[发明专利]经由分析无响应出站网络流量来检测感染的网络设备

说明书

本发明涉及经由分析无响应出站的网络流量来检测感染的网络设备。本公开描述了用于经由分析无响应出站网络流量来检测感染的网络设备的一种或更多系统、方法、例程和/或技术。计算机实施的方法可以包含接收第一数据包信息作为输入的例程。方法可以包含执行如下例程，该例程分析第一数据包信息，以确定第一数据包信息是否识别与网络通信的开始关联的出站网络数据包。方法可以包含执行如下例程，如果第一数据包信息被确定为潜在的无响应数据包，则该例程在一个或更多数据存储件中存储和/或追踪第一数据包信息。方法可以包含执行如下例程，如果基于分析第二数据包信息确定第一数据包信息不是无响应数据包，则该例程移除和/或终止对第一数据包信息的追踪。

技术领域

本公开涉及网络安全，尤其涉及经由分析无响应出站的网络流量来检测感染的网络设备的一种或更多系统、方法、例程和/或技术。

背景技术

随着计算机的广泛使用，一些受到误导的个人和/或实体采用多种技术向毫无戒备的用户或实体的计算机传播恶意软件。恶意软件一般是指怀恶意的、有害的和/或不希望的可执行程序和/或数据，包含计算机病毒、间谍程序、未经请求的广告、广告可执行程序、不希望的内容等。反恶意软件程序被设计为检测和/或消除恶意软件。检测典型地通过使用周期性地更新的恶意软件定义文件，比如病毒定义文件，对用户计算机上的文件和文件夹进行扫描来实现。恶意软件定义文件可以指示建议恶意软件的模式。通过将用户计算机上的文件与恶意软件定义文件相比较，可以检测出一些恶意软件。如果恶意软件被检测到在给定的文件中，则该文件可以被标记以便注意和/或可以修复或删除。

通过将这类系统与在本申请的其余部分中并参考附图所述的本发明的一些方面相比较，传统和常规方法的其他限制和缺点对于本领域技术人员来说将会是显而易见的。

发明内容

本公开描述了用于经由分析无响应出站网络流量来检测感染的网络设备的一种或更多系统、方法、例程和/或技术。本公开的系统、方法、例程和/或技术可以被设计和/或修改以检测由攻击者所使用的不同技术。本公开的一个或更多实施例可以描述了分析没有接收到响应数据包或没有接收到带有实质性响应的数据包（即无响应数据包）的出站网络数据包，以检测设备和/或网络上的恶意软件。

本公开的一个或更多实施例描述了用于网络和/或设备安全的计算机实施的方法。方法可以在一个或更多计算机（例如一个或更多防火墙）上执行，并且可以包含在一个或更多计算机上执行的数个例程。方法可以包含接收第一数据包信息作为输入的例程。方法可以包含如下例程，其分析第一数据包信息，以确定第一数据包信息是否识别与网络通信的开始关联的出站网络数据包。方法可以包含如下例程，如果第一数据包信息识别与网络通信的开始关联的出站网络数据包，并且如果第一数据包信息被确定为潜在的无响应数据包，则该例程在一个或更多数据存储件中存储和/或追踪第一数据包信息。方法可以包含接收第二数据包信息作为输入的例程。方法可以包含如下例程，其分析第二数据包信息，以确定第二数据包信息是否识别响应于出站网络数据包的入站网络数据包。方法可以包含如下例程，如果第二数据包信息识别响应于出站网络数据包的入站网络数据包，并且如果基于第二数据包信息确定第一数据包信息不是无响应数据包，则该例程在一个或更多数据存储件中移除和/或终止对第一数据包信息的追踪。

在一些实施例中，第一数据包信息和第二数据包信息可以各自是数据包报头信息。在一些实施例中，第一数据包信息和第二数据包信息可以各自是归一化的数据包报头信息，其包含在一段时间内对于一个或更多数据包是共同的数据包报头信息。在一些实施例中，分析第一数据包信息以确定第一数据包信息是否识别与网络通信的开始关联的出站网络数据包的步骤可以包含分析第一数据包信息以确定第一数据包信息是否识别是SYN数据包的出站TCP网络数据包。