[实用新型]一种通过分析网络行为检测木马程序的装置

摘要

一种通过分析网络行为检测木马程序的装置，本实用新型采用分析对比行为特征的方式检测木马，首先搜集局域网内的网络行为，分析其典型行为特征，通过木马外连、信息窃取和信息外发网络行为，实时检测木马；本装置由采集器和分析机两部分组成，采集器采集网络数据包并发送给分析机，分析机将数据重组，提取其典型行为特征并与木马特征库做关联分析，最后生成安全事件报告呈现给前段系统。本实用新型使用行为特征分析技术检测木马，与现有的程序特征码比对技术相比，其优点在于不仅能够检测已知类型的木马，而且能检测未知类型的木马，特别对加壳、加免杀等木马变种和变异，具有很好的检测效果。

主权项

一种通过分析网络行为检测木马程序的装置，其特征在于：它是由网络数据采集器、网络数据分析机组成；所述的采集器，包括数据采集模块、数据转发模块，数据采集模块采集网络数据包，并经数据转发模块发送到分析机做处理；所述的分析机，包括数据接收器、协议解析器、数据持久化模块、规则挖掘模块、策略制定模块、关联分析器、安全事件报告模块，数据接收器接收采集器发送的数据，并将数据交协议解析器进行会话重组，会话重组后保存于数据持久化模块中；规则挖掘模块访问持久化模块中的数据，进行网络行为规则挖掘，生产网络行为的黑、白名单，关联分析器利用规则挖掘模块生产的网络行为规则和策略制定模块的策略选择，进行关联分析，生成安全事件报告，最后将安全事件报告呈现给前端系统。