[发明专利]网络数据的安全检测方法和安全检测服务器

权利要求书

1.一种网络数据的安全检测方法，包括：

抓取网络中传输的数据包；

对所述数据包进行组包以还原传输控制协议TCP连接数据，

识别所述TCP连接数据使用的应用层协议；

使用与所述应用层协议对应的安全扫描模块对所述TCP连接数据进行安全扫描，其包括使用文件传输协议FTP扫描模块、简单邮件传输协议SMTP扫描模块、邮局协议的第3个版本POP3扫描模块、超文本传输协议HTTP扫描模块、简单网络管理协议SNMP扫描模块、网络新闻传输协议NNTP扫描模块、域名系统DNS解析请求扫描模块对各自对应的数据包进行安全扫描；

从所述TCP连接数据中提取出文件，根据所述文件的类型确定对应的虚拟检测环境；

在所述虚拟检测环境下运行或打开所述文件，并监控所述虚拟检测环境的运行状态，生成运行状态日志，所述运行状态日志中记录有所述虚拟检测环境的内存变化情况、注册表修改情况、进程变化情况、网络连接情况；

对所述运行状态日志进行分析，得到所述文件的动态行为安全分析结果；对所述运行状态日志进行分析包括：对所述运行状态日志中所述文件触发的各项操作行为按照预先设置的权重进行加权累加；判断加权累加值是否大于预设值，若是，确定所述文件为恶意文件。

2.根据权利要求1所述的方法，其中，抓取网络中传输的数据包包括：利用交换机的网络旁路复制网络中传输的数据包并送入安全检测服务器的网卡。

3.根据权利要求1所述的方法，其中，对所述数据包进行组包以还原传输控制协议TCP连接数据包括：

将所述数据包写入缓存文件；

对写入缓存文件的数据包进行重组，还原为TCP连接数据。

4.根据权利要求3所述的方法，其中，对写入缓存文件的数据包进行重组包括：

解析所述数据包中TCP报头中的序号和确认序号；

按照所述序号和确认序号对所述数据包按照TCP的传输顺序进行排序。

5.根据权利要求1至4中任一项所述的方法，其中，识别所述TCP连接数据使用的应用层协议包括：按照重组后的数据包的数据特征和端口特征判断所述数据包使用的应用层协议。

6.根据权利要求1至4中任一项所述的方法，其中，所述数据包使用的应用层协议包括：文件传输协议FTP、简单邮件传输协议SMTP、邮局协议的第3个版本POP3、超文本传输协议HTTP、简单网络管理协议SNMP、网络新闻传输协议NNTP、域名系统DNS解析请求。

7.根据权利要求1至4中任一项所述的方法，其中，从所述TCP连接数据中提取出文件之后还包括：

对所述文件进行云安全分析。

8.根据权利要求7所述的方法，其中，对所述文件进行云安全分析包括：

计算所述文件的散列值，并将所述散列值与云安全服务器中的散列值危险列表比对；和/或

提取所述文件的统一资源定位符URL，并将所述URL与云安全服务器中的URL危险列表比对。

9.根据权利要求8所述的方法，其中，将所述URL与云安全服务器中的URL危险列表比对包括：

提取所述URL对应的网址密文；

将所述网址密文与所述云安全服务器数据库中存储的密文进行匹配，所述数据库中存储的密文包括被标记为恶意网址的密文；

若所述网址密文与所述云安全服务器数据库中存储的密文存在匹配，确定所述URL存在恶意内容。

10.根据权利要求1所述的方法，其中，监控所述虚拟检测环境的运行状态包括：监控所述虚拟检测环境的内存变化情况、注册表修改情况、进程变化情况、网络连接情况。