块的哈希值， 作为所述第一识别信息。 对于 Archive文件， 本发明实施例在判断其是否为病毒文件时除了从 PE 文件头数据包中提取用于识别病毒特征的识别信息外，还从 Archive文件的数 据部分提取识别信息，并根据这两个识别信息来判断 Archive文件是否为病毒 文件，从而克服了现有技术无法确定 Archive文件是否是携带病毒的病毒文件 的问题， 能够有效检测 Archive类型的 PE文件是否为病毒文件。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面 描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例提供的一种病毒检测方法的流程图；
图 2是图 1实施例中数据块的示意图；
图 3是本发明实施例提供的另一种病毒检测方法的流程图；
图 4是本发明实施例提供的一种病毒检测设备的结构图；
图 5是本发明实施例提供的另一种病毒检测设备的结构图；
图 6是本发明实施例提供的又一种病毒检测设备的结构图；
图 7是本发明实施例提供的另一种病毒检测设备的结构示意图。 具体实施方式 下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而 不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作 出创造性劳动前提下所获得的所有其他实施例 , 都属于本发明保护的范围。
请参考图 1 , 图 1是本发明实施例提供的一种病毒检测方法的流程图， 该 流程的执行主体可以是网关设备， 也可以是防火墙设备、 路由器设备等可以 从网络交换节点处得到数据流的设备， 在这里不进行限定。 所述方法包括：
101、 接收承载有 PE文件的网络数据流， 并根据网络数据流中的数据包 重组出 PE文件的文件头， 其中， 文件头中包含 PE文件的结构信息。
其中，执行主体可以从网络数据流中的包含 PE文件头的数据包中重组出 PE文件的文件头。
102、 根据 PE文件的结构信息计算第一识别信息。
其中， 根据 PE文件的结构信息计算第一识别信息的实现方式可以为： 从 PE文件的结构信息所描述的各种属性信息中选取至少二个属性信息， 并将所述至少二个属性信息衔接成一个数据块； 利用哈希算法计算出上述数据块的哈希值， 作为第一识别信息。
其中， 哈希算法 （又被称为摘要算法、 杂凑算法）用于将数据运算为另 一固定长度值， 用于确保信息传输的一致和完整， 本实施例可以用哈希算法 来识别病毒。 消息摘要 5 ( Message Digest 5 , MD5 )算法是广泛使用的哈希 算法之一， 不同数据计算得出的 MD5值相同的概率非常低， 无限接近于零， 本实施例优选用 MD5算法来计算第一识别信息、第二识别信息和病毒库中已 知病毒的特征信息 （病毒识别信息）。
可选地， 本实施例选取 PE文件的结构信息中的以下属性信息：
1、 PE文件中的块数（ Number Of Section )
2、 PE文件的生成时间 （ Time Date Stamp )
3、 PE文件的程序入口点地址 (Address Of Entry Point)
4、 PE文件的数据校验值（Check sum )
5、 PE文件代码段大小 （Size Of Code )
6、 PE文件的内存映射大小 （ Size Of Image )
7、 PE文件中的已初始化数据大小 （ Size Of Initialized Data )
8、 PE文件每个块的块属性（Characteristics )
按上述顺序将上述结构信息衔接成为如图 2 所示的数据块， 并计算该数 据块的 MD5值。
103、 将第一识别信息与病毒库中预先存储的病毒识别信息进行匹配， 若 匹配命中， 则根据病毒库中预先存储的病毒识别信息与文件类型的对应关系， 确定所述 PE文件是否为 Archive文件 , 其中， 文件类型包括 Archive文件和 PE病毒文件。
病毒库是一个数据文件， 病毒库中存储了目前已知病毒的特征和 Archive 文件特征， 这里统称为病毒识别信息。 这里， 已知病毒的特征是在病毒文件 中提取部分信息并计算得出的，其计算方法与步骤 102相同。同一类的 archive 文件其头部的特征是相同的，每一头部特征对应是否是 archive 文件以及是那 种 archive 文件， 这些信息也都保存在了病毒库中。 当作为第一识别信息的 MD5值与病毒库进行匹配时， 根据匹配结果可以判断进行匹配的 MD5值所 对应的 PE文件为病毒文件、 archive文件或者非病毒文件。
