[发明专利]一种木马行为还原方法

摘要

本发明公开了一种木马行为还原方法，其在网络中设置入侵检测系统与数据出口和入口连接，入侵检测系统以木马上传和下载文件操作的网络特征来对数据出口发来的数据进行过滤，对包含相应特征的数据，复制木马命令和文件内容，并将木马命令及文件内容存储入到系统的数据库中。所述的木马行为还原方法，通过读取数据库可方便的还原木马所进行的操作，以及所操作的文件。从而能稳定实用地将通过木马实现的文件窃取行为截获，并详尽记录所有得到的细节，备工作人员随时查询调阅。

主权项

一种木马行为还原方法，其特征在于：包括如下步骤：A．获取木马样本，模拟运行该木马程序，通过监测该木马运行，获取木马上传和下载文件操作的网络特征；B．在网络中设置入侵检测系统，入侵检测系统与数据出、入口连接，可接收数据出、入口发来的数据；C．数据出、入口设置过滤器，过滤器可根据目的IP地址对数据进行筛选过滤，将符合监测范围要求的目的IP地址的数据发送给入侵检测系统；D．入侵检测系统同样设置过滤器，该过滤器对数据出、入口发来的数据再次进行过滤，以木马上传和下载文件操作的网络特征为过滤参数，将包含有木马上传和下载文件操作相对应的网络特征的数据过滤出来，复制该数据所包含的木马命令和所针对的文件内容，并将复制的木马命令及文件内容存储入到入侵检测系统的数据库中。