[发明专利]基于心跳行为分析的快速木马检测方法

摘要

本发明公开了一种基于心跳行为分析的快速木马检测方法，通过分析相邻两心跳过程之间的“心跳间隙”是否具有规律性以及心跳过程中被控端接收和发送的数据包数量比值是否相等，分析该阶段木马通信行为与正常网络通信行为之间的差别，挖掘二者之间的本质差别并提取行为特征，检测疑似木马。目的是通过对木马心跳行为的分析实现对网络中木马通信的有效检测，以便及时切断木马被控端与攻击者之间的联系，有效阻止失窃密事件的发生。具体是提供一种基于心跳行为分析的快速木马检测方法。

主权项

一种基于心跳行为分析的快速木马检测方法，其特征在于：首先，将捕获的网络数据按照网络会话进行整理：将数据包按照等价四元组进行会话划分，即每个会话通过等价四元组唯一标识，并选用会话链表作为存储会话的数据结构；每一个会话链表都要用等价四元组进行标识，根据数据包中等价四元组查找相应的会话，将数据包信息添加到相应的会话链表中；其次，在连接保持无操作阶段木马通信特征的提取中，提取两个会话统计特征用于检测木马在连接保持无操作阶段的通信行为，该两个会话统计特征为：“心跳过程”接收和发送的数据包比例相等、“心跳间隙”的平稳性小于或等于阈值；若接收和发送的数据包数量相等则为疑似木马心跳行为，若“心跳间隙”的平稳性小于或等于阈值则为疑似木马心跳行为。