[发明专利]自动确定恶意网络进程的方法、装置及网络入侵检测系统

权利要求书

1.一种自动确定恶意网络进程的方法，其特征在于，包括：

获取目标机器接收的内连恶意数据包和/或所述目标机器发送的外连恶意数据包；

获取所述内连恶意数据包的源地址和源连接端口号和/或所述外连恶意数据包的目的地址和目的连接端口号；

检测所述目标机器所有已建立内连网络连接的进程ID与所述所有已建立内连网络连接的源地址和源连接端口号之间的对应关系和/或所述目标机器所有已建立外连网络连接的进程ID与所述所有已建立外连网络连接的目的地址和目的连接端口号之间的对应关系；

使用agent服务将与所述内连恶意数据包的源地址和源连接端口号对应的已建立内连网络连接的进程ID确定为恶意网络进程的ID和/或将与所述外连恶意数据包的目的地址和目的连接端口号对应的已建立外连网络连接的进程ID确定为恶意网络进程的ID。

2.如权利要求1所述的自动确定恶意网络进程的方法，其特征在于，还包括：

根据预定的防护策略对所确定的恶意网络进程进行进程管理操作，

其中，所述进程管理操作包括下列中的至少一种：

确定已建立内连网络连接或已建立外连网络连接非法且确定已建立非法内连网络连接或已建立非法外连网络连接所对应的进程匹配到黑名单，则杀死进程；

确定已建立内连网络连接或已建立外连网络连接非法且确定已建立非法内连网络连接或已建立非法外连网络连接所对应的进程不匹配到黑白名单，则挂起进程；

确定已建立内连网络连接或已建立外连网络连接非法且确定已建立非法内连网络连接或已建立非法外连网络连接所对应的进程匹配到白名单，则不对进程进行操作；

确定已建立内连网络连接或已建立外连网络连接涉及敏感数据外泄，则杀死所述已建立内连网络连接或所述已建立外连网络连接所对应的进程；

确定已建立内连网络连接或已建立外连网络连接涉及异常请求且确定所述已建立内连网络连接或所述已建立外连网络连接匹配到黑名单，则杀死进程；

确定已建立内连网络连接或已建立外连网络连接涉及异常请求且确定所述已建立内连网络连接或所述已建立外连网络连接匹配到白名单，则不对所述已建立内连网络连接或所述已建立外连网络连接所对应的进程进行操作。

3.如权利要求1或2所述的自动确定恶意网络进程的方法，其特征在于，通过以下步骤实现所述检测所述目标机器所有已建立内连网络连接的进程ID与所述所有已建立内连网络连接的源地址和源连接端口号之间的对应关系和/或所述目标机器所有已建立外连网络连接的进程ID与所述所有已建立外连网络连接的目的地址和目的连接端口号之间的对应关系的步骤：

使用以下命令增加针对函数accept()和/或connect()的系统调用进行监控审计的规则，以通过auditd服务将所述目标机器所有已建立内连网络连接的进程ID与所述所有已建立内连网络连接的源地址和源连接端口号之间的对应关系和/或所述目标机器所有已建立外连网络连接的进程ID与所述所有已建立外连网络连接的目的地址和目的连接端口号之间的对应关系记录在日志文件中，从而实现所述检测步骤：

auditctl–a always,exit–F arch＝b64–S accept–k accept和/或

auditctl–a always,exit–F arch＝b64–S connect–k connect。

4.如权利要求3所述的自动确定恶意网络进程的方法，其特征在于，通过以下步骤实现所述使用agent服务将与所述内连恶意数据包的源地址和源连接端口号对应的已建立内连网络连接的进程ID确定为恶意网络进程的ID和/或将与所述外连恶意数据包的目的地址和目的连接端口号对应的已建立外连网络连接的进程ID确定为恶意网络进程的ID的步骤：

通过所述agent服务来启动运行所述redis服务，所述redis服务将所述日志文件的内容实时读入缓存，通过在缓存中进行查找来实现所述确定步骤。