[发明专利]基于网络行为的病毒检测系统和方法

权利要求书

1.一种基于网络行为的病毒检测系统，其特征在于，所述系统包括：

捕获引擎(10)，用于根据捕获规则(12)，从终端用户与网络服务器之间的网络数据流中捕获与网络行为相关的数据；

数据挖掘引擎(20)，用于在系统处于训练模式的情况下，根据所述与网络行为相关的数据来确定网络行为特征；以及在系统处于检测模式的情况下，根据所确定的所述网络行为特征针对所述与网络行为相关的数据进行病毒的检测。

2.根据权利要求1所述的系统，其特征在于，

所述网络行为包括：通过网络进行的病毒传播行为、被病毒感染后移动设备的网络行为和被病毒感染后网络侧系统的网络行为。

3.根据权利要求1所述的系统，其特征在于，

所述网络行为特征包括：连接特征、地址特征、URL特征、行为相关的内容特征和流量相关特征，

其中，所述连接特征包括：连接频率、连接时间、连接端口、上下行连接数及其比重、短信发送、彩信发送；

所述地址特征包括：如源IP、目的IP、终端标识；

所述URL特征包括：URL是否变化、URL变化频率；

所述行为相关的内容特征包括：是否包含IMSI、电话号码、通讯录或SMS；

所述流量相关特征包括：上下行包长度。

4.根据权利要求1所述的系统，其特征在于，

所述系统还包括专家知识库(24)，所述专家知识库(24)包括所述数据挖掘引擎(20)在训练模式下所确定的所述网络行为特征，且所述数据挖掘引擎(20)在系统处于检测模式的情况下，根据所述专家知识库(24)来进行病毒的检测。

5.根据权利要求1所述的系统，其特征在于，

所述数据挖掘引擎(20)包括预处理模块(22)和数据挖掘模块(21)，其中，

所述预处理模块(22)用于将所述捕获引擎(10)所捕获的与网络行为相关的数据预处理成为可供所述数据挖掘模块(21)处理的数据；

所述数据挖掘模块(21)用于在系统处于训练模式的情况下，根据预处理后的数据来确定网络行为特征并更新所述捕获规则(12)；以及在系统处于检测模式的情况下，根据所确定的所述网络行为特征对预处理后的数据进行病毒的检测。

6.根据权利要求5所述的系统，其特征在于，

所述数据挖掘引擎(20)还包括增量处理模块(23)，所述增量处理模块(23)用于基于所述数据挖掘模块(21)的处理结果，对增加的新数据进行处理。

7.根据权利要求1所述的系统，其特征在于，

所述捕获引擎(10)还包括协议解析模块(11)，所述协议解析模块(11)用于根据协议解析所捕获的数据。

8.一种基于网络行为的病毒检测训练方法，其特征在于，所述方法包括：

根据初始捕获规则，捕获引擎从终端用户与网络服务器之间的网络数据流中捕获与网络行为相关的训练数据；

数据挖掘引擎使用数据挖掘技术处理所捕获的所述与网络行为相关的数据，从而确定出网络行为特征，并将数据挖掘处理的结果反馈到所述捕获引擎，来更新捕获规则。

9.根据权利要求8所述的方法，其特征在于，所述方法还包括：

当捕获到新的训练数据时，增量处理器基于所述数据挖掘引擎的已有处理结果，对新的训练数据进行处理，以更新捕获规则和所确定出的网络行为特征。

10.一种基于网络行为的病毒检测方法，其特征在于，所述方法包括：

根据捕获规则，捕获引擎从用户与网络服务器之间的网络数据流中捕获与网络行为相关的数据；

根据所确定的网络行为特征，数据挖掘引擎针对所述与网络行为相关的数据进行病毒的检测。

11.根据权利要求10所述的方法，其特征在于，所述方法还包括：

当捕获到新的数据时，增量处理器基于所述数据挖掘引擎的已有检测结果，对新的数据进行处理，以更新所述检测结果。

12.根据权利要求10或11所述的方法，其特征在于，

所述方法还使用专家知识库，所述专家知识库包括所确定的所述网络行为特征，其中，所述数据挖掘引擎根据所述专家知识库来进行病毒的检测。