[发明专利]一种终端网络监控分析文件传播与分布的方法及系统

说明书

本发明实施例公开一种终端网络监控分析文件传播与分布的方法及系统，所述方法包括：终端开启网络监控，监控终端内网络情况；有文件通过网络进入所述终端，所述终端捕获文件信息和网络信息；所述终端将捕获的所述文件信息和所述网络信息上报至服务端，所述服务端根据上报的所述文件信息和所述网络信息绘制文件传播与分布图。利用文件信息结合网络信息进行全网内文件的态势感知，同时可以随时对网内文件做出快速应急响应操作。端点侧的网络监控技术结合服务端进行控制并处置网络内文件传播与分布的方法，避免了网内出现病毒大爆发、疑似APT攻击时，无法定位文件源头、文件分布情况导致处置不及时影响网内业务系统等问题。

技术领域

本发明实施例涉及网络检测领域，尤其涉及一种终端网络监控分析文件传播与分布的方法及系统。

背景技术

目前传统的企业安全业务系统，只会记录发现威胁文件信息、处理威胁文件信息等。当面临内网内的威胁文件大规模爆发时无法定位文件源头、文件传播等问题。其中文件传播是指文件在网络内流向、分发方式，分发方式是指文件在网络内存在的位置。

发明内容

基于上述存在的问题，本发明实施例提供一种终端网络监控分析文件传播与分布的方法及系统，用以解决网内出现病毒大爆发、疑似APT攻击时，无法定位文件源头、文件分布情况导致处置不及时影响网内业务系统等问题。

本发明实施例公开一种终端网络监控分析文件传播与分布的方法。

终端开启网络监控，监控终端内网络情况；有文件通过网络进入所述终端，所述终端捕获文件信息和网络信息；所述终端将捕获的所述文件信息和所述网络信息上报至服务端，所述服务端根据上报的所述文件信息和所述网络信息绘制文件传播与分布图。

进一步的，所述文件信息包括：文件名、文件路径、文件大小、文件MD5、文件特征；所述网络信息包括：源IP、源端口、目的IP、目的端口、使用进程。

进一步的，将所述文件信息和所述网络信息保存于服务端后台数据库中。

进一步的，有文件通过网络进入所述终端，所述终端捕获文件信息和网络信息后，还包括；判断所述文件信息是否有效，若是则将捕获的所述文件信息和所述网络信息上报至服务端；否则将文件MD5赋值给文件特征再上报至服务端。

进一步的，所述终端将捕获的所述文件信息和所述网络信息上报至服务端，所述服务端根据上报的所述文件信息和所述网络信息绘制文件传播与分布图之后，还包括：服务端管理员可以提取某一文件，查看该文件的传播与分布情况，并对该文件进行清除、隔离、卸载、禁用的处置。

本发明实施例公开一种终端网络监控分析文件传播与分布的系统。

包括服务端和终端，服务端和终端通过数据传输管理单元和数据传输单元建立数据连接关系；所述服务端包括绘制单元、数据传输管理单元；所述终端包括监控单元、捕获单元、数据传输单元；

监控单元：终端开启网络监控，用于监控终端内网络情况；

捕获单元：用于有文件通过网络进入所述终端，所述终端捕获文件信息和网络信息；

绘制单元：用于接收终端捕获并上报的所述文件信息和所述网络信息，并根据所述文件信息和网络信息绘制文件传播与分布图。

进一步的，所述文件信息包括：文件名、文件路径、文件大小、文件MD5、文件特征；所述网络信息包括：源IP、源端口、目的IP、目的端口、使用进程。

进一步的，该系统还包括存储单元：用于将所述文件信息和所述网络信息保存于服务端后台数据库中。