[发明专利]一种手机病毒的识别和控制方法、设备与系统

权利要求书

1.一种手机病毒的识别和控制方法，其特征在于：

手机病毒的识别和控制系统部署于网络节点处，无需在手机终端上安装对手机病毒进行识别和控制的客户端；

其中，在该网络节点处既部署手机病毒特征库，又部署正常的应用行为特征库；根据手机病毒特征库和应用行为特征库对手机与所述网络节点间连接所代表的应用进行识别；

当手机上网的流量通过所述网络节点时，首先通过应用行为特征库对该手机与所述网络节点间的连接所代表的应用进行识别；如果识别成功，则该连接的流量不是病毒；如果识别不成功，则通过病毒特征库对该连接所代表的应用进行识别，如果通过病毒特征库识别成功，则该连接的流量为病毒，如未识别，则根据在网络节点中设置的恶意目标地址库，对该应用进行恶意目标地址匹配，如果恶意目标地址匹配成功，则该应用是病毒，如果匹配不成功，则再根据病毒样本的行为共性对该连接所代表的应用进行识别；

其中，所述根据病毒样本的行为共性对该连接所代表的应用进行识别具体为：根据病毒样本的行为共性建立模型，分析未知的网络流量是否与该模型匹配，如果匹配，则识别为病毒，如果不匹配，则根据安全策略将剩余的流量归类为病毒或非病毒；查询病毒特征与描述信息映射表，输出病毒名称信息，以源代码中主程序的名称作为病毒名称。

2.一种手机病毒的识别和控制设备，其特征在于：该设备为网络中的节点，而不是网络中的手机终端，其中，所述识别和控制设备包括：

特征库部署模块，用于在所述识别和控制设备处部署手机病毒特征库和正常的应用行为特征库；

接收模块，用于接收来自手机的网络连接；

识别和控制模块，用于根据应用行为特征库对手机与所述识别和控制设备间连接所代表的应用进行识别和控制；如果识别成功，则该连接的流量不是病毒；如果识别不成功，则通过病毒特征库对该连接所代表的应用进行识别，如果病毒特征库识别成功，则该连接的流量为病毒，如未识别，则根据在网络节点中设置的恶意目标地址库，对该应用进行恶意目标地址匹配，如果匹配成功，则该应用是病毒，如果匹配不成功，则再根据病毒样本的行为共性对该连接所代表的应用进行识别；

其中，所述根据病毒样本的行为共性对该连接所代表的应用进行识别具体为：根据病毒样本的行为共性建立模型，分析未知的网络流量是否与该模型匹配，如果匹配，则识别为病毒，如果不匹配，则根据安全策略将剩余的流量归类为病毒或非病毒；查询病毒特征与描述信息映射表，输出病毒名称信息，以源代码中主程序的名称作为病毒名称。

3.一种手机病毒的识别和控制系统，该系统包括：一个或多个手机终端，以及，一个或多个如权利要求2所述的手机病毒的识别和控制设备。