104、 若 PE文件为 Archive文件， 则从网络数据流中获取承载 Archive文 件数据部分的数据包，并根据承载所述 Archive文件数据部分的数据包计算第 二识别信息。
可选地，上述根据承载 Archive文件数据部分的数据包计算第二识别信息 的实现方式可以为：
从病毒库中预先存储的病毒识别信息与 Archive文件形式的对应关系中， 查询第一识别信息对应的 Archive文件形式， 其中， 所述 Archive文件形式包 括数据部分包含数据结构信息的 Archive 文件和数据部分不包含数据结构信 息的 Archive文件；
从所述网络数据流中获取承载所述 Archive文件数据部分的数据包； 根据所述第一识别信息对应的 Archive文件形式和承载所述 Archive文件 数据部分的数据包计算第二识别信息。
其中，数据部分包含数据结构信息的 Archive文件中的数据结构信息包括 数据部分的循环冗余码校验值 ( Cyclic Redundancy Check, CRC ) 以及数据部 分的大小等信息。 CRC 校验值是利用一个算法将一段数据计算得出一个数 值， 对于 Archive 文件来说就是由数据部分的数据计算得出的数值。
可选地，上述根据所述第一识别信息对应的 Archive文件形式和承载所述 Archive文件和数据部分的数据包计算第二识别信息的实现方式可以为：
若第一识别信息对应的 Archive 文件形式为数据部分不包含数据结构信 息的 Archive文件，则才艮据 载 Archive文件数据部分的数据包重组出 Archive 文件的数据部分， 利用哈希算法计算 Archive文件的数据部分的哈希值， 作为 第二识别信息；
或者，若第一识别信息对应的 Archive文件形式为数据部分包含数据结构 信息的 Archive文件， 则根据承载 Archive文件数据部分的数据包， 重组得到 Archive文件数据部分中包含的数据结构信息， 利用哈希算法计算重组得到的 数据结构信息的哈希值， 作为第二识别信息。
本实施例优先利用 MD5算法计算第二识别信息。
105、 将第二识别信息与病毒库中预先存储的病毒识别信息进行匹配， 若 匹配命中， 则确定 Archive文件为 Archive病毒文件。
本实施在判断病毒文件时除了从 PE 文件头数据包中提取用于识别病毒 特征的识别信息外， 还从 Archive文件的数据部分提取识别信息， 并根据这两 个识别信息来判断 Archive文件是否为病毒文件，从而克服了现有技术无法确 定 Archive 文件是否是携带病毒的病毒文件的问题。 本发明能够有效检测 Archive类型的 PE文件是否为病毒文件， 提高基于流的病毒检测方法的可靠 性， 进一步改善网络的安全状况。
请参考图 3 , 图 3是本发明实施例提供的一种病毒检测方法的流程图， 包 括：
201、 接收承载有 PE文件的网络数据流。
202、 根据网络数据流中的数据包重组出 PE文件的文件头， 其中， 文件 头中包含 PE文件的结构信息。
203、 根据 PE文件的结构信息计算第一识别信息。
其中，根据 PE文件的结构信息计算第一识别信息的具体方式参考图 1实 施例这里不再赘述。
204、 将第一识别信息与病毒库中预先存储的病毒识别信息进行匹配。
205、 判断第一识别信息与病毒识别信息是否匹配命中。
若第一识别信息与病毒识别信息匹配命中则转步骤 207,否则转步骤 206。
206、 确定 PE文件为非病毒文件。 若第一识别信息与病毒库中的任何一 条病毒识别信息都不能匹配上， 则说明 PE文件不属于已知病毒， 确定 PE文 件为非病毒文件。
207、 判断第一识别信息所对应的 PE文件是否为 Archive文件。
若第一识别信息与病毒库中的某一条病毒识别信息匹配上，则 PE文件为 病毒文件或者 Archive文件，根据病毒库中预先存储的病毒识别信息与文件类 型的对应关系可以进一步判断出 PE文件为病毒文件或者 Archive文件。若 PE 文件为 Archive文件则转步骤 209 , 否则转步骤 208。
208、确定 PE文件为 PE病毒文件。若第一识别信息与病毒库中的某一条 病毒识别信息匹配上且该 PE文件并非 Archive文件， 则确定 PE文件为病毒 文件。
209、 从网络数据流中获取承载 Archive文件数据部分的数据包， 并根据 承载数据部分的数据包计算第二识别信息。
第二识别信息的计算过程参考图 1实施例这里不再赘述。
210、 将第二识别信息与病毒库中预先存储的病毒识别信息进行匹配。 211、 判断第二识别信息与病毒识别信息是否匹配命中。 如果命中， 进入 步骤 213; 如果没有命中， 进入步骤 212。
