[发明专利]用于潜在被污染端系统的牵制机制

摘要

提供了一种基于流量模式异常检测的恶意软件检测和响应系统，由此对每个方向不同地计数网络单元的每个端口上与各种协议相关联的分组。这样的分组包括：ARP请求、TCP/SYN请求和确认、TCP/RST分组、DNS/NETBEUI名查找、输出ICMP分组、UDP分组等。当分组造成独立计数或计数组合超出门限时，采取适当的动作。所述系统可以被并入到快速路径中，也就是，数据平面，使得诸如交换机、路由器和DSLAM的通信系统能够以非常低的成本具有内在安全性。

主权项

1.一种用于在通信网络的边缘处连接的网络单元的恶意软件检测和响应系统，所述系统包括：头部数据处理单元，用于检查在所述网络单元的端口上看到的每个协议数据单元的头部数据，并且识别PDU类型；计数器单元，用于基于所述PDU类型提供每个流量方向的多个计数值；用于存储极限表和规则集的装置，所述极限表为每个所述计数值设置对应的极限，所述规则集为所述端口定义攻击模式和牵制动作；以及攻击识别和牵制单元，其基于所述计数值、极限表和规则集识别攻击的类型，并且发起用于牵制所述攻击类型的防御动作。