公开(公告)号：CN103905269A

公开(公告)日：2014-07-02

申请号：CN201310619430.7

申请日：2013-11-29

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 童志明 ,  沈长伟 ,  肖新光

IPC: H04L12/26 ,  H04L29/12

Abstract: 本发明提供了一种基于格式识别技术的网络双向检测方法及系统，所述方法包括：监控双向网络数据流，并抓取和缓存网络数据流中的数据包；判断所述数据包的文件格式信息与所对应URL所指向文件后缀名是否相同，如果是，则使用检测引擎检测；否则通知用户发现高危后缀伪装行为，并进行详细深度检测。同时本发明还提供了相应的检测系统。通过本发明内容，可以根据文件格式与URL格式不符，检测出具有伪装行为的数据流，进而告知用户威胁，同时由于检测环境在网络中，无需考虑网络数据传输方向的问题，能够对双向网络数据进行检测。

公开(公告)号：CN103581162A

公开(公告)日：2014-02-12

申请号：CN201210578079.7

申请日：2012-12-27

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 肖新光 ,  童志明 ,  沈长伟

IPC: H04L29/06 ,  H04L29/08

Abstract: 本发明提供了一种基于云的持续更新事件结果与统计信息的系统及方法，包括：客户端循环获取URL事件；并判断所述URL是否能够与白名单或黑名单匹配，如果是，则根据黑名单或白名单进行处置，并记录检测结果，同时更新事件统计列表；否则将所述URL上传到云端分析系统；客户端按预设时间间隔，向云端分析系统查询所有检测结果为待确认的URL的云端分析结果；判断是否存在URL的云端分析结果，如果存在，则获取云端分析结果，并用所述云端分析结果更新对应URL的检测结果及事件统计列表。通过本发明的方法及系统，能够解决未知URL事件的判定，能及时到云端分析系统中获取之前未确定的结果并更新客户端记录，不依赖于检测时所产生的结果，便于及时发现威胁。

公开(公告)号：CN102843270A

公开(公告)日：2012-12-26

申请号：CN201110257457.7

申请日：2011-09-02

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 肖新光 ,  李石磊 ,  沈长伟 ,  童志明

IPC: H04L12/26 ,  H04L29/06 ,  G06F17/30

Abstract: 本发明公开了一种基于URL与本地文件关联的可疑URL检测方法，包括：获取系统访问的URL；判断获取的URL是否进行文件下载；如果获取的URL进行文件下载，则通过截获URL数据包，用部分数据包中的数据与下载到系统的文件数据进行对比，如果对比结果相同则将所述URL与下载到系统的文件相关联；对下载到系统的文件进行检测判断下载到系统的文件是否是可疑文件，根据判断结果对所述URL做进一步处理。本发明还公开了一种基于URL与本地文件关联的可疑URL检测装置。本发明将传统的启发式检测和URL关联一起，每个恶意代码都能查到下载它的URL，不仅能将可疑文件甄别出来，而且能够提供下载这个可疑文件的URL，对进一步分析和阻止恶意代码传播提供有力条件。

公开(公告)号：CN102760218A

公开(公告)日：2012-10-31

申请号：CN201110421910.3

申请日：2011-12-16

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 李石磊 ,  沈长伟 ,  童志明 ,  张栗伟

IPC: G06F21/22 ,  G06F9/44

Abstract: 本发明提供一种基于动态链接库的病毒特征库共享方法及装置，所述方法包括：将病毒特征库编译为病毒特征库动态链接库；反病毒引擎请求加载病毒特征库；加载病毒特征库对应的病毒特征库动态链接库；获得操作系统反馈的内存中的病毒特征库地址。本发明运用操作系统在内存中只保留一份动态链接库特性，实现了病毒特征库的共享，节省内存，以及动态链接库写时拷贝(WriteOnCopy)的特性，将病毒特征库储存在动态链接库中，当反病毒软件需要加载病毒特征库时，只需要加载动态链接库就可以得到病毒特征库。