212、 确定 Archive文件为非病毒文件。 若第二识别信息与病毒库存中的 任一病毒识别信息不匹配， 则 Archive文件不属于已知病毒， 判断该 Archive 文件为非病毒文件。
213、 确定 Archive文件为 Archive病毒文件。 若第二识别信息与某一条 病毒识别信息匹配， 则说明 Archive文件为已知病毒中的一种， 判断 Archive 文件为 Archive病毒文件。
本实施在判断病毒文件时除了从 PE 文件头数据包中提取用于识别病毒 特征的识别信息外， 还从 Archive文件的数据部分提取识别信息， 并根据这两 个识别信息来判断 Archive文件是否为病毒文件。本发明能够有效检测 Archive 类型的 PE文件是否为病毒文件， 提高基于流的病毒检测方法的可靠性， 进一 步改善网络的安全状况。
请参考图 4, 图 4是本发明实施例提供的一种病毒检测设备的结构图， 包 括：
信息获取模块 301 , 用于接收承载可移植执行 PE文件的网络数据流， 并 根据所述网络数据流中的数据包重组出 PE文件的文件头， 其中， 文件头中包 含 PE文件的结构信息。
第一计算模块 302 , 用于根据信息获取模块 301获取的 PE文件的结构信 息计算第一识别信息。
第一判断模块 303 ,用于将第一计算模块 302计算得到的第一识别信息与 病毒库中预先存储的病毒识别信息进行匹配， 若匹配命中， 则根据病毒库中 预先存储的病毒识别信息与文件类型的对应关系确定 PE文件是否为 Archive 文件， 其中， 文件类型包括 Archive文件和 PE病毒文件。
其中，第一判断模块 303还用于，在判断出 PE文件为非 Archive文件时， 确定 PE文件为 PE病毒文件。
第二计算模块 304, 用于在第一判断模块 303确定出 PE文件为 Archive 文件时， 从网络数据流中获取承载 Archive文件数据部分的数据包， 并根据承 载 Archive文件数据部分的数据包计算第二识别信息。
第二判断模块 305 ,用于将第二计算模块 304计算得出的第二识别信息与 病毒库中预先存储的病毒识别信息进行匹配， 若匹配命中， 则确定 Archive文 件为 Archive病毒文件。
可选地， 第二计算模块 304还可以包括文件形式判断单元 3041、 数据包 获取单元 3042和计算单元 3043 , 如图 5所示， 其中：
文件形式判断单元 3041 , 用于从病毒库中预先存储的病毒识别信息与 Archive文件形式的对应关系中， 查询第一识别信息所对应的 Archive文件形 式， 其中， 文件形式包括数据部分包含数据结构信息的 Archive文件和数据部 分不包含数据结构信息的 Archive文件。
数据包获取单元 3042, 用于从网络数据流中获取承载 Archive文件数据 部分的数据包。
计算单元 3043 ,用于根据文件形式判断单元 3041判断得出的第一识别信 息所对应的 Archive文件形式和数据包获取单元 3042获取的承载 Archive文 件数据部分的数据包计算第二识别信息。
其中， 计算单元 3043具体用于：
在第一识别信息所对应的 Archive 文件形式为数据部分不包含数据结构 信息的 Archive 文件时， 根据承载 Archive 文件数据部分的数据包， 重组出 Archive文件的数据部分， 利用哈希算法计算 Archive文件的数据部分的哈希 值， 作为第二识别信息；
或者，在第一识别信息所对应的 Archive文件形式为数据部分包含数据结 构信息的 Archive 文件时， 根据承载 Archive 文件部分的数据包， 重组得到 Archive文件数据部分中包含的数据结构信息， 利用哈希算法计算重组得到的 数据结构信息的哈希值， 作为第二识别信息。
本实施例中， 哈希算法优选为 MD5算法。
其中， 第一计算模块 302还可以包括衔接单元 3021和计算单元 3022, 如 图 6所示， 其中：
衔接单元 3021 , 用于从信息获取模块 301获取的 PE文件的结构信息选 取至少二个属性信息， 并将该属性信息衔接成一个数据块。
计算单元 3022,用于利用哈希算法计算衔接单元 3021衔接成的数据块的 哈希值， 作为第一识别信息。
