[发明专利]一种针对内网端口反弹型木马的防范方法

权利要求书

1.一种针对内网端口反弹型木马的防范方法，包括以下步骤：

步骤1.确定可信程序名单：

为所有可信程序设定key-value，其中key为程序名称，value值为可信程序的MD5值；

内网出口网关保存一份key-value名单，即可信程序名单；

步骤2.打安全标签：

内网中每台主机对其本地应用程序发出的网络报文进行安全上下文标记，安全上下文标记内容包括：

(1)发送此报文的程序名称，

(2)程序的MD5值，

(3)主机的MAC地址；

步骤3.内网出口网关处捕获内网中流出的所有报文；

步骤4.内网出口网关检测报文中提供的安全上下文并分析报文内容：

提取报文中的安全上下文，将其与网关的可信程序名单进行对比，如果程序名称及MD5值与可信程序名单一致，则放行并建立一个cache；预设时间内，再次捕获到由此MAC地址所对应主机的相同程序发出的网络报文则直接放行；

反之则丢掉数据包，限制放行，并将相关信息记录于日志中；同时，对报文连接的外网IP地址记入黑名单。