[发明专利]一种特征流量的配电物联网僵尸程序的检测方法及装置

说明书

本申请实施例提供一种特征流量的配电物联网僵尸程序的检测方法及装置，包括：获取各配电物联终端的终端标识、进程信息和网络信息；将所述进程信息和网络信息与预设的僵尸特征数据库进行匹配；响应于得到匹配结果，将所述终端标识对应的配电物联终端作为目标终端，将所述进程信息对应的进程作为目标进程。本申请的方法适于配电物联网的僵尸程序检测，能够准确检测产生异常流量的配电物联终端及应用。

技术领域

本申请实施例涉及信息安全技术领域，尤其涉及一种特征流量的配电物联网僵尸程序的检测方法及装置。

背景技术

随着物联网的广泛应用，物联网的网络安全问题日益突出。配电物联网中的配电物联终端在运行过程中被恶意程序攻击，不仅消耗自身资源，影响终端正常功能运行，且会对配电物联网中的其他应用和终端造成安全威胁。因此，如何有效检测配电物联网的僵尸程序，是所需解决的问题。

发明内容

有鉴于此，本申请实施例的目的在于提出一种特征流量的配电物联网僵尸程序的检测方法及装置，能够准确检测配电物联网的僵尸程序。

基于上述目的，本申请实施例提供了一种特征流量的配电物联网僵尸程序的检测方法，包括：

获取各配电物联终端的终端标识、进程信息和网络信息；

将所述进程信息和网络信息与预设的僵尸特征数据库进行匹配；

响应于得到匹配结果，将所述终端标识对应的配电物联终端作为目标终端，将所述进程信息对应的进程作为目标进程。

可选的，所述网络信息包括接收流量对应的进程信息、发送流量对应的进程信息；所述进程信息包括进程文件md5、进程文件SHA1、进程文件SHA256；

将所述进程信息和网络信息与预设的僵尸特征数据库进行匹配，包括：

将所述进程文件md5、进程文件SHA1、进程文件SHA256分别与所述僵尸特征数据库中的进程文件md5、进程文件SHA1、进程文件SHA256进行匹配；

响应于得到匹配结果，将所述进程信息对应的进程作为目标进程，包括：响应于其中一项或几项得到匹配结果，将所述进程信息对应的进程作为感染僵尸程序的目标进程。

可选的，所述进程信息包括进程id和/或进程父id；响应于得到匹配结果之后，还包括：

根据所述进程id或进程父id，强制退出所述目标进程。

可选的，所述进程信息包括进程拥有者权限和/或进行执行用户，响应于得到匹配结果之后，还包括：

根据进程拥有者权限和/或进行执行用户，确定感染僵尸程序的漏洞项。

可选的，响应于得到匹配结果之后，还包括：

根据所述目标进程的发送流量，确定被攻击地址和/或下载地址；

根据所述被攻击地址和/或下载地址，更新所述僵尸特征数据库。

本申请实施例还提供一种特征流量的配电物联网僵尸程序的检测装置，包括：

获取模块，用于获取各配电物联终端的终端标识、进程信息和网络信息；

匹配模块，用于将所述进程信息和网络信息与预设的僵尸特征数据库进行匹配；

检测模块，用于响应于得到匹配结果，将所述终端标识对应的配电物联终端作为目标终端，将所述进程信息对应的进程作为目标进程。

可选的，所述网络信息包括接收流量对应的进程信息、发送流量对应的进程信息；所述进程信息包括进程文件md5、进程文件SHA1、进程文件SHA256；