本实施例在判断病毒文件时除了从 PE 文件头数据包中提取用于识别病 毒特征的识别信息外， 还从 Archive文件的数据部分提取识别信息， 并根据这 两个识别信息来判断 Archive文件是否为病毒文件。从而克服了现有技术无法 确定 Archive文件是否是携带病毒的病毒文件的问题。本实施例能够有效检测 Archive 文件是否为病毒文件， 降低了病毒传播者通过将病毒文件制作成 Archive文件来逃避检测所带来的安全风险， 提高基于流的病毒检测方法的可 靠性， 进一步改善网络的安全状况。
请参考图 7 , 图 7是本发明实施例提供的一种病毒检测设备的结构图， 包 括接收器 401、 存储器 402和处理器 403 , 其中：
接收器 401 , 用于接收承载有 PE文件的网络数据流。
存储器 402, 用于存储代码。
处理器 403 , 用于从存储器 402中读取存储的代码， 执行：
根据接收器 401接收的网络数据流中的数据包重组出 PE文件的文件头， 其中， 文件头的数据包中包含 PE文件的结构信息；
根据 PE文件的结构信息计算第一识别信息；
将第一识别信息与病毒库中预先存储的病毒识别信息进行匹配， 在匹配 命中时， 根据病毒库中预先存储的病毒识别信息与文件类型的对应关系， 确 定 PE文件是否为 Archive文件， 其中， 文件类型包括 Archive文件和 PE病毒 文件；
若所述 PE文件为 Archive文件， 从网络数据流中获取承载 Archive文件 数据部分的数据包，并根据承载 Archive文件数据部分的数据包计算第二识别 信息；
将第二识别信息与病毒库中预先存储的病毒识别信息进行匹配， 在匹配 命中时， 确定 Archive文件为 Archive病毒文件。
可选地，处理器 403执行从网络数据流中获取承载 Archive文件数据部分 的数据包，并根据承载 Archive文件数据部分的数据包计算第二识别信息具体 方式可以为：
从病毒库中预先存储的病毒识别信息与 Archive文件形式的对应关系中， 查询第一识别信息对应的 Archive文件形式， 其中， Archive文件形式包括数 据部分包含数据结构信息的 Archive 文件和数据部分不包含数据结构信息的 Archive文件； 从网络数据流中获取承载 Archive文件数据部分的数据包；
根据第一识别信息对应的 Archive文件形式和承载 Archive文件数据部分 的数据包计算第二识别信息。
其中，处理器 403执行根据第一识别信息对应的 Archive文件形式和承载 Archive文件数据部分的数据包计算第二识别信息的具体方式可以为：
若第一识别信息对应的 Archive 文件形式为数据部分不包含数据结构信 息的 Archive文件 ,则才艮据 7?载 Archive文件数据部分的数据包 ,重组出 Archive 文件的数据部分， 利用哈希算法计算 Archive文件的数据部分的哈希值， 作为 第二识别信息；
或者，若第一识别信息对应的 Archive文件形式为数据部分包含数据结构 信息的 Archive文件， 则根据承载 Archive文件数据部分的数据包， 重组得到 Archive文件数据部分中包含的数据结构信息， 利用哈希算法计算重组得到的 数据结构信息的哈希值， 作为第二识别信息。
本实施例中哈希算法优选为 MD5算法。
处理器 403执行根据 PE文件的结构信息计算第一识别信息的具体方式 为：
从 PE文件的结构信息中选取至少二个属性信息，并将至少二个属性信息 衔接成一个数据块；
利用哈希算法计算出所述数据块的哈希值， 作为所述第一识别信息。 所述病毒检测设备的详细工作流程请参照前面方法实施例中的描述， 在 这里不再重复。
本实施例中的病毒检测设备在判断病毒文件时除了从 PE 文件头数据包 中提取用于识别病毒特征的识别信息外，还从 Archive文件的数据部分提取识 别信息， 并根据这两个识别信息来判断 Archive文件是否为病毒文件。 本实施 例能够有效检测 Archive类型的 PE文件是否为病毒文件， 提高基于流的病毒 检测方法的可靠性， 进一步改善网络的安全状况。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流 程， 是可以通过计算机程序来指令相关的硬件来完成， 所述的程序可存储于 一计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法的实施 例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory, ROM )或随机存取存储器（ Random Access Memory, 简称 RAM ) 等。
以上所揭露的仅为本发明较佳实施例而已， 当然不能以此来限定本发明 之权利范围， 因此依本发明权利要求所作的等同变化， 仍属本发明所涵盖的 范围。

