[发明专利]程序网络行为识别方法及系统

权利要求书

1.一种程序网络行为识别方法，其包括：

在程序访问网络的过程中，获取程序的当前网络行为中的应用层数据；

判断所述应用层数据中是否包括未知的协议；

若所述应用层数据中的协议都是已知的协议，则将所述程序的当前网络行为标识为能够识别的程序的网络行为；

若所述应用层数据中包括未知的协议，则将所述程序的当前网络行为标识为可疑的程序的网络行为；

其中，在将所述程序的当前网络行为标识为能够识别的程序的网络行为的步骤之后，所述方法还包括：

判断所述能够识别的程序的网络行为是否为恶意程序的网络行为；

若是恶意程序的网络行为，则发送风险提示信息，和/或拦截所述能够识别的程序的当前网络行为；

若不是恶意程序的网络行为，则将所述能够识别的程序的当前网络行为标识为正常的网络行为。

2.根据权利要求1所述的方法，其特征在于，所述判断所述应用层数据中是否包括未知的协议的步骤为：

根据已知的协议的格式，判断所述应用层数据中是否包括未知的协议，如果应用层数据中的协议都能识别，则判断应用层数据都是已知的协议，如果应用层数据中有至少部分协议不能识别，则判断应用层数据包括未知的协议。

3.根据权利要求2所述的方法，其特征在于，所述已知的协议至少包括下列中的至少一个：超文本传送协议、域名系统协议、简单邮件传输协议、文件传送协议、简单网络管理协议和邮局协议第3版协议。

4.根据权利要求1~3任一所述的方法，其特征在于，所述判断所述能够识别的程序的网络行为是否为恶意程序的网络行为的步骤包括：

获取所述能够识别的程序的网络行为中的应用层数据中的特征信息，所述特征信息包括：应用层数据中的部分代码、应用层数据中的数据包、或者应用层数据中的数据包中的一段数据；

根据所述特征信息，判断所述能够识别的程序的网络行为是否为恶意程序的网络行为。

5.根据权利要求4所述的方法，其特征在于，所述判断所述能够识别的程序的网络行为是否为恶意程序的网络行为的步骤包括：

获取能够识别的程序的网络行为中的应用层数据中的特征信息，所述特征信息包括：应用层数据中的部分代码、应用层数据中的数据包、或者应用层数据中的数据包中的一段数据；

将所述特征信息发送至云端服务器，由所述云端服务器根据所述特征信息判断所述能够识别的程序的网络行为是否为恶意程序的网络行为，并返回判断结果。

6.根据权利要求1~4任一所述的方法，其特征在于，在将所述程序的当前网络行为标识为可疑的程序的网络行为的步骤之后，所述方法还包括：

判断所述可疑的程序的网络行为是否为恶意程序的网络行为；

若是恶意程序的网络行为，则发送风险提示信息，和/或拦截所述可疑的程序的当前网络行为；

若不是恶意程序的网络行为，则发送风险提示信息。

7.根据权利要求6所述的方法，其特征在于，所述判断所述可疑的程序的网络行为是否为恶意程序的网络行为的步骤包括：

获取所述可疑的程序的网络行为中的应用层数据中的特征信息，所述特征信息包括：应用层数据中的部分代码、应用层数据中的数据包、或者应用层数据中的数据包中的一段数据；

根据所述特征信息，判断所述可疑的程序的网络行为是否为恶意程序的网络行为。

8.根据权利要求6所述的方法，其特征在于，所述判断所述可疑的程序的网络行为是否为恶意程序的网络行为的步骤包括：

获取所述可疑的程序的网络行为中的应用层数据中的特征信息，所述特征信息包括：应用层数据中的部分代码、应用层数据中的数据包、或者应用层数据中的数据包中的一段数据；

将所述特征信息发送至云端服务器，由所述云端服务器根据所述特征信息判断所述可疑的程序的网络行为是否为恶意程序的网络行为，并返回判断结果。