[发明专利]基于沙箱检测文件识别木马回连方法及装置

说明书

本发明实施例提供的基于沙箱检测文件识别木马回连方法及装置，属于网络安全检测领域。该方法通过捕获流经网卡的IP协议流量数据包，从而解析所述流量数据包，并分离所述流量数据包所携带的文件，再基于沙箱检测所述文件，捕获网络行为，再通过判断所述网络行为是否是恶意行为来识别所述网络行为所对应的域名和互联网协议地址是否为回连域名，进而通过回连域名准确识别回连行为，并能获取被木马感染的设备IP；同时能识别一些可疑的回连域名供安全人员进一步分析，进一步更快更高效的识别回连域名。

技术领域

本发明涉及网络安全检测领域，具体而言，涉及一种基于沙箱检测文件识别木马回连方法及装置。

背景技术

计算机木马在感染机器以后，往往会通过回连域名回连CC服务器以获取新的指令或上传敏感信息。而在回连域名和服务器的识别方面，虽然对于DGA域名的识别存在很多基于机器学习的方法，但对于使用固定域名回连或者几周甚至几个月才变化一次域名的DGA域名，仍然没有很好的方法去让计算机自己识别，大多是通过安全人员对木马分析后抓取出回连的域名。虽然这样抓取的回连域名准确性很高，但是相对识别周期长，具有一定的滞后性，并且木马变种繁多，安全人员没有足够的时间精力去分析全部的木马。从而，现有技术存在识别周期长且具有一定的滞后性的技术问题。

发明内容

本发明提供的基于沙箱检测文件识别木马回连方法及装置，旨在改善上述技术问题。

本发明提供的基于沙箱检测文件识别木马回连方法，包括：捕获流经网卡的IP协议流量数据包；解析所述流量数据包，并分离所述流量数据包所携带的文件；基于沙箱检测所述文件，捕获网络行为；通过判断所述网络行为是否是恶意行为；若是，将所述网络行为所对应的域名和互联网协议地址存入预设回连名单库；若否，判断所述网络行为所对应的域名是否属于预设白名单库；若否，判断所述域名和所述域名所对应的所述互联网协议中至少一个是否属于所述回连名单库；若是，将不属于所述回连名单库的一个存入所述回连名单库；若否，将所述互联网协议地址和所述域名存入预设可疑名单库。

优选地，所述的解析所述流量数据包，并分离所述流量数据包所携带的文件，包括：判断所述流量数据包所对应的应用层协议；根据所述应用层协议所对应的协议格式进行解析所述流量数据包，并还原成原始会话信息，且分离出所述原始会话信息中的文件。

优选地，所述的基于沙箱检测所述文件，捕获网络行为，包括：将所述文件上传到沙箱中进行检测；捕获所述文件在所述沙箱中运行时产生的联网行为。

优选地，所述的根据所述应用层协议所对应的协议格式进行解析所述流量数据包，并还原成原始会话信息，且分离出所述原始会话信息中的文件，之后还包括：获取所述原始会话信息所对应的域名和互联网协议地址；判断所述域名和所述互联网协议地址是否属于所述回连名单库；若是，将所述原始会话信息保存为告警信息；若否，判断所述域名和所述互联网协议地址是否属于所述可疑名单库；若是，将所述原始会话信息保存为可疑行为信息。

优选地，所述的判断所述网络行为是否是恶意行为，包括：判断所述网络行为是否为下载行为；若是，判断下载的内容中是否存在恶意代码；若是，则认为所述网络行为是恶意行为；判断所述网络行为是否为上传行为；若是，判断上传的内容中是否存在敏感信息；若是，则认为所述网络行为是恶意行为。

优选地，所述的若否，将所述互联网协议地址和所述域名存入预设可疑名单库，之后还包括：获取所述互联网协议地址所对应的可疑域名数量、访问所述互联网协议地址的频率和/或访问所述互联网协议地址的客户端数量；基于预设权重比例值获取所述可疑域名数量、访问所述互联网协议地址的频率和/或客户端数量的总值；基于所述总值的高低进行排序以显示访问所述互联网协议地址的会话信息。

优选地，所述的将所述原始会话信息保存为告警信息，之后还包括：显示所述原始会话的客户端IP，以使用户根据所述客户端IP找到所对应的设备，并对所述设备进行排查清除感染的木马。