[发明专利]基于格式识别技术的网络双向检测方法及系统

说明书

技术领域

本发明涉及计算机网络安全技术领域， 尤其涉及一种基于格式识别技术的网络双向检测方法及系统。

背景技术

在传统网络数据流恶意代码检测方式中，现有多采用先缓存数据，再进行恶意代码检测的方式。传统网络数据恶意代码检测由于误报和检测速度的原因，多采用单向检测技术，即只关注控制端对被控制端的数据流，而不关心被控制端对控制端的数据流。因此在单向检测技术在检测网络恶意代码的过程中会漏检一些不检测方向的恶意代码。同时，单向检测技术在检测过程中首先需要判断网络数据流的传输方向，而网络数据流传输方向的判断过程较为繁琐，因此检测速度较低。

发明内容

本发明提供了一种基于格式识别技术的网络双向检测方法及装置，解决了传统检测方法中仅对单向数据进行检测漏检的问题，同时也解决了网络数据流传输方向判断繁琐的问题。

一种基于格式识别技术的网络双向检测方法，包括：

监控双向网络数据流；

抓取和缓存网络数据流中的数据包；

判断所述数据包的文件格式信息与所对应URL所指向文件后缀名是否相同，如果是，则使用检测引擎进行检测；否则将文件风险级别设置为高，进行详细深度检测，并通知用户发现高危后缀伪装行为。

所述的方法中，在判断所述数据包的文件格式信息与所对应URL所指向文件后缀名是否相同前，还包括：

对数据包进行文件格式识别，获得文件格式信息；

获取所述数据包对应URL所指向的文件后缀名。

本发明选择使用对URL判断，是由于URL带有后缀名，通常后缀名标识文件实际格式。对于一些没有后缀名的URL，其下载的文件是有后缀名 可以从HTTP里是可以提取出信息的。因此一旦发现从URL中获得的文件格式与检测到的数据包的实际格式不符，则能够确定数据包具有伪装、骗取用户执行或放行的行为。

一种基于格式识别技术的网络双向检测系统，包括：

监控单元，用于监控双向网络数据流；

数据提取单元，用于抓取和缓存网络数据流中的数据包；

对比模块，用于判断所述数据包的文件格式信息与所对应URL所指向文件后缀名是否相同，如果是，则使用检测引擎进行检测；否则将文件风险级别设置为高，进行详细深度检测，并通知用户发现高危后缀伪装行为。

所述的系统中，还包括：

格式识别单元，用于对数据包进行文件格式识别，获得文件格式信息；

URL后缀名识别单元，用于获取所述数据包对应URL所指向的文件后缀名。

本发明的优势在于，使用网络数据流中的数据包进行判断，将URL判定风险转嫁至文件对象，这样的检测方法，检测环境在网络中，因此无需考虑网络传输方向的问题，使双向数据流量融合，避免了传统方法单向数据检测漏检的问题，同时也避免了网络数据流方向判断的繁琐过程。并且利用URL中带有文件格式信息的特点，判断URL所标识的文件格式与实际检测的文件格式是否一致，进而发现网络数据传输中的高度危险的文件伪装行为。

本发明提供了一种基于格式识别技术的网络双向检测方法及系统，所述方法包括：监控双向网络数据流，并抓取和缓存网络数据流中的数据包；判断所述数据包的文件格式信息与所对应URL所指向文件后缀名是否相同，如果是，则使用检测引擎进行检测；否则将文件风险级别设置为高，进行详细深度检测，并通知用户发现高危后缀伪装行为。同时本发明还提供了相应的检测系统。通过本发明内容，可以根据文件格式与是格式不符，检测出具有伪装行为的数据，进而告知用户威胁，同时由于检测环境在网络中，无需考虑网络数据传输方向的问题，能够对双向网络数据进行检测。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明基于格式识别技术的网络双向检测方法流程图；

图2为本发明基于格式识别技术的网络双向检测系统结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。