[发明专利]用于检测网络节点上的持续恶意软件的方法

权利要求书

1.一种检测第一网络节点(12)的持续性的方法，所述方法包括以下步骤：

在指定观测周期期间监视(S101)所述第一网络节点是否已建立到第二网络节点(13)的连接；

确定(S102)在所述指定观测周期期间发生于所述第一网络节点与所述第二网络节点之间的连接会话的总数量；

根据会话的总数量确定(S103)包括所述第一网络节点与所述第二网络节点之间的至少一个通信流的会话的数量；以及

基于所述会话的总数量和包括至少一个通信流的会话的所述数量来确定(S104)所述第一网络节点的会话间持续性。

2.根据权利要求1所述的方法，其中，确定会话间持续性的步骤包括：

通过将包括至少一个通信流的会话的所述数量除以所述会话的总数量来确定会话间持续性比率，且所述方法还包括以下步骤：

将所确定的会话间持续性比率与阈值进行比较，其中，如果所述会话间持续性比率超过所述阈值，则将所述第一网络节点视为持续的。

3.根据前述权利要求中任一项所述的方法，还包括以下步骤：

将至少一个会话划分(S305)成若干子会话；

针对所述至少一个会话，确定(S306)包括所述第一网络节点(12)与所述第二网络节点(13)之间的至少一个通信流的子会话的数量；

基于所述子会话的数量和针对所述会话的包括至少一个通信流的子会话的所述数量，确定(S307)针对所述至少一个会话的所述第一网络节点的会话内持续性。

4.根据权利要求3所述的方法，其中，确定会话内持续性的步骤包括：

通过将包括至少一个通信流的子会话的所述数量除以所述会话的所述子会话的总数量来确定每一个会话的会话内持续性比率，且所述方法还包括以下步骤：

将所确定的会话内持续性比率与阈值进行比较，其中，如果所述会话内持续性比率超过所述阈值，则将所述第一网络节点(12)视为持续的。

5.一种检测第一网络节点(12)的持续性的方法，所述方法包括以下步骤：

在指定观测周期期间监视(S201)所述第一网络节点是否已建立到第二网络节点(13)的连接；

确定(S202)在所述指定观测周期期间发生于所述第一网络节点与所述第二网络节点之间的连接会话的总数量；

根据所述会话的总数量确定(S203)包括所述第一网络节点与所述第二网络节点之间的至少一个通信流的会话的数量；

将至少一个会话划分(S204)成若干个子会话；

针对所述至少一个会话，确定(S205)包括所述第一网络节点与所述第二网络节点之间的至少一个通信流的子会话的数量；以及

基于所述子会话的数量和包括至少一个通信流的子会话的所述数量来确定(S206)针对所述至少一个会话的所述第一网络节点的会话内持续性。

6.根据权利要求5所述的方法，其中，确定会话内持续性的步骤包括：

通过将包括至少一个通信流的子会话的数量除以针对每个会话的所述子会话的总数量来确定针对所述每个会话的会话内持续性比率，其中，基于所述会话内持续性确定持续性的步骤还包括：

将所确定的会话内持续性比率与阈值进行比较，其中，如果所述会话内持续性比率超过所述阈值，则将所述第一网络节点(12)视为持续的。

7.一种用于检测第一网络节点(12)的持续性的设备(14)，所述设备包括一个或更多个处理器以及存储介质，所述存储介质上存储有计算机程序，当所述计算机程序由所述一个或更多个处理器执行时，使得所述一个或更多个处理器被布置为：

在指定观测周期期间监视所述第一网络节点是否已建立到第二网络节点(13)的连接；

确定在所述指定观测周期期间发生于所述第一网络节点与所述第二网络节点之间的连接会话的总数量；

根据会话的总数量确定包括所述第一网络节点与所述第二网络节点之间的至少一个通信流的会话的数量；以及

基于所述会话的总数量和包括至少一个通信流的会话的所述数量确定所述第一网络节点的会话间持续性。