[发明专利]一种针对内网端口反弹型木马的防范方法

摘要

本发明属于网络环境下信息安全技术领域，提出一种防范内网反弹型木马的方法，用于克服杀毒软件不能很好的发现已知木马的变种和新的木马的问题。该方法首先建立可信程序名单，并于内网出口网关保存该可信名单；再对发送报文进行安全上下文标记，然后在内网出口处对报文中的安全上下文提取，将其与网关的可信程序名单进行对比，如果程序名称及MD5值与可信程序名单一致，则放行，反之则丢掉数据包，限制放行并记入黑名单。从而，本发明有效解决由于传统木马检测方法无法对变种木马或者新木马进行有效检测而带来的内网安全问题。

主权项

1.一种针对内网端口反弹型木马的防范方法，包括以下步骤：步骤1.确定可信程序名单：为所有可信程序设定key-value，其中key为程序名称，value值为可信程序的MD5值；内网出口网关保存一份key-value名单，即可信程序名单；步骤2.打安全标签：内网中每台主机对其本地应用程序发出的网络报文进行安全上下文标记，安全上下文标记内容包括：(1)发送此报文的程序名称，(2)程序的MD5值，(3)主机的MAC地址；步骤3.内网出口网关处捕获内网中流出的所有报文；步骤4.内网出口网关检测报文中提供的安全上下文并分析报文内容：提取报文中的安全上下文，将其与网关的可信程序名单进行对比，如果程序名称及MD5值与可信程序名单一致，则放行并建立一个cache；预设时间内，再次捕获到由此MAC地址所对应主机的相同程序发出的网络报文则直接放行；反之则丢掉数据包，限制放行，并将相关信息记录于日志中；同时，对报文连接的外网IP地址记入黑名单。