[发明专利]一种木马通信行为的检测方法、装置及电子设备

说明书

本发明的实施例公开一种木马通信行为的检测方法、装置及电子设备，涉及计算机安全技术领域，能够及时的检测出基于icmp协议的可疑木马通信行为。所述木马通信行为的检测方法，包括：按照预设的时间窗口依次接收ping包；确定当前时间窗口内接收到的ping包的指纹特征；将当前时间窗口内接收到的ping包的指纹特征，与正常ping包的指纹特征进行比对；若当前时间窗口内接收到的ping包的指纹特征，与正常ping包的指纹特征不匹配，则确定与正常ping包的指纹特征不匹配的ping包为异常ping包。本发明主要应用于基于icmp协议的木马通信。

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种木马通信行为的检测方法、装置及电子设备。

背景技术

木马通信是指运行在入侵者计算机和被入侵者计算机之间木马的信息交流，包括连接建立、指令、数据发送等一切行为。ping(Internet Control Message Protocol网络控制消息协议)木马通信是一种新型木马通信，该技术通过修改ICMP_ECHOREPLY包的包头结构，在其中的选项数据域中填写木马的控制命令和数据。因为ping包由系统内核或进程直接处理，不通过端口，所以就不会占用任何端口，难以被发觉；同时ping木马通信可穿透防火墙：目前大部分的防火墙会阻拦外部通向内部的连接，而ICMP_ECHOREPLY包是用来携带用户进行ping操作得到的返回信息，所以它往往不会出现在防火墙的过滤规则中，因而可以顺利地穿透防火墙，从而极大的提高了攻击的成功率。

现有的木马检测技术主要是针对文件和通信行为，但是基于文件的检测技术大多分析很困难，而且也不具有实时性；基于通信行为的检测技术基本都是针对TCP或者UDP协议很难适用于ICMP协议的木马，针对ICMP协议的又不能完整的匹配通信行为。

发明内容

有鉴于此，本发明实施例提供一种木马通信行为的检测方法、装置及电子设备，能够及时的检测出基于icmp协议的可疑木马通信行为。

第一方面，本发明实施例提供一种木马通信行为的检测方法，应用于基于icmp协议的木马通信；所述方法包括：按照预设的时间窗口依次接收ping包；确定当前时间窗口内接收到的ping包的指纹特征；将当前时间窗口内接收到的ping包的指纹特征，与正常ping包的指纹特征进行比对；若当前时间窗口内接收到的ping包的指纹特征，与正常ping包的指纹特征不匹配，则确定与正常ping包的指纹特征不匹配的ping包为异常ping包。

根据本发明实施例的一种具体实现方式，所述方法还包括：统计接收到的ping包中出现异常ping包的时间窗口的个数，并确定接收到的ping包中出现异常ping包的时间窗口的个数，是否达到预设个数；在所述预设个数的时间窗口内接收到的ping包中，确定各异常ping包的指纹特征；根据各异常ping包的指纹特征，确定发起各异常ping包的通信是否为木马通信。

根据本发明实施例的一种具体实现方式，所述根据各异常ping包的指纹特征，确定发起各异常ping包的通信是否为木马通信，包括：将所述预设个数的时间窗口内接收到的异常ping包，以IP为单位进行分类；确定单对IP所对应的异常ping包的指纹特征，是否命中预设的木马通信判断规则；若单对IP所对应的异常ping包的指纹特征，命中预设的木马通信判断规则，则确定发起该单对IP所对应的异常ping包的通信为木马通信。

根据本发明实施例的一种具体实现方式，所述指纹特征包括：连接特征、数据包方向特征、流量特征和/或载荷特征。