公开(公告)号：CN110839042B

公开(公告)日：2021-08-03

申请号：CN201911161704.6

申请日：2019-11-22

Applicant: 上海交通大学

Inventor： 邹福泰 ,  王林 ,  肖佳伟 ,  刘运卓 ,  尹凯涛 ,  吴越

IPC: H04L29/06 ,  H04L29/08

Abstract: 本发明公开了一种基于流量的自反馈恶意软件监测系统和方法，包括以下步骤：步骤1、获取HTTP流量，对良性域名的所述HTTP流量进行过滤；步骤2、清洗过滤掉源自浏览器的所述HTTP流量；步骤3、与指纹特征库进行对比，直接识别；步骤4、对不能识别的所述HTTP流量进行流化处理，对流进行聚类；步骤5、检测分析；步骤6、对检测结果进行验证，计算并监测误报率；步骤7、所述误报率超过设定的阈值时，对模型进行反馈训练调整；步骤8、循环执行所述步骤1至所述步骤7。本发明可以高效监测恶意软件，并且可适应不断变化的动态流量环境，能够应对当前恶意软件不断变化发展的趋势。

公开(公告)号：CN110912887A

公开(公告)日：2020-03-24

申请号：CN201911154671.2

申请日：2019-11-22

Applicant: 上海交通大学

Inventor： 邹福泰 ,  肖佳伟 ,  高逸飞 ,  孟德超 ,  化存卿 ,  毕越

IPC: H04L29/06

Abstract: 本发明公开了一种基于Bro的APT监测系统和方法，涉及计算机网络安全领域，包括宿主机、Docker容器和系统拓展；所述宿主机为网关，抓取并产生PCAP文件，并将所述PCAP文件输出给所述Docker容器；所述Docker容器包括提取模块和检测模块，对输入的所述PCAP文件进行提取和检测；所述提取模块和所述检测模块设置为Bro入侵检测系统。本发明通过对网络流量的直接综合分析，对APT攻击进行检测，具有较高的性能和可延展性，可对流量中传输的文件进行重组和提取，并对高速流量进行实时分析和生成日志的功能，并通过针对性的恶意文件检测，以及对日志的分析，实现了对流量中APT攻击的监测目标。

公开(公告)号：CN110912887B

公开(公告)日：2021-08-20

申请号：CN201911154671.2

申请日：2019-11-22

Applicant: 上海交通大学

Inventor： 邹福泰 ,  肖佳伟 ,  高逸飞 ,  孟德超 ,  化存卿 ,  毕越

IPC: H04L29/06

Abstract: 本发明公开了一种基于Bro的APT监测系统和方法，涉及计算机网络安全领域，包括宿主机、Docker容器和系统拓展；所述宿主机为网关，抓取并产生PCAP文件，并将所述PCAP文件输出给所述Docker容器；所述Docker容器包括提取模块和检测模块，对输入的所述PCAP文件进行提取和检测；所述提取模块和所述检测模块设置为Bro入侵检测系统。本发明通过对网络流量的直接综合分析，对APT攻击进行检测，具有较高的性能和可延展性，可对流量中传输的文件进行重组和提取，并对高速流量进行实时分析和生成日志的功能，并通过针对性的恶意文件检测，以及对日志的分析，实现了对流量中APT攻击的监测目标。

公开(公告)号：CN110839042A

公开(公告)日：2020-02-25

申请号：CN201911161704.6

申请日：2019-11-22

Applicant: 上海交通大学

Inventor： 邹福泰 ,  王林 ,  肖佳伟 ,  刘运卓 ,  尹凯涛 ,  吴越

IPC: H04L29/06 ,  H04L29/08

Abstract: 本发明公开了一种基于流量的自反馈恶意软件监测系统和方法，包括以下步骤：步骤1、获取HTTP流量，对良性域名的所述HTTP流量进行过滤；步骤2、清洗过滤掉源自浏览器的所述HTTP流量；步骤3、与指纹特征库进行对比，直接识别；步骤4、对不能识别的所述HTTP流量进行流化处理，对流进行聚类；步骤5、检测分析；步骤6、对检测结果进行验证，计算并监测误报率；步骤7、所述误报率超过设定的阈值时，对模型进行反馈训练调整；步骤8、循环执行所述步骤1至所述步骤7。本发明可以高效监测恶意软件，并且可适应不断变化的动态流量环境，能够应对当前恶意软件不断变化发展的趋势。