Claims

权 利 要 求
1、 一种病毒检测方法， 其特征在于， 包括：
接收承载有可移植执行 PE文件的网络数据流，并根据所述网络数据流中 的数据包重组出所述 PE文件的文件头， 其中， 所述文件头中包含所述 PE文 件的结构信息；
根据所述 PE文件的结构信息计算第一识别信息；
将所述第一识别信息与病毒库中预先存储的病毒识别信息进行匹配， 若 匹配命中， 则根据所述病毒库中预先存储的病毒识别信息与文件类型的对应 关系，确定所述 PE文件是否为 Archive文件，其中，所述文件类型包括 Archive 文件和 PE病毒文件；
若所述 PE文件为 Archive 文件， 则从所述网络数据流中获取承载所述 Archive文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分 的数据包计算第二识别信息；
将所述第二识别信息与所述病毒库中预先存储的病毒识别信息进行匹 配， 若匹配命中， 则确定所述 Archive文件为 Archive病毒文件。
2、根据权利要求 1所述的方法，其特征在于，若所述 PE文件为非 Archive 文件， 则确定所述 PE文件为 PE病毒文件。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述从所述网络数据 流中获取承载所述 Archive 文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分的数据包计算第二识别信息， 具体包括：
从所述病毒库中预先存储的病毒识别信息与 Archive 文件形式的对应关 系中， 查询所述第一识别信息对应的 Archive文件形式， 其中， 所述 Archive 文件形式包括数据部分包含数据结构信息的 Archive 文件和数据部分不包含 数据结构信息的 Archive文件；
从所述网络数据流中获取承载所述 Archive文件数据部分的数据包； 根据所述第一识别信息对应的 Archive文件形式和所述承载所述 Archive 文件数据部分的数据包计算第二识别信息。
4、 根据权利要求 3所述的方法， 其特征在于， 所述根据所述第一识别信 息对应的 Archive文件形式和所述 7 载所述 Archive文件数据部分的数据包计 算第二识别信息， 包括：
若所述第一识别信息对应的 Archive 文件形式为数据部分不包含数据结 构信息的 Archive文件，则根据所述承载所述 Archive文件数据部分的数据包， 重组出所述 Archive文件的数据部分， 利用哈希算法计算所述 Archive文件的 数据部分的哈希值， 作为所述第二识别信息；
或者，若所述第一识别信息对应的 Archive文件形式为数据部分包含数据 结构信息的 Archive文件， 则根据所述承载所述 Archive文件数据部分的数据 包， 重组得到所述 Archive文件数据部分中包含的数据结构信息， 利用哈希算 法计算重组得到的所述数据结构信息的哈希值， 作为所述第二识别信息。
5、 根据权利要求 1、 2或 4所述的方法， 其特征在于， 所述根据所述 PE 文件的结构信息计算第一识别信息具体包括：
从所述 PE文件的结构信息中选取至少二个属性信息，并将所述至少二个 属性信息衔接成一个数据块；
利用哈希算法计算出所述数据块的哈希值， 作为所述第一识别信息。
6、 一种病毒检测设备， 其特征在于， 包括：
信息获取模块， 用于接收承载有可移植执行 PE文件的网络数据流， 并根 据所述网络数据流中的数据包重组出所述 PE文件的文件头， 其中， 所述文件 头中包含所述 PE文件的结构信息；
第一计算模块，用于根据所述信息获取模块获取的所述 PE文件的结构信 息计算第一识别信息；
第一判断模块， 用于将所述第一计算模块计算得到的所述第一识别信息 与病毒库中预先存储的病毒识别信息进行匹配， 若匹配命中， 则根据所述病 毒库中预先存储的病毒识别信息与文件类型的对应关系，确定所述 PE文件是 否为 Archive文件 , 其中， 所述文件类型包括 Archive文件和 PE病毒文件； 第二计算模块， 用于在所述第一判断模块确定出所述 PE文件为 Archive 文件时， 从所述网络数据流中获取承载所述 Archive文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分的数据包计算第二识别信息；
第二判断模块， 用于将所述第二计算模块计算得出的所述第二识别信息 与所述病毒库中预先存储的病毒识别信息进行匹配， 若匹配命中， 则确定所 述 Archive文件为 Archive病毒文件。
7、根据权利要求 6所述的设备，其特征在于， 所述第一判断模块还用于， 若所述 PE文件为非 Archive文件， 确定所述 PE文件为 PE病毒文件。
8、 根据权利要求 6或 7所述的设备， 其特征在于， 所述第二计算模块包 括：
文件形式判断单元， 用于从所述病毒库中预先存储的病毒识别信息与 Archive文件形式的对应关系中， 查询所述第一识别信息所对应的 Archive文 件形式， 其中， 所述文件形式包括数据部分包含数据结构信息的 Archive文件 和数据部分不包含数据结构信息的 Archive文件；
数据包获取单元，用于从所述网络数据流中获取承载所述 Archive文件数 据部分的数据包；
计算单元， 用于根据所述文件形式判断单元判断得出的所述第一识别信 息所对应的 Archive 文件形式和所述数据包获取单元获取的所述承载所述 Archive文件数据部分的数据包计算第二识别信息。
