一种木马通信通道检测方法及系统

    公开(公告)号:CN105791236B

    公开(公告)日:2019-03-12

    申请号:CN201410816251.7

    申请日:2014-12-23

    Inventor: 周涛 彭涛 李高超

    Abstract: 本发明公开了一种木马通信通道检测方法及系统,包括:获取待检测数据流,设置检测分值为0。检查待检测数据流中是否存在可疑加密行为,若存在则增加检测分值;并检查是否存在可疑心跳行为,若存在则增加检测分值,并将存在可疑心跳行为的数据包从待检测数据流中删除,记为清洗后的待检测数据流。检查清洗后待检测数据中是否存在异常数据传输模式,若存在则增加检测分值;并检测是否存在异常上下行流量比,若存在则增加检测分值。根据检测分值的最终结果,判断网络连接是否为可疑木马通信通道。通过本发明的方案,能够从心跳行为、异常数据传输驱动模式、可疑加密行为、异常上下行流量比等特征上检测未知木马,降低漏报、误报等情况的发生。

    一种木马通信通道检测方法及系统

    公开(公告)号:CN105791236A

    公开(公告)日:2016-07-20

    申请号:CN201410816251.7

    申请日:2014-12-23

    Inventor: 周涛 彭涛 李高超

    Abstract: 本发明公开了一种木马通信通道检测方法及系统,包括:获取待检测数据流,设置检测分值为0。检查待检测数据流中是否存在可疑加密行为,若存在则增加检测分值;并检查是否存在可疑心跳行为,若存在则增加检测分值,并将存在可疑心跳行为的数据包从待检测数据流中删除,记为清洗后的待检测数据流。检查清洗后待检测数据中是否存在异常数据传输模式,若存在则增加检测分值;并检测是否存在异常上下行流量比,若存在则增加检测分值。根据检测分值的最终结果,判断网络连接是否为可疑木马通信通道。通过本发明的方案,能够从心跳行为、异常数据传输驱动模式、可疑加密行为、异常上下行流量比等特征上检测未知木马,降低漏报、误报等情况的发生。

Patent Agency Ranking