[发明专利]失陷设备检测方法及装置

说明书

本发明提供了一种失陷设备检测方法及装置，该方法包括：步骤1，根据原始网络流量提取出主机的行为特征数据，并将涉及TCP/IP应用的应用数据进行还原；步骤2，基于还原的应用数据进行IOC安全威胁情报的匹配；步骤3，根据所述匹配的结果，确定失陷主机。本系统通过安全威胁情报检测出很多通过传统杀毒软件无法发现的失陷主机，同时也包括中了木马的手机。

技术领域

本发明涉及一种网络安全技术领域，特别涉及一种失陷设备检测方法及装置。

背景技术

目前检测失陷设备的通常做法，是在设备上安装杀毒软件。但是，杀毒软件很容易被绕过。比如可以针对特定的杀毒软件做免杀处理；另外，有些强力的恶意软件可以直接关闭杀毒软件，使其失效。此外，恶意软件也可以通过系统的rootkit隐藏自身的进程和端口，防止杀毒软件检测。

发明内容

有鉴于上述背景技术中提及的恶意软件可以用多种方式保护自身的技术问题，本发明提供了一种失陷设备检测方法及装置，该方法通过识别其特定的网络行为，来定位失陷设备。

本发明提供了一种失陷设备检测方法，包括：

步骤1，根据原始网络流量提取出主机的行为特征数据，并将涉及TCP/IP应用的应用数据进行还原；

步骤2，基于还原的应用数据进行IOC安全威胁情报的匹配；

步骤3，根据所述匹配的结果，确定失陷主机。

作为优选，进行还原操作的所述应用数据包括普通流量的五元组信息、DNS请求应答信息、HTTP请求应答信息。

作为优选，所述步骤1包括：

步骤11，过滤原始网络数据包；

步骤12，做IP分片的还原操作，如果是TCP协议要进行TCP分段的还原操作；

步骤13，识别应用层的协议。

作为优选，步骤11获取IP数据包，并对端口做数据过滤，保留预设端口号对应的数据包。

作为优选，步骤2进一步包括：将所有情报载入内存中进行匹配。

作为优选，所述方法还包括：

步骤4，将确定的失陷主机的相关信息存储起来，并存储相对应的PCAP文件，供以调查分析。

作为优选，所述方法还包括：设置一读写锁，在更新或变动所述安全威胁情报时锁上所述读写锁，否则解开所述读写锁。

作为优选，所述方法还包括：在发现失陷主机时报警。

本发明实施例还提供了一种失陷设备检测装置，包括获取模块、匹配模块和判断模块；

所述获取模块配置为根据原始网络流量提取出主机的行为特征数据，并将涉及TCP/IP应用的应用数据进行还原；

所述匹配模块配置为根据还原的应用数据进行IOC安全威胁情报的匹配；

所述判断模块配置为根据所述匹配的结果，确定失陷主机。

作为优选，所述获取模块进一步配置为：过滤原始网络数据包；做IP分片的还原操作，如果是TCP协议要进行TCP分段的还原操作；识别应用层的协议。

经过实际测试发现，本方法能够通过安全威胁情报检测出很多通过传统杀毒软件无法发现的失陷主机，同时也包括中了木马的手机。

附图说明

图1是本发明的原理图

图2是本发明的流程图。

具体实施方式