9、 根据权利要求 8所述的设备， 其特征在于， 所述计算单元具体用于： 在第一识别信息所对应的 Archive 文件形式为数据部分不包含数据结构 信息的 Archive文件时， 根据所述承载所述 Archive文件数据部分的数据包， 重组出所述 Archive文件的数据部分， 利用哈希算法计算所述 Archive文件的 数据部分的哈希值， 作为所述第二识别信息；
或者，在第一识别信息所对应的 Archive文件形式为数据部分包含数据结 构信息的 Archive文件时， 根据所述承载所述 Archive文件部分的数据包， 重 组得到所述 Archive文件数据部分中包含的数据结构信息，利用哈希算法计算 重组得到的所述数据结构信息的哈希值， 作为所述第二识别信息。
10、 根据权利要求 6、 7或 9所述的设备， 其特征在于， 所述第一计算模 块包括：
衔接单元，用于从所述信息获取模块获取的所述 PE文件的结构信息中选 取至少二个属性信息， 并将所述至少二个属性信息衔接成一个数据块；
计算单元， 用于利用哈希算法计算所述衔接单元衔接成的所述数据块的 哈希值， 作为第一识别信息。
11、 一种病毒检测设备， 其特征在于， 包括接收器、 存储器和处理器， 其中： 所述接收器， 用于接收承载有可移植执行 PE文件的网络数据流； 所述存储器， 用于存储代码；
所述处理器， 用于读取所述存储器中存储的代码， 执行：
根据所述接收器接收的所述网络数据流中的数据包重组出所述 PE 文件 的文件头， 其中， 所述文件头的数据包中包含所述 PE文件的结构信息；
根据所述 PE文件的结构信息计算第一识别信息；
将所述第一识别信息与病毒库中预先存储的病毒识别信息进行匹配， 在 匹配命中时， 根据所述病毒库中预先存储的病毒识别信息与文件类型的对应 关系，确定所述 PE文件是否为 Archive文件，其中，所述文件类型包括 Archive 文件和 PE病毒文件；
若所述 PE 文件为 Archive 文件， 从所述网络数据流中获取承载所述 Archive文件数据部分的数据包， 并根据所述承载所述 Archive文件数据部分 的数据包计算第二识别信息；
将所述第二识别信息与所述病毒库中预先存储的病毒识别信息进行匹 配， 在匹配命中时， 确定所述 Archive文件为 Archive病毒文件。
12、 根据权利要求 11所述的设备， 其特征在于， 所述处理器执行从所述 网络数据流中获取承载所述 Archive文件数据部分的数据包，并根据所述承载 所述 Archive文件数据部分的数据包计算第二识别信息的具体方式为：
从所述病毒库中预先存储的病毒识别信息与 Archive 文件形式的对应关 系中， 查询所述第一识别信息对应的 Archive文件形式， 其中， 所述 Archive 文件形式包括数据部分包含数据结构信息的 Archive 文件和数据部分不包含 数据结构信息的 Archive文件；
从所述网络数据流中获取承载所述 Archive文件数据部分的数据包； 根据所述第一识别信息对应的 Archive文件形式和所述承载所述 Archive 文件数据部分的数据包计算第二识别信息。
13、 根据权利要求 12所述的设备， 其特征在于， 所述处理器执行所述根 据所述第一识别信息对应的 Archive文件形式和所述承载所述 Archive文件数 据部分的数据包计算第二识别信息的具体方式为：
若所述第一识别信息对应的 Archive 文件形式为数据部分不包含数据结 构信息的 Archive文件，则根据所述承载所述 Archive文件数据部分的数据包， 重组出所述 Archive文件的数据部分， 利用哈希算法计算所述 Archive文件的 数据部分的哈希值， 作为所述第二识别信息；
或者，若所述第一识别信息对应的 Archive文件形式为数据部分包含数据 结构信息的 Archive文件， 则根据所述承载所述 Archive文件数据部分的数据 包， 重组得到所述 Archive文件数据部分中包含的数据结构信息， 利用哈希算 法计算重组得到的所述数据结构信息的哈希值， 作为所述第二识别信息。
14、 根据权利要求 11至 13任一项所述的设备， 其特征在于， 所述处理 器执行所述根据所述 PE文件的结构信息计算第一识别信息的具体方式为： 从所述 PE文件的结构信息中选取至少二个属性信息，并将所述至少二个 属性信息衔接成一个数据块；
利用哈希算法计算出所述数据块的哈希值， 作为所述第一识别信息。
PCT/CN2013/080979 2012-12-21 2013-08-07 病毒检测方法及设备 WO2014094441A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP13864087.5A EP2924943B1 (en) 2012-12-21 2013-08-07 Virus detection method and device
US14/743,082 US9723021B2 (en) 2012-12-21 2015-06-18 Virus detecting method and device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210560398.5 2012-12-21
CN201210560398.5A CN103067364B (zh) 2012-12-21 2012-12-21 病毒检测方法及设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/743,082 Continuation US9723021B2 (en) 2012-12-21 2015-06-18 Virus detecting method and device

