[发明专利]一种恶意软件通讯活动检测方法、系统及存储介质

说明书

本发明实施例公开了一种恶意软件通讯活动检测方法、系统及存储介质，该方法包括：获取目标环境内的每一台主机的网络通讯数据；对网络通讯数据进行处理，获取每一台主机分别对应的标准字段；当确定第i台主机对应的第j个IP对为第一类型IP对时，根据相邻两次通讯发起时间间隔确定其是否为恶意软件beacon通讯活动；或者，当确定第i台主机对应的第j个IP对为第二类型IP对时，统计第二预设时间段内第i台主机对应的第j个IP对中本地IP和远程IP之间的第一平均通讯次数，以及第一实际通讯次数；根据第一平均通讯次数和第一实际通讯次数，确定其是否为恶意软件beacon通讯活动；当确定为恶意软件beacon通讯活动时，发出告警信息。

技术领域

本发明实施例涉及安全技术领域，具体涉及一种恶意软件通讯活动检测方法、系统及存储介质。

背景技术

当恶意软件感染入侵目标环境内的一台主机后，它会扫描主机环境，并建立起一个攻击者使用的通信通道，然后，此恶意软件会周期性的向外部控制与命令(Command andControl，简称C2)服务器发出网络通讯行为以实现报告存活状态以及检查新指令下达的情况，此种恶意软件的通讯行为叫做Beacon通讯活动。

攻击者可以通过C2服务器，管理和控制大量的受感染主机，Beacon是恶意软件活动的重要指标之一。

目前对于此类Beacon活动的检测，现有的技术手段之一为：从外部情报源收集各恶意软件的通讯C2服务器IP地址，建立起IP黑名单，然后检测内部环境主机对外通讯中是否有命中IP黑名单的，如果有，产生告警。此种方法弊端有三个：一是IP黑名单的方式面临时效性的问题；二是IP黑名单的方式极容易被攻击者通过更改IP地址进行避掉；三是IP黑名单只能检测一部分已发现的Beacon通讯活动，这种方式不能全面、长期的检测出攻击者发起的beacon通讯活动，也就无法有效的保证计算机通讯安全。

发明内容

为此，本发明实施例提供一种恶意软件通讯活动检测方法、系统及存储介质，以解决现有技术无法全面、长期的检测出攻击者发起的beacon通讯活动，进而无法有效的保证计算机通讯安全的技术问题。

为了实现上述目的，本发明实施例提供如下技术方案：

根据本发明实施例的第一方面，提供了一种恶意软件通讯活动检测方法，该方法包括：

获取目标环境内的每一台主机的网络通讯数据；

对网络通讯数据进行处理，获取每一台主机分别对应的标准字段，其中标准字段中包括有每一台主机分别对应的至少一个IP对以及每一个IP对之间的通讯发起时间，每个IP对由本地IP和与之建立通信连接的一个远程IP构成；

统计第一预设时间段内，第i台主机对应的第j个IP对中本地IP和远程IP之间的第一总通讯次数；

当根据第一总通讯次数，确定第i台主机对应的第j个IP对为第一类型IP对时，根据第i台主机对应的第j个IP对的相邻两次通讯发起时间间隔确定第i台主机对应的第j个IP对之间的通讯活动是否为恶意软件beacon通讯活动；

当根据第一总通讯次数，确定第i台主机对应的第j个IP对为第二类型IP对时，统计第二预设时间段内第i台主机对应的第j个IP对中本地IP和远程IP之间的第一预设单位时间的第一平均通讯次数，以及每一个第一预设单位时间内第i台主机对应的第j个IP对中本地IP和远程IP之间的第一实际通讯次数；

根据第一平均通讯次数，以及第一实际通讯次数，确定第i台主机对应的第j个IP对之间的通讯活动是否为恶意软件beacon通讯活动；