Publications (1)

Publication Number Publication Date
WO2014094441A1 true WO2014094441A1 (zh) 2014-06-26

Family

ID=48109826

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/080979 WO2014094441A1 (zh) 2012-12-21 2013-08-07 病毒检测方法及设备

Country Status (4)

Country Link
US (1) US9723021B2 (zh)
EP (1) EP2924943B1 (zh)
CN (1) CN103067364B (zh)
WO (1) WO2014094441A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111368298A (zh) * 2020-02-27 2020-07-03 腾讯科技（深圳）有限公司 一种病毒文件识别方法、装置、设备及存储介质

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103067364B (zh) * 2012-12-21 2015-11-25 华为技术有限公司 病毒检测方法及设备
CN104424438B (zh) * 2013-09-06 2018-03-16 华为技术有限公司 一种反病毒文件检测方法、装置及网络设备
CN104217165B (zh) * 2014-09-16 2016-07-06 百度在线网络技术（北京）有限公司 文件的处理方法及装置
CN105488084A (zh) * 2014-12-24 2016-04-13 哈尔滨安天科技股份有限公司 基于树同构的软件安装包分类方法及系统
CN104700033B (zh) * 2015-03-30 2019-01-29 北京瑞星网安技术股份有限公司 病毒检测的方法及装置
RU2606559C1 (ru) * 2015-10-22 2017-01-10 Акционерное общество "Лаборатория Касперского" Система и способ оптимизации антивирусной проверки файлов
CN106055602A (zh) * 2016-05-24 2016-10-26 腾讯科技（深圳）有限公司 文件验证方法及装置
RU2634178C1 (ru) * 2016-10-10 2017-10-24 Акционерное общество "Лаборатория Касперского" Способ обнаружения вредоносных составных файлов
CN108733664B (zh) * 2017-04-13 2022-05-03 腾讯科技（深圳）有限公司 一种文件归类方法及装置
JP7028065B2 (ja) * 2018-05-30 2022-03-02 コニカミノルタ株式会社 画像処理装置、その制御方法、およびプログラム
CN110602119A (zh) * 2019-09-19 2019-12-20 迈普通信技术股份有限公司 病毒防护方法、装置及系统
CN110765027B (zh) * 2019-12-27 2020-04-10 中国人民解放军国防科技大学 一种pe文件地址定位系统
CN111881448B (zh) * 2020-07-30 2022-10-14 山石网科通信技术股份有限公司 恶意文件的确定方法及装置
CN115203699B (zh) * 2022-09-16 2022-12-27 北京网藤科技有限公司 一种基于行为特征的病毒识别方法和系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060015747A1 (en) * 2004-07-16 2006-01-19 Red Hat, Inc. System and method for detecting computer virus
US7418729B2 (en) * 2002-07-19 2008-08-26 Symantec Corporation Heuristic detection of malicious computer code by page tracking
US7996904B1 (en) * 2007-12-19 2011-08-09 Symantec Corporation Automated unpacking of executables packed by multiple layers of arbitrary packers
CN103067364A (zh) * 2012-12-21 2013-04-24 华为技术有限公司 病毒检测方法及设备

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6851057B1 (en) * 1999-11-30 2005-02-01 Symantec Corporation Data driven detection of viruses
US20070006300A1 (en) * 2005-07-01 2007-01-04 Shay Zamir Method and system for detecting a malicious packed executable
WO2007117574A2 (en) * 2006-04-06 2007-10-18 Smobile Systems Inc. Non-signature malware detection system and method for mobile platforms
CN101526882B (zh) 2008-03-03 2011-06-22 中兴通讯股份有限公司 独立磁盘冗余阵列子系统中逻辑单元重建的方法及装置
CN101458668A (zh) 2008-12-19 2009-06-17 成都市华为赛门铁克科技有限公司 缓存数据块的处理方法和硬盘
CN102279917B (zh) * 2011-09-19 2013-08-07 奇智软件（北京）有限公司 多杀毒引擎并行杀毒方法及系统
CN102314571B (zh) * 2011-09-27 2014-11-05 奇智软件（北京）有限公司 处理计算机病毒的方法及装置
CN102736978B (zh) * 2012-06-26 2015-09-30 北京奇虎科技有限公司 一种检测应用程序的安装状态的方法及装置
CN103020524B (zh) * 2012-12-11 2015-08-05 北京奇虎科技有限公司 计算机病毒监控系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7418729B2 (en) * 2002-07-19 2008-08-26 Symantec Corporation Heuristic detection of malicious computer code by page tracking
US20060015747A1 (en) * 2004-07-16 2006-01-19 Red Hat, Inc. System and method for detecting computer virus
US7996904B1 (en) * 2007-12-19 2011-08-09 Symantec Corporation Automated unpacking of executables packed by multiple layers of arbitrary packers
CN103067364A (zh) * 2012-12-21 2013-04-24 华为技术有限公司 病毒检测方法及设备

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111368298A (zh) * 2020-02-27 2020-07-03 腾讯科技（深圳）有限公司 一种病毒文件识别方法、装置、设备及存储介质
CN111368298B (zh) * 2020-02-27 2023-07-21 腾讯科技（深圳）有限公司 一种病毒文件识别方法、装置、设备及存储介质

Also Published As

Publication number Publication date
EP2924943A1 (en) 2015-09-30
US9723021B2 (en) 2017-08-01
EP2924943B1 (en) 2018-03-14
US20150288707A1 (en) 2015-10-08
EP2924943A4 (en) 2015-12-16
CN103067364B (zh) 2015-11-25
CN103067364A (zh) 2013-04-24

Similar Documents

Publication Publication Date Title
WO2014094441A1 (zh) 病毒检测方法及设备
US9230097B2 (en) Method and system for detecting data modification within computing device
US7835390B2 (en) Network traffic identification by waveform analysis
Yang et al. RIHT: a novel hybrid IP traceback scheme
US8522348B2 (en) Matching with a large vulnerability signature ruleset for high performance network defense
US11546372B2 (en) Method, system, and apparatus for monitoring network traffic and generating summary
CN104410692B (zh) 一种用于重复文件上传的方法和系统
US10862923B2 (en) System and method for detecting a compromised computing system
US9614866B2 (en) System, method and computer program product for sending information extracted from a potentially unwanted data sample to generate a signature
CN110888838B (zh) 基于对象存储的请求处理方法、装置、设备及存储介质
US20110149793A1 (en) Traffic capture apparatus and traffic analysis apparatus, system and method
WO2020037781A1 (zh) 一种实现服务器防攻击方法及装置
WO2018076697A1 (zh) 僵尸特征的检测方法和装置
US20170134413A1 (en) System and method for connection fingerprint generation and stepping-stone traceback based on netflow
WO2017157335A1 (zh) 报文识别的方法及装置
US10567399B2 (en) Fragmented malware hash lookup in cloud repository
EP2797278A1 (en) Anti-virus method and apparatus and firewall device
WO2021196463A1 (zh) 一种区块链数据的同步方法、装置及电子设备、存储介质
CN109495471B (zh) 一种对web攻击结果判定方法、装置、设备及可读存储介质
KR102014741B1 (ko) Fpga 기반 고속 스노트 룰과 야라 룰 매칭 방법
CN110784429A (zh) 恶意流量的检测方法、装置和计算机可读存储介质
CN108256327A (zh) 一种文件检测方法及装置
US10992702B2 (en) Detecting malware on SPDY connections
CN116366478B (zh) 一种基于fpga的数据包对比去重方法
KR101593696B1 (ko) 해싱에 기초하는 유사도 및 포함정도를 이용하여 정책의 무결성을 확보하는 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13864087

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2013864087

Country of